vsftp配置(3)-认证模式

迈不过友情╰ 2024-03-26 20:03 18阅读 0赞

##### 匿名访问模式 #####

vsftpd 服务程序默认开启了匿名开放模式, 我们需要做的就是开放匿名用户的上传、下载文件的权限, 以及让匿名用户创建、删除、更名文件的权限。

\# 匿名访问模式主配置文件 /etc/vsftpd/vsftpd.conf

anonymous\_enable=YES

anon\_umask=022

anon\_upload\_enable=YES

anon\_mkdir\_write\_enable=YES

anon\_other\_write\_enable=YES

local\_enable=YES

write\_enable=YES

local\_umask=022

dirmessage\_enable=YES

xferlog\_enable=YES

connect\_from\_port\_20=YES

xferlog\_std\_format=YES

listen=NO

listen\_ipv6=YES

pam\_service\_name=vsftpd

userlist\_enable=YES

tcp\_wrappers=YES

\#总结

在vsftpd服务程序的匿名开放认证模式下, 其账户统一为anonymous, 密码为空

连接到FTP服务器后, 默认访问的是/var/ftp目录, 我们可以在其中进行创建、删除等操作

创建目录系统显示拒绝, 这是为什么呢？

原因:

1. ls -ld /var/ftp/pub 查看该目录的权限得知, 只有root管理员才有写入权限

2. getsebool -a | grep ftp 查看与FTP相关的SELinux域策略都有哪些 根据经验和策略的名称判断出是ftpd\_full\_access--> off策略规则导致了操作失败

解决:

1. chown -Rf ftp /var/ftp/pub \#开放ftp用户权限(该账户在系统中已经存在)

setsebool -P ftpd\_full\_access=on

此时, 匿名用户就可以正常使用FTP服务了

##### 本地用户模式 #####

\#本地用户模式主配置文件 /etc/vsftpd/vsftpd.conf

anonymous\_enable=NO

local\_enable=YES

write\_enable=YES

local\_umask=022

dirmessage\_enable=YES

connect\_from\_port\_20=YES

listen=NO

listen\_ipv6=YES

pam\_service\_name=vsftpd

userlist\_enable=YES

tcp\_wrappers=YES

xferlog\_enable=YES

xferlog\_std\_format=YES

\#总结

现在已经完全可以本地用户的身份登录FTP服务器了, 但是使用root无法登陆 这是因为, 为了系统的安全, 默认禁止root等用户登录FTP服务

因为vsftpd服务程序所在的目录中, 默认存放着两个名为用户名单的文件, ftpusers和user\_list 在ftpusers和user\_list两个用户文件中将root用户删除就可以登录了

在采用本地用户模式登录FTP服务器后, 默认访问的是该用户的家目录, 因此不存在写入权限不足的情况

如果不关闭SELinux, 则需要再次开启SELinux域中对FTP服务的允许策略 setsebool -P ftpd\_full\_access=on

即可以使用系统用户进行FTP服务的登录了

##### 虚拟用户模式(文本文件) #####

认证模式:vsftpd + pam + file

\#第一步:创建用于进行 FTP 认证的用户数据库文件

这里使用文本文件 vuser.list 进行用户认证 数据库文件中奇数行为账户名, 偶数行为密码

例如: vuser.list 内容

zhangsan

redhat

lisi

redhat

明文信息既不安全, 也不符合让vsftpd服务程序直接加载的格式 因此需要使用db\_load命令用哈希算法将原始的明文信息文件转换成数据库文件 降低数据库文件的权限, 然后再把原始的明文信息文件删除

db\_load -T -t hash -f vuser.list vuser.db

chmod 600 vuser.db

rm -f vuser.list

\#第二步:创建 vsftpd 服务程序用于存储文件的根目录以及虚拟用户映射的系统本地用户

FTP服务用于存储文件的根目录指的是, 当虚拟用户登录后所访问的默认位置

可以把这个系统本地用户的家目录设置为/var目录并设置不允许登录FTP服务器

useradd -d /var/ftproot -s /sbin/nologin virtual

chmod -Rf 755 /var/ftproot/

\#第三步:建立支持虚拟用户的 PAM 认证文件

PAM是一种认证机制, 通过一些动态链接库和统一的API把系统提供的服务与认证方式分开

PAM是可插拔认证模块, 使得系统管理员可以根据需求灵活调整服务程序的不同认证方式

新建一个用于虚拟用户认证的PAM文件vsftpd.vu

PAM文件内的db=参数为使用db\_load命令生成的账户密码数据库文件的路径, 但不用写数据库文件的后缀

vim /etc/pam.d/vsftpd.vu

auth required pam\_userdb.so db=/etc/vsftpd/vuser

account required pam\_userdb.so db=/etc/vsftpd/vuser

\#第四步:在 vsftpd.conf 文件中添加支持配置

在vsftpd服务程序的主配置文件中默认就带有参数 pam\_service\_name=vsftpd

表示登录FTP服务器时是根据/etc/pam.d/vsftpd文件进行安全认证的 我们要做的就是把vsftpd主配置文件中原有的 PAM 认证文件 vsftpd 修改为新建的 vsftpd.vu 文件即可

