Linux搭建FTP服务器

待我称王封你为后i 2022-06-01 03:10 334阅读 0赞

由于最近做一个需求需要通过ftp下载文件进行解析入库，目前ftp服务器还没搭建好，所以，自己尝试使用虚拟机搭建一个ftp服务器来测试功能是否正常。

一、ftp简介

ftp工作是会启动两个通道：

控制通道、数据通道

在ftp协议中，控制连接均是由客户端发起的，而数据连接有两种模式：port模式（主动模式）和pasv（被动模式）

1、PORT模式：

在客户端需要接收数据时，ftp\_client(大于1024的随机端口)-PORT命令->ftp\_server(21)发送PORT命令，这个PORT命令包含了客户端是用什么端口来接收数据（大于1024的随机端口），在传送数据时，ftp\_server将通过自己的TCP 20 端口和PORT中包含的端口建立新的连接来传送数据。

2、PASV模式：

传送数据时，ftp\_client--PASV命令-->ftp\_server(21) 发送PASV命令时，ftp\_server自动打开一个1024--5000之间的随机端口并且通知ftp\_client在这个端口上传送数据，然后客户端向指定的端口发出请求连接，建立一条数据链路进行数据传输。

二、安装ftp

1、验证是否已经安装过ftp

rpm -qa vsftpd

rpm -qa | grep vsftpd

![SouthEast][]

2、安装ftp

yum install –yvsftpd

![SouthEast 1][]

如图 表示已经安装成功。

卸载ftp

rpm –e vsftpd

3、ftp相关配置文件和目录

/etc/vsftpd：vsftpd的配置文件存放的目录。

![SouthEast 2][]

1）/etc/vsftpd/ftpusers：禁止使用vsftpd的用户列表文件; 记录不允许访问FTP服务器的用户名单，管理员可以把一些对系统安全有威胁的用户账号记录在此文件中，以免用户从FTP登录后获得大于上传下载操作的权利，而对系统造成损坏。

![SouthEast 3][]

2）/etc/vsftpd/user\_list：禁止或允许使用vsftpd的用户列表文件；这个文件中指定的用户缺省情况（即在/etc/vsftpd/vsftpd.conf中设置userlist\_deny=YES）下也不能访问FTP服务器，在设置了userlist\_deny=NO时,仅允许user\_list中指定的用户访问FTP服务器。

![SouthEast 4][]

3）主配置文件：/etc/vsftpd/vsftpd.conf

4）vsftpd操作的一些变量和设置：/etc/vsftpd/vsftpd\_conf\_migrate.sh

vsftpd的主程序：/usr/sbin/vsftpd

/var/ftp：匿名用户主目录 ；本地用户主目录为：/home/用户主目录，即登录后进入自己家目录。

/var/ftp/pub：匿名用户的下载目录；此目录需赋权根chmod 1777 pub（1为特殊权限，使上载后无法删除）。

/etc/logrotate.d/vsftpd ：vsftpd的日志文件

![SouthEast 5][]

/etc/pam.d/vsftpd ：PAM认证文件；此文件中file=/etc/vsftpd/ftpusers字段，指明阻止访问的用户来自/etc/vsftpd/ftpusers文件中的用户。

![SouthEast 6][]

/etc/rc.d/init.d/vsftpd：启动脚本

4、启动ftp服务

设置开机自启动

查看ftp服务状态：servicevsftpd status

启动ftp服务：service vsftpdstart

停止ftp服务：service vsftpdstop

设置ftp开机自启动：chkconfig –level2345 vsftpd on或者systemctl enablevsftpd.service

5、/etc/vsftpd/vsftpd.conf配置

查看/etc/vsftpd/vsftpd.conf 默认配置：cat /etc/vsftpd/vsftpd.conf |grep -v '^#';

1）匿名用户默认是可以登录的，用户可使用用户名ftp或anonymous进行ftp登录，登录的目录为/var/ftp，如果不想让用户匿名登录设置anonymous\_enable=NO。

