Liunx运维--FTP的部署安全优化

女爷i 2023-06-12 12:30 11阅读 0赞

# 一、FTP的安装及启用 #

**1 FTP**

**FTP ( File TransferProtocol，文件传输协议 )** 是 INTERNET 上仍常用的最老的网络协议之一 , 它为系统提供了通过网络与远程服务器进行传输的简单方法。

在 RED HAT ENTREPRISE LINUX 7中，FTP 服务器包的名称为 **VSFTPD** , 它代表 Very Secure File TransferProtocol Damon 服务器名称也叫做 vsftpd默认配置文件让ANONYMOUS 用户只能下载位于 CHROOT 目录中的内容。

**`/var/ftp/` （默认发布目录）** 这意味着远程 FTP 客户端能以用户anonymous 或 ftp 身份连接到服务器 ( 无需密码 ), 并从 ftp服务器上的 /var/ftp/ 目录下载文件 ( 其本地 ftp 用户可以读取这些文件 )

**主配置目录：** `/etc/vsftpd/vsftpd.conf`

**协议接口：** 协议接口： 21/tcp  
主动访问时文件传输端口为 20  
被动访问时随机开启1024以上随机端口（默认）

**2 安装FTP**

在配置好yum仓库后执行以下命令即可安装FTP及FTP浏览器：

yum install vsftpd.x86_64 lftp.x86_64 -y			#vsftp为ftp服务，lftp为ftp浏览器

ftp服务状态与火墙调整：

systemctl start vsftpd								#开启ftp
     systemctl enable vsftpd							#使ftp开机启动
     firewall-cmd --permanent --add-service=ftp			#在火墙中允许ftp运行
     firewall-cmd --reload								#重载火墙

![在这里插入图片描述][20191113093534346.png]  
**3 测试**

在另一台同网段主机中：

lftp 172.25.254.216

![在这里插入图片描述][20191113094559585.png]  
发现可以成功进入发布目录，说明ftp安装成功

**4 错误id解析**

<table> 
 <thead> 
  <tr> 
   <th>id</th> 
   <th>含义</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>500</td> 
   <td>文件系统权限过大</td> 
  </tr> 
  <tr> 
   <td>530</td> 
   <td>用户认证失败</td> 
  </tr> 
  <tr> 
   <td>550</td> 
   <td>服务本身未开放</td> 
  </tr> 
  <tr> 
   <td>553</td> 
   <td>本地文件系统权限过小</td> 
  </tr> 
 </tbody> 
</table>

# 二、FTP基本安全部署 #

实验之前首先需要将selinux关闭：更改`/etc/sysconfig/selinux`中selinux的状态为`disabled`，之后重启系统使之生效

**1 设置匿名用户登陆**

在ftp配置文件 `/etc/vsftpd/vsftpd.conf`中：  
![在这里插入图片描述][20191113100417909.png]  
默认匿名用户可以登陆，改成NO后重启服务:

systemctl restart vsftpd.service

再登陆匿名用户发现不能登陆，但是本地用户可以正常登陆：  
![在这里插入图片描述][20191113100808138.png]  
![在这里插入图片描述][201911131010132.png]  
**2 设置本地用户登陆**

在配置文件中：  
![在这里插入图片描述][20191113101746802.png]  
改成NO后重启服务，发现本地用户不能登陆：  
![在这里插入图片描述][20191113102059534.png]  
**3 设置本地用户可写**

配置文件中：  
![在这里插入图片描述][20191113102313235.png]  
默认可写：  
![在这里插入图片描述][20191113102657542.png]  
改成NO重启服务后：  
![在这里插入图片描述][20191113102935867.png]