虚拟用户模式(文本文件) 参数文件 /etc/vsftpd/vsftpd.conf

anonymous\_enable=NO

pam\_service\_name=vsftpd.vu

user\_config\_dir=/etc/vsftpd/vusers\_dir

local\_enable=YES

guest\_enable=YES

guest\_username=virtual

allow\_writeable\_chroot=YES

write\_enable=YES

local\_umask=022

dirmessage\_enable=YES

xferlog\_enable=YES

connect\_from\_port\_20=YES

xferlog\_std\_format=YES

listen=NO

listen\_ipv6=YES

userlist\_enable=YES

tcp\_wrappers=YES

\#第五步:为虚拟用户设置不同的权限

只需新建一个目录, 在里面分别创建两个以zhangsan和lisi命名的文件 在每个文件中, 对用户分别进行配置, 达到管理不用用户权限的效果

mkdir /etc/vsftpd/vusers\_dir/

cd /etc/vsftpd/vusers\_dir/

touch lisi

cat > zhangsan<<EOF

anon\_upload\_enable=YES

anon\_mkdir\_write\_enable=YES

anon\_other\_write\_enable=YES

EOF

\#第六步:设置 SELinux 域允许策略

setsebool -P ftpd\_full\_access=on \#先按照前面实验中的步骤开启SELinux域的允许策略, 以免再次出现操作失败的情况

getsebool -a | grep ftp

\#第七步:使用虚拟 FTP 用户访问测试

##### 虚拟用户模式(MySQL数据库) #####

\#第一步:安装所需要程序

安装 mysql 和 pam\_mysql, pam\_mysql 由epel源提供

yum -y install vsftpd mysql-server mysql-devel pam\_mysql

\#第二步:创建虚拟用户账号

准备数据库及相关表

首先请确保mysql服务已经正常启动。而后, 按需要建立存储虚拟用户的数据库即可, 这里将其创建为vsftpd数据库

create database vsftpd;

授权vsftpd用户可以通过localhost主机操作select权限vsftpd库的所有表, 密码为123456

grant select on vsftpd.\* to vsftpd@localhost identified by '123456';

grant select on vsftpd.\* to [vsftpd@127.0.0.1][vsftpd_127.0.0.1] identified by '123456';

flush privileges;

创建相关表

use vsftpd;

create table users (id INT UNSIGNED AUTO\_INCREMENT NOT NULL, name VARCHAR(50) BINARY NOT NULL, password char(48) BINARY NOT NULL, PRIMARY KEY(id));

添加测试的虚拟用户

根据需要添加所需要的用户, 需要说明的是, 这里将其密码为了安全起见应该使用 PASSWORD 函数加密后存储

INSERT INTO users(name, password) VALUES('tom', password('123456'));

INSERT INTO users(name, password) VALUES('bob', password('123456'));

SELETC \* FROM user;

\#第三步:配置 vsftpd

建立pam认证所需文件 /etc/pam.d/vsftpd.mysql 添加如下两行, 主要32位和64位库文件的不同位置, 模块路径可不写表示pam模块路径

指定用户、密码、主机、数据库、表、用户名字段、密码字段、密码的加密方式 密码的加密方式可以通过安装的 pam\_mysql 的文档查看, /usr/share/doc/pam\_mysql-0.7/README rpm -ql pam\_mysql

auth required /lib64/security/pam\_mysql.so user=vsftpd passwd=123456 host=localhost db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2

account required /lib64/security/pam\_mysql.so user=vsftpd passwd=123456 host=localhost db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2

注意:由于mysql的安装方式不同, pam\_mysql.so基于unix sock连接mysql服务器时可能会出问题, 此时, 建议授权一个可远程连接的mysql并访问vsftpd数据库的用户。

\#修改vsftpd的配置文件, 使其适应mysql认证

建立虚拟用户映射的系统用户及对应的目录

useradd -s /sbin/nologin -d /var/ftproot vuser

chmod go+rx /var/ftproot

请确保/etc/vsftpd.conf中已经启用了以下选项

anonymous\_enable=YES

local\_enable=YES

write\_enable=YES

anon\_upload\_enable=NO

anon\_mkdir\_write\_enable=NO

chroot\_local\_user=YES