vsftp配置虚拟账户

红太狼 2021-04-06 13:45 537阅读 0赞

需求：使用vsftp创建虚拟账户，每个账户都限制在定义的各自的根目录里。  
环境：CentOS7.6

# 1.安装必须的软件包 #

# yum ×××tall vsftpd libdb-utils

# 2.设置虚拟账户信息（使用文件存储） #

## 2.1 创建明文账户信息 ##

# vim /etc/vsftpd/vuser_list
    
    user0
    passwd0
    user1
    passwd1

说明：上述文件vuser\_list存放用户名和密码，奇数行为账号，偶数行为密码。

## 2.2 创建数据库账户信息 ##

db_load -T -t hash -f /etc/vsftpd/vuser_list /etc/vsftpd/vuser_list.db

# 3.设置基于虚拟用户验证的PAM文件 #

# vim /etc/pam.d/vsftpd.vuser 
    auth required /lib64/security/pam_userdb.so  db=/etc/vsftpd/vuser_list
    account required /lib64/security/pam_userdb.so  db=/etc/vsftpd/vuser_list

# 4.创建虚拟账户的主目录 #

# mkdir /var/ftp/user0
    # mkdir /var/ftp/user1

更改虚拟账户的宿主用户

chown -R ftp.root /var/ftp

更改宿主目录的权限以禁止匿名用户进入

chmod 700 /var/ftp/*

说明：

1.  ftp默认秘密为空，建议使用修改密码，执行如下命令并按提示输入新的密码。
    
        # passwd ftp
2.  此处使用了默认的ftp账户的主目录，也可以单独创建新的账户和主目录，如下：
    
     *  建立ftp用户目录
        
            # mkdir -p /data/ftp
     *  创建用户
        
            # useradd -d /data/ftp vuser -s /sbin/nologin
     *  更改权限
        
            # chmod 755 /data/ftp
     *  更改宿主账户
        
            # chown vuser.root /data/ftp

# 5.修改vsftpd的配置文件 #

# vim /etc/vsftpd/vsftpd.conf
    
    # 禁止匿名用户
    anonymous_enable=NO
    # 允许本地账户登陆
    local_enable=YES
    # 设置本地账户的主目录
    local_root=/var/ftp
    # 允许写入
    write_enable=YES
    # 设置上传写入掩码
    local_umask=022
    # 设置主动方式连接（可以应用与NAT环境）
    connect_from_port_20=YES
    # 改变上传文件的宿主账户
    chown_upload=YES
    chown_username=ftp
    # 设置排他用户
    chroot_local_user=YES
    # 设置监听IPv4地址
    listen=YES
    listen_ipv6=NO
    # 设置PAM文件
    pam_service_name=vsftpd.vuser
    # 开启虚拟用户
    guest_enable=YES
    guest_username=ftp
    # 虚拟用户权限配置目录:'vuser_conf'
    user_confg_dir=/etc/vsftpd/vuser_conf
    #
    userlist_enable=YES
    allow_writeable_chroot=YES

# 6. 设置每个虚拟账户的配置文件 #

准备虚拟账户配置目录

mkdir -p /etc/vsftpd/vuser_conf

创建虚拟账户的个性化配置文件，每个账户的配置文件名与账户名一致，以user0为例进行说明。

# vim /etc/vsftpd/vuser_conf/user0
    
    #设置登录后禁锢的目录
    local_root=/var/ftp/user0
    #开放写权限
    write_enable=yes
    #开放下载权限
    anon_world_readable_only=no
    #开放上传权限
    anon_upload_enable=yes
    #开放创建目录的权限
    anon_mkdir_write_enable=yes
    #开放删除和重命名的权限
    anon_other_write_enable=yes

以上是所有的权限，可以根据需要进行删除。

# 7.更改防火墙设置 #

开放ftp服务端口,--permanent作用是永久保存。

# firewall-cmd --add-service=ftp --permanent
    success

重新加载防火墙设置

# firewall-cmd --reload
    success

# 8.更改SELinux设置 #

# setsebool ftpd_full_access on -P

# 9.启动vsftpd #

启动服务

# systemctl start vsftpd

设置自启动

# systemctl enable vsftpd

# 10.其他说明 #

1.  增删账户  
    增删除账户只需要编辑明文账户，重新生成db文件即可，另外记得新建/删除相应的虚拟账户的主目录。
2.  错误处理:
    
     *  错误1：226 Transfer done (but failed to open directory)  
        解决：selinux 和防火墙导致
     *  错误2：500 OOPS: vsftpd: refusing to run with writable root ×××ide chroot()  
        解决：配置文件中加入 allow\_writeable\_chroot=YES 针对标准vsftpd(standonly)模式，然后重启ftp
3.  chroot的相关选项：
    
        chroot_local_user=YES|NO
        chroot_list_enable=YES|NO
        chroot_list_file=/etc/vsftpd/chroot_list
    
    该选项的作用是禁锢ftp的本地用户于家目录之中。 但是限制和不限制哪些用户是相对于chroot\_local\_user是否开启而言的。chroot\_local\_user和chroot\_list\_enable总是背道而驰。  
    **方式一：** 
    
        chroot_local_user=YES
        chroot_list_enable=YES
        chroot_list_file=/etc/vsftpd/chroot_list
    
    该方式表明/etc/vsftpd/chroot\_list列表里的所有账号都被不会被限制在其家目录里面。列表以外的用户都被限制。  
    **方式二：** 
    
        chroot_local_user=NO
        chroot_list_enable=YES
        chroot_list_file=/etc/vsftpd/chroot_list
    
    该方式表明/etc/vsftpd/chroot\_list列表里的所有用户都被限制在其家目录里面，但是该列表以外的用户都不被限制在它们的家目录里面。详细理解自己试验。
4.  listen\_ipv6=YES和listen=YES这两个不能同时开启，只能开启其中一个。详情看配置文件上有解释。