# 三、设置匿名用户读写 #

**1 匿名用户上传**

默认设置下，匿名用户上传文件时：  
![在这里插入图片描述][20191113104113163.png]  
在配置文件中：  
![在这里插入图片描述][20191113104418284.png]  
将功能打开（同时也要打开`write_enable=YES`），重启服务后使用匿名用户上传文件：  
![在这里插入图片描述][20191113104849632.png]  
因此还需要修改本地文件系统`/var/ftp/pub`权限  
**注意：**`/var/ftp`目录不能有写权限，否则不能登陆，因此需要修改`/var/ftp/pub`权限

chmod 775 /var/ftp/pub/
     chgrp ftp /var/ftp/pub/

![在这里插入图片描述][20191113105513582.png]  
之后再使用匿名用户上传文件发现可以成功上传：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70]  
**2 匿名用户下载**

默认情况下匿名用户下载：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 1]  
使用`man 5 vsftpd.conf`查看匿名用户下载权限设定：  
![在这里插入图片描述][2019111311121644.png]  
在配置文件中写入：  
![在这里插入图片描述][2019111311153721.png]  
保存后重启服务，再次使用匿名用户下载文件：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 2]

**3 匿名用户建立目录**

默认情况下匿名用户建立目录：  
![在这里插入图片描述][20191113112237718.png]  
在配置文件中将`anon_mkdir_write_enable=YES`功能打开：  
![在这里插入图片描述][20191113112449881.png]  
重启服务后再次建立目录：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 3]

**4 匿名用户删除和重命名目录**

默认情况下匿名用户删除目录：  
![在这里插入图片描述][20191113145919299.png]  
使用`man 5 vsftpd.conf`查看匿名用户删除目录设定：  
![在这里插入图片描述][20191113150137674.png]  
在配置文件中将`anon_mkdir_write_enable=YES`功能打开：  
![在这里插入图片描述][20191113151044692.png]

重启服务后再次删除和重命名目录：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 4]  
![在这里插入图片描述][20191113151431755.png]

# 四、匿名用户其他参数设定 #

**1 匿名用户上传文件的权限**

默认情况下匿名用户上传文件的权限为600：  
![在这里插入图片描述][2019111315205395.png]  
可以在配置文件中作以下更改来改变上传文件的权限：  
![在这里插入图片描述][20191113152351705.png]  
之后再次上传文件：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 5]  
**2 匿名用户指定默认发布目录**

可以在配置文件中加：

anon_root=/westos			#指定默认发布目录为/westos

![在这里插入图片描述][20191113153433694.png]  
测试：

mkdir /westos
     touch /westos/file{ 1..5}

![在这里插入图片描述][20191113154314479.png]  
**3 设定匿名用户上传速率**

在配置文件中：  
![在这里插入图片描述][20191113155613922.png]  
![在这里插入图片描述][20191113155835975.png]  
**4 客户端数量限制**

默认情况下客户端数量没有限制，可以在配置文件中填入以下信息：![在这里插入图片描述][20191113160646567.png]  
测试：  
![在这里插入图片描述][20191113161353730.png]

# 五、本地用户的设定 #

**1 本地用户能否登陆**

local_enable=YES

**2 本地用户是否可写**

write_enable=YES

**3 本地用户上传的文件的权限**

local_umask=022

**4 本地用户登陆目录设定**

本地用户登陆时默认在其家目录`/home/user`中，可以在配置文件中加入：  
![在这里插入图片描述][20191113162821323.png]  
重启服务后的登陆：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 6]  
**5 限定本地用户在其家目录中**

本地用户登陆时默认在其家目录`/home/user`中，但是还可以去`/`目录，可以在配置文件中修改以限定本地用户在其家目录中：  
![在这里插入图片描述][20191113163750453.png]  
之后需要去掉家目录中的写权限：

chmod u-w /home/*

![在这里插入图片描述][20191113164054296.png]  
![在这里插入图片描述][20191113164219571.png]  
**6 限定某些本地用户在其家目录中(黑名单)**

