原文地址：http://www.178linux.com/4450

一、 ftp服務，File Transfer Protocal 檔案傳輸協議 

    1. ftp基於tcp協議，C/S架構 

        Server: wu-ftpd， proftpd ，pureftp，vsftpd:（Very Secure ftpd），IIS，ServU

        Client:

            GUI： flashfxp，cuteftp，filezilla(開源)， gftp(Linux)

            CLI：ftp， lftp，wget， lftpget

    2. ftp的傳輸機制

            1） 命令連線和資料傳輸連線

  最開始，只建立命令連線，當執行get命令時，開啟另一埠建立檔案傳輸連線，如果get多個檔案，則建立多個連線。檔案傳輸結束時，拆除相應的檔案連線。 

            2） 資料連線的主動模式和被動模式 

主動連線：通常客戶端會裝有防火牆，不允許別人主動對客戶端發起連線

被動連線：可以通過伺服器端連線追蹤機制來解決防火牆問題，無論訪問哪個埠，埠必須和已經建立的連結產生關係。 

            主動模式下： 伺服器工作在20號埠 

            被動模式下： 伺服器工作在隨機埠  

    3. 傳輸資料： 

            流式話資料： 可以存入硬碟

                                文字檔案， 二進位制檔案 等

    4. 使用者認證機制： 

        1） 系統使用者

        2） 虛擬使用者。通常存放在檔案或者資料庫中

                hash file 

                mysql 

        3） 匿名使用者 

    5. 資料傳輸安全機制： 

        sftp ：ssh提供基於ssh協議的ftp服務

        ftps ：基於ssl的ftp 

    7. 響應碼 

            1xx：資訊碼 

            2xx：成功狀態嗎 

            3xx：進一步提示補全資訊的狀態 

            4xx：客戶端錯誤

            5xx：伺服器端錯誤

二、 vsftpd 安裝和配置 

     1. 安裝vsftpd 

# yum -y install vsftpd

    /etc/pam.d/vsftpd              認證檔案存放目錄    
    /etc/rc.d/init.d/vsftpd        服務指令碼
    /usr/sbin/vsftpd               主程式檔案 
    /etc/vsftpd/vsftpd.conf        主配置檔案 
    /etc/vsftpd/ftpusers           使用者黑名單
    /etc/vsftpd/user_list         使用者限制名單 userlist_deny=NO 僅允許此名單使用者登入，userlist_deny=YES 
   不允許使用者名稱單的使用者登入
    /var/ftp/pub                   共享檔案所在位置

      3.  關於pam的認證檔案

 ## 檔案所在位置/etc/pam.d/vsftpd 關於認證檔案 
        pam: Plugable Authentication Module: 外掛式認證模組 
            1） nsswitch: 名稱解析框架 
                模組： /lib64/libnss* , /usr/lib64/libnss* 
                配置檔案： /etc/nsswitch.conf 
            2) 使用者認證框架 
                模組化：/lib64/security/pam*.so 
                配置檔案：/etc/pam.conf 和 /etc/pam.d/*

       4. chroot選項 

    ## 對於ftp使用者訪問ftp服務時使用chroot禁錮使用者 
    ## 在主配置檔案/etc/vsftpd/vsftpd.conf中配置啟動
        chroot_local_user=YES                       對於本地使用者使用chroot, 將會把其家目錄作為其root目錄 
        chroot_list_enable=YES                      chroot_list裡面的使用者不受chroot影響 
        chroot_list_file=/etc/vsftpd/chroot_list    不受chroot指令的例外使用者列表，需要手動新增，每行一個使用者名稱。如果沒有這個檔案連結會失敗

 chroot開啟前效果 

ftp登入使用者可以進入系統根目錄

chroot開啟後效果 

開啟後，使用者的家目錄被當做root了

        5. 關於匿名使用者的配置 

    anonymous_enable=YES                    允許匿名使用者登入     
    anon_upload_enable=YES                  允許匿名使用者上傳檔案
    anon_other_write_enable=YES             允許匿名使用者執行其他寫許可權 
    anon_mkdir_write_enable=YES             允許匿名使用者建立資料夾 
 
    ## 此時的許可權為ftp使用者配置的許可權疊加檔案本身許可權總和的效果 
    ## 如果檔案本身許可權不允許其他使用者修改，基本vsftpd.conf配置了匿名使用者可修改，結果依然不能修改 
    ## 資料夾也一樣，如果想要允許匿名用於在pub上傳檔案，需要將其other許可權新增+w

          6. vsftp 控制登入使用者的機制 

    ## /etc/vsftpd/ftpusers中的使用者都不允許使用ftp服務, 這是在/etc/pam.d/vsftpd中定義；/etc/pam.d/vsftpd 中應該有如下一行        
        auth       required     pam_listfile.so item=user sense=deny file=/etc/vsftpd/ftpusers onerr=succeed
    ## /etc/vsftpd/user_list檔案兩種配置方法        
        ## 黑名單：
        userlist_enable=YES
        userlist_deny=YES
        ## 白名單
        userlist_enable=YES
        userlist_deny=NO