2）local\_enable=YES：是否允许本地用户(即linux系统中的用户帐号)登录FTP服务器，默认设置为YES允许。本地用户登录后会进入用户主目录，前面加上\#注释掉即可阻止本地用户访问FTP服务器。

3）write\_enable=YES：是否允许本地用户对FTP服务器文件具有写权限，默认设置为YES允许。

4）local\_umask=022：掩码，本地用户默认掩码为077。

5）\#anon\_upload\_enable=YES：是否允许匿名用户上传文件，须将全局的write\_enable=YES。默认为YES。

6）\#anon\_mkdir\_write\_enable=YES：是否允许匿名用户创建新文件夹。

7）dirmessage\_enable=YES：是否激活目录欢迎信息功能，当用户用CMD模式首次访问服务器上某个目录时，FTP服务器将显示欢迎信息。默认情况下，欢迎信息是通过该目录下的.message文件获得的。此文件保存自定义的欢迎信息，由用户自己建立。

8）xferlog\_enable=YES：是否让系统自动维护上传和下载的日志文件，默认情况该日志文件为/var/log/vsftpd.log,也可以通过下面的xferlog\_file选项对其进行设定。

9）connect\_from\_port\_20=YES：是否设定FTP服务器将启用FTP数据端口的连接请求，ftp-data数据传输，21为连接控制端口。

10）\#chown\_uploads=YES：设定是否允许改变上传文件的所有者，与下面一个设定项配合使用。注意，不推荐使用root用户上传文件。

11）\#chown\_username=whoever：设置想要改变的上传文件的所有者，如果需要，则输入一个系统用户名。以把上传的文件都改成root用户。whoever是任何人。

12）\#xferlog\_file=/var/log/xferlog：设定系统维护记录FTP服务器上传和下载情况的日志文件，默认是/var/log/xferlog。

13）xferlog\_std\_format=YES：是否以标准xferlog的格式书写传输日志文件。默认为/var/log/xferlog，也可以通过xferlog\_file选项对其进行设定，默认值为NO。

以下是附加配置，添加相应的选项将启用相应的设置

1）\#idle\_session\_timeout=600：设置数据传输中断间隔时间，此语句表示空闲的用户会话中断时间为600秒，即当数据传输结束后，用户连接FTP服务器的时间不应超过600秒。

2）\#data\_connection\_timeout=120：设置数据连接超时时间，该语句表示数据连接超时时间为120秒，可根据实际情况对其个修改。

3）\#nopriv\_user=ftpsecure：运行vsftpd需要的非特权系统用户，缺省是nobody。

4）\#async\_abor\_enable=YES：是否识别异步ABOR请求。如果FTP client会下达“async ABOR”这个指令时，这个设定才需要启用，而一般此设定并不安全，所以通常将其取消。

5）\#ascii\_upload\_enable=YES

\#ascii\_download\_enable=YES

是否以ASCII方式传输数据。默认情况下，服务器会忽略ASCII方式的请求。启用此选项将允许服务器以ASCII方式传输数据。不过，这样可能会导致由"SIZE /big/file"方式引起的DoS攻击。

6）\#ftpd\_banner=Welcome to blah FTP service.：登录FTP服务器时显示的欢迎信息，如有需要，可在更改目录欢迎信息的目录下创建名为.message的文件，并写入欢迎信息保存后。

7）\#deny\_email\_enable=YES：黑名单设置。如果很讨厌某些email address，就可以使用此设定来取消他的登录权限，可以将某些特殊的email address抵挡住。

8）\#banned\_email\_file=/etc/vsftpd/banned\_emails：当上面的deny\_email\_enable=YES时，可以利用这个设定项来规定哪些邮件地址不可登录vsftpd服务器。此文件需用户自己创建，一行一个email address即可。

9）\#chroot\_local\_user=YES

\#chroot\_list\_enable=YES

用户登录FTP服务器后是否具有访问自己目录以外的其他文件的权限，设置为YES时，用户被锁定在自己的home目录中，vsftpd将在下面chroot\_list\_file选项值的位置寻找chroot\_list文件，必须与下面的设置项配合。