将某些用户限制在其家目录中，需要在配置文件中进行以下设定：  
![在这里插入图片描述][20191113170327795.png]  
`/etc/vsftpd/chroot_list`文件默认不存在，需要建立并编辑文件：

vim /etc/vsftpd/chroot_list			#写入需要限制的本地用户
      chmod u-w /home/*						#删除写权限

![在这里插入图片描述][20191113165130491.png]  
使用lee用户打开根目录：  
![在这里插入图片描述][20191113170514537.png]

**7 限定某些本地用户可以进入根目录(白名单)**

在配置文件中进行以下设定：  
![在这里插入图片描述][20191113170802549.png]  
测试，此时lee在白名单中：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 7]  
**8 限制本地用户登陆**

vim /etc/vsftpd/ftpusers		#用户黑名单
     vim /etc/vsftpd/user_list		#用户临时黑名单

当用户在`/etc/vsftpd/ftpusers`文件中时，用户不能登陆ftp，登陆会提示530错误

当用户出现在`/etc/vsftpd/user_list`中时，用户也不能登陆ftp，**但是**当在配置文件`/etc/vsftpd/vsftpd.conf`写入：

userlist_deny=NO

时，`/etc/vsftpd/user_list`将会变成白名单

# 六、虚拟用户的认证设定 #

**1 建立认证文件**

vim vuserlist

在文件内写入三那个虚拟用户和密码：  
user1  
123  
user2  
123  
user3  
123  
使用以下命令对其进行加密：

db_load -T -t hash -f vuserlist vuserlist.db

**2 生成认证策略**

vim /etc/pam.d/ftpuser

在文件中写入：

account         required        pam_userdb.so   db=/etc/vsftpd/vuserlist
      auth            required        pam_userdb.so   db=/etc/vsftpd/vuserlist

![在这里插入图片描述][20191113194945886.png]

**3 编辑配置文件**  
在`/etc/vsftpd/vsftpd.conf`中写入：

pam_service_name=ftpuser
     guest_enable=YES
     guest_username=ftp

![在这里插入图片描述][20191113195906593.png]  
更改后重启服务，测试：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 8]

# 七、虚拟用户家目录的设定和授权独立 #

## （1）虚拟用户家目录的设定 ##

**1 建立虚拟用户家目录及测试文件**

mkdir /var/ftpuserdir/user{ 1..3}/pub -p
     touch /var/ftpuserdir/user1/user1file
     touch /var/ftpuserdir/user2/user2file
     touch /var/ftpuserdir/user3/user3file

**2 更改配置文件**

vim /etc/vsftpd/vsftpd.conf

写入：

local_root=/var/ftpuserdir/$USER
     user_sub_token=$USER

![在这里插入图片描述][20191113201924900.png]  
**3 测试**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 9]

## （2）虚拟用户家授权独立 ##

**1 更改文件与目录权限**

chgrp ftp /var/ftpuserdir/ -R
     chmod 775 /var/ftpuserdir/user{ 1..3}/pub

**2 独立配置文件**

vim /etc/vsftpd/vsftpd.conf

写入：

user_config_dir=/etc/vsftpd/user_config		#指定用户独立配置目录

建立独立配置目录与文件：

mkdir /etc/vsftpd/user_config					#用户独立配置目录
     vim /etc/vsftpd/user_config/user2				#user2的独立配置文件，此文件优先级高