          7. 連結限制

        max_clients: 最大併發連線數        
        max_per_ip: 每IP可同時發起併發請求

          8. 傳輸速率 

        anon_max_rate: 匿名使用者的最大傳輸速率，單位是“位元組/秒”        
        local_max_rate: 本地使用者最大傳輸速率， 單位是“位元組/秒”

          9. 匿名使用者上傳的檔案自動轉換屬主和屬組 

        chown_uploads=YES
        chown_username=someuser  ## 使用特定使用者作為上傳的檔案的屬主，並使用其所在的組當做屬組

       10. 上傳檔案的umask 

        anno_umask: 匿名使用者上傳檔案的umask; 
        local_umask:

      11. 歡迎資訊  

        banner_file=/path/to/some_banner_file        
        ftp_banner=some string
        dirmessage_enable=yes ## 需要在某ftp可訪問的目錄下建立.messages檔案

      12. 虛擬使用者： 所有虛擬使用者都會被對映為一個系統使用者， 訪問時檔案目錄為此係統使用者的家目錄 

                  虛擬使用者認證機制： hash編碼的檔案，奇數行為使用者名稱，偶數行尾祕密

                  關係型資料庫： pam-mysql第三方模組認證 

三、 詳解配置虛擬使用者 

    1. 安裝mysql和pam_mysql(epel源提供) 

# yum -y install vsftpd mysql-server mysql-devel pam_mysql

  2. 建立虛擬使用者賬號所對映的系統使用者 

    # useradd -s /sbin/nologin -d /var/ftproot vuser     
    # chmod go+rx /var/ftproot

    3. 在資料庫中新增虛擬使用者

    mysql> create database vsftpd;    
    mysql> grant select on vsftpd.* to [email protected] identified by 'vsftpd';
    mysql> flush privileges;
    mysql> insert into users(name,password) values('tom',password('tom'));
    mysql> insert into users(name,password) values('jerry',password('jerry'));

    auth required /lib/security/pam_mysql.so user=vsftpd passwd=vsftpd host=192.168.98.128 db=vsftpd 
    table=users usercolumn=name passwdcolumn=password crypt=2    

    account required /lib/security/pam_mysql.so user=vsftpd passwd=vsftpd host=192.168.98.128 
    db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2
 
    ## 這裡說明一下，host是vsftpd所在主機的主機地址，同時也是在mysql中被授權訪問的主機地址。vsftpd會通過藉助pam訪問資料庫獲取資料。
    ## 而vsftpd所在的主機為192.168.98.128，這裡的host也是這個。 如果把vsftpd放在其他主機上與資料庫分開管理也是可以的。 
    ## crypt 加密方式
    ##  0 明文
    ##  1 Y 
    ##  2 為mysql中的password()函式加密 
    ##  3 md5
    ##  4 sha1

     5. 配置vsftpd配置檔案

    ## 主要新增下面三行    
        # vim /etc/vsftpd/vsfptd.conf 
        guest_enable=YES                    ## 允許使用虛擬使用者
        guest_username=vuser                ## 虛擬使用者對映為vuser系統使用者
        pam_service_name=vsftpd.mysql       ## pam配置檔案位置為/etc/pam.d/vsftpd.mysql 
 
    ## 下面是一些vsftpd的基本選項 
        anonymous_enable=YES
        local_enable=YES
        write_enable=YES
        anon_upload_enable=NO
        anon_mkdir_write_enable=NO
        chroot_local_user=YES
 
    ## 另外每個虛擬使用者的單獨許可權可以在 /etc/vsftpd/vuser/ 配置
        例如：
        # vim /etc/vsftpd/vuser/tom  寫下一下幾行
        anon_upload_enable=YES
        anon_mkdir_write_enable=YES

      6. 重啟vsftpd服務，測試效果 

    # service vsftpd restart     
    在另一個臺主機上 
    # ftp 192.168.98.128 
        Connected to 192.168.98.128 (192.168.98.128).
        220 (vsFTPd 2.2.2)
        Name (192.168.98.128:root): tom
        331 Please specify the password.
        Password:
        230 Login successful.
        Remote system type is UNIX.
        Using binary mode to transfer files.
        ftp> 
    測試成功。

        7. 常見的不能正常認證的錯誤 

            1） iptables 忘記關，selinux沒有disable ：此時通常的錯誤是資料庫無法訪問 

            2） 虛擬使用者無法認證： 有可能是加密方式沒有設定統一 

            3） 資料庫沒法連線， 資料庫訪問的使用者和主機要和pam檔案的使用者主機統一，一定要明確，是vsftpd藉助pam訪問資料庫，而不是ftp客戶端訪問資料庫。我在這裡被坑了好幾天。