10）\#chroot\_list\_file=/etc/vsftpd/chroot\_list：被列入此文件的用户，在登录后将不能切换到自己目录以外的其他目录，从而有利于FTP服务器的安全管理和隐私保护。此文件需自己建立。

11）\#ls\_recurse\_enable=YES：是否允许递归查询。默认为关闭，以防止远程用户造成过量的I/O。

12）listen=NO：是否允许监听。如果设置为YES，则vsftpd将以独立模式运行，由vsftpd自己监听和处理IPv4端口的连接请求。

13）listen\_ipv6=YES：设定是否支持IPV6。如要同时监听IPv4和IPv6端口，则必须运行两套vsftpd，采用两套配置文件，同时确保其中有一个监听选项是被注释掉的。

14）pam\_service\_name=vsftpd：设置PAM外挂模块提供的认证服务所使用的配置文件名，即/etc/pam.d/vsftpd文件。此文件中file=/etc/vsftpd/ftpusers字段，说明了PAM模块能抵挡的帐号内容来自文件/etc/vsftpd/ftpusers中。

15）userlist\_enable=YES：是否允许ftpusers文件中的用户登录FTP服务器，默认为NO。若此项设为YES，则user\_list文件中的用户允许登录FTP服务器。而如果同时设置了userlist\_deny=YES，则user\_list文件中的用户将不允许登录FTP服务器，甚至连输入密码提示信息都没有。

16）tcp\_wrappers=YES：是否使用tcp\_wrappers作为主机访问控制方式。tcp\_wrappers可以实现linux系统中网络服务的基于主机地址的访问控制。在/etc目录中的hosts.allow和hosts.deny两个文件用于设置tcp\_wrappers的访问控制。前者设置允许访问记录，后者设置拒绝访问记录。如想限制某些主机对FTP服务器192.168.1.101的匿名访问，编缉/etc/hosts.allow文件，如在下面增加两行命令：vsftpd:192.168.1.102:DENY 和vsftpd:192.168.1.103:DENY。表明限制IP为192.168.1.102/192.168.1.103主机访问IP为192.168.1.101的FTP服务器，此时FTP服务器虽可以PING通，但无法连接。

5、修改FTP服务器端口号，修改/etc/vsftpd/vsftpd.conf，添加如下语句：

listen\_port=4888

6、查看ftp状态

sestatus -b | grep ftp

7、在Windows机器上通过ftp登录Linux虚拟机

![SouthEast 7][]

显示无法登录，本地ping 192.168.1.112网络是通的，考虑是Linux虚拟机对请求做了拦截，登录Linux机器，打开防火墙(vim /etc/sysconfig/iptables)添加21端口的白名单，如果修改过访问端口就添加对应端口的白名单。

![SouthEast 8][]

重启防火墙service iptables restart

![SouthEast 9][]

![SouthEast 10][]

登录成功。

为了安全起见，一般不允许匿名登录，设置anonymous\_enable=NO。

添加新用户：useradd -s /sbin/nologin test1

设置密码：passwd test1

如果想使用简单密码可以使用如下命令：echo test1|passwd --stdin test1

在/etc/vsftpd/vsftpd.conf文件中添加如下配置

chroot\_local\_user=NO

chroot\_list\_enable=YES

chroot\_list\_file=/etc/vsftpd/chroot\_list

listen\_port=2001

pasv\_min\_port=8888

pasv\_max\_port=9999

allow\_writeable\_chroot=YES

如果修改了监听端口，比如这里的2001需要在防火墙中添加白名单

![SouthEast 11][]

![SouthEast 12][]

在/etc/vsftpd/目录下创建chroot\_list文件：touch chroot\_list

编辑文件添加创建的ftp用户名

查看SELniux设置

getsebool –a|grep ftp

![SouthEast 13][]

可以设置ftpd\_full\_access、ftpd\_use\_passive\_mode、httpd\_can\_connect\_ftp、tftp\_home\_dir属性打开状态

setsebool ftpd\_full\_access1

setsebool ftpd\_use\_passive\_mode1

setsebool httpd\_can\_connect\_ftp1

setsebool tftp\_home\_dir1

设置SELniux模式

出现问题1）如果cmd出现”226 Transferdone (but failed to open directory).”