在独立配置文件中写入：

anon_upload_enable=YES			#允许上传文件，若需要其他权限可以加其他参数

重启服务：

systemctl restart vsftpd.service

**3 测试**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 10]

[20191113093534346.png]: https://img-blog.csdnimg.cn/20191113093534346.png
[20191113094559585.png]: https://img-blog.csdnimg.cn/20191113094559585.png
[20191113100417909.png]: https://img-blog.csdnimg.cn/20191113100417909.png
[20191113100808138.png]: https://img-blog.csdnimg.cn/20191113100808138.png
[201911131010132.png]: https://img-blog.csdnimg.cn/201911131010132.png
[20191113101746802.png]: https://img-blog.csdnimg.cn/20191113101746802.png
[20191113102059534.png]: https://img-blog.csdnimg.cn/20191113102059534.png
[20191113102313235.png]: https://img-blog.csdnimg.cn/20191113102313235.png
[20191113102657542.png]: https://img-blog.csdnimg.cn/20191113102657542.png
[20191113102935867.png]: https://img-blog.csdnimg.cn/20191113102935867.png
[20191113104113163.png]: https://img-blog.csdnimg.cn/20191113104113163.png
[20191113104418284.png]: https://img-blog.csdnimg.cn/20191113104418284.png
[20191113104849632.png]: https://img-blog.csdnimg.cn/20191113104849632.png
[20191113105513582.png]: https://img-blog.csdnimg.cn/20191113105513582.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/2019111310580859.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20191113110340816.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[2019111311121644.png]: https://img-blog.csdnimg.cn/2019111311121644.png
[2019111311153721.png]: https://img-blog.csdnimg.cn/2019111311153721.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/2019111311175922.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[20191113112237718.png]: https://img-blog.csdnimg.cn/20191113112237718.png
[20191113112449881.png]: https://img-blog.csdnimg.cn/20191113112449881.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20191113112744603.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[20191113145919299.png]: https://img-blog.csdnimg.cn/20191113145919299.png
[20191113150137674.png]: https://img-blog.csdnimg.cn/20191113150137674.png
[20191113151044692.png]: https://img-blog.csdnimg.cn/20191113151044692.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/20191113151357803.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[20191113151431755.png]: https://img-blog.csdnimg.cn/20191113151431755.png
[2019111315205395.png]: https://img-blog.csdnimg.cn/2019111315205395.png
[20191113152351705.png]: https://img-blog.csdnimg.cn/20191113152351705.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 5]: https://img-blog.csdnimg.cn/20191113152631245.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[20191113153433694.png]: https://img-blog.csdnimg.cn/20191113153433694.png
[20191113154314479.png]: https://img-blog.csdnimg.cn/20191113154314479.png
[20191113155613922.png]: https://img-blog.csdnimg.cn/20191113155613922.png
[20191113155835975.png]: https://img-blog.csdnimg.cn/20191113155835975.png
[20191113160646567.png]: https://img-blog.csdnimg.cn/20191113160646567.png
[20191113161353730.png]: https://img-blog.csdnimg.cn/20191113161353730.png
[20191113162821323.png]: https://img-blog.csdnimg.cn/20191113162821323.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 6]: https://img-blog.csdnimg.cn/20191113163006934.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[20191113163750453.png]: https://img-blog.csdnimg.cn/20191113163750453.png
[20191113164054296.png]: https://img-blog.csdnimg.cn/20191113164054296.png
[20191113164219571.png]: https://img-blog.csdnimg.cn/20191113164219571.png
[20191113170327795.png]: https://img-blog.csdnimg.cn/20191113170327795.png
[20191113165130491.png]: https://img-blog.csdnimg.cn/20191113165130491.png
[20191113170514537.png]: https://img-blog.csdnimg.cn/20191113170514537.png
[20191113170802549.png]: https://img-blog.csdnimg.cn/20191113170802549.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 7]: https://img-blog.csdnimg.cn/20191113171043904.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[20191113194945886.png]: https://img-blog.csdnimg.cn/20191113194945886.png
[20191113195906593.png]: https://img-blog.csdnimg.cn/20191113195906593.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 8]: https://img-blog.csdnimg.cn/20191113200320579.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[20191113201924900.png]: https://img-blog.csdnimg.cn/20191113201924900.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 9]: https://img-blog.csdnimg.cn/20191113202304674.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2_size_16_color_FFFFFF_t_70 10]: https://img-blog.csdnimg.cn/20191113204236621.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM1ODg3NTQ2,size_16,color_FFFFFF,t_70