Linux Centos 通過虛擬使用者訪問FTP的配置
Linux Centos 通過虛擬使用者訪問FTP的配置
實驗需求：
讓下面4個虛擬使用