![SouthEast 14][]

需要设置Linux服务器为Permissive模式

getenforce

setenforce 0

![SouthEast 15][]

需要注意的是如果重启Linux系统，需要再次设置setenforce 0。

出现问题2）在本地通过put命令上传文件报” 553 Could not create file.”。

![SouthEast 16][]

这是因为ftp用户的主目录没有可执行权限，需要执行chmod-R 777 /home/test/命令给目录赋权。

![SouthEast 17][]

然后尝试put 111.txt成功

![SouthEast 18][]  
在Windows机器中通过cmd输入ftp ip地址 (端口号)连接，然后输入用户名密码。

![SouthEast 19][]

上图中pwd列出的”/”根目录不是Linux机器上的根目录，而是test1用户的主目录。

问题3）在使用Windows资源管理器打开ftp时会报”打开FTP服务器上的文件夹时发生错误…”。

![SouthEast 20][]

这时需要对IE浏览器进行设置：点击”工具->Internet选项->高级”，找到使用被动FTP(用于防火墙和DSL调制解调器的兼容)，去掉勾选。

![SouthEast 21][]

再次通过资源管理器连接FTP服务器

![SouthEast 22][]

现在就可以看到服务器上用户文件夹下的文件了。

![SouthEast 23][]

[SouthEast]: /images/20220601/f95f3f22cb694a35b595c2704003d93a.png
[SouthEast 1]: /images/20220601/9548794cc467456588927ed5ee625f1d.png
[SouthEast 2]: /images/20220601/3c3ae2c339104989bc89f34772b21b29.png
[SouthEast 3]: /images/20220601/9d7eec5f440845e5a02f452cbaa84dcb.png
[SouthEast 4]: /images/20220601/0f49a54c07fe4e69a92a737e9c2b138d.png
[SouthEast 5]: /images/20220601/daa47e0a11e743a78b8a725eaa513712.png
[SouthEast 6]: /images/20220601/f40eb03218d843beb9578595f6f4a105.png
[SouthEast 7]: /images/20220601/03dd04bce7bb4691beb6ac071fa59dba.png
[SouthEast 8]: /images/20220601/71890f2769be4bf780552121c21fb999.png
[SouthEast 9]: /images/20220601/05c627b5508748d6945fe723a862ebae.png
[SouthEast 10]: /images/20220601/09fcc8ee096c4ba2bdcdc2f256fd1401.png
[SouthEast 11]: /images/20220601/7c7cbe6eb0744abfb80eee487cc63aa1.png
[SouthEast 12]: /images/20220601/9f4f796af9a84eda9c28c6a02c48049b.png
[SouthEast 13]: /images/20220601/34c18de40aed4ffabe6be94ac1fe602d.png
[SouthEast 14]: /images/20220601/3bc89694051f47b8959470d4091f7f06.png
[SouthEast 15]: /images/20220601/d236f92908ad47f69246518b6ecb452f.png
[SouthEast 16]: /images/20220601/558b25d9f88c455cba416e9d4f2cfb01.png
[SouthEast 17]: /images/20220601/5c76b15c752c42d89ea80b7d1814f0ed.png
[SouthEast 18]: /images/20220601/26a809056ca5489bbff661cbb745a955.png
[SouthEast 19]: /images/20220601/de214d3a608c4cb5a36ca0952fe6b8ae.png
[SouthEast 20]: /images/20220601/82c2370fefb04cd79cd24e081e5a7be0.png
[SouthEast 21]: /images/20220601/382de9d78e9d4305ab9dcf53684ecca0.png
[SouthEast 22]: /images/20220601/3866101f966441019fb57a46059e1f7f.png
[SouthEast 23]: /images/20220601/5529c31e00854248b3c604a297a66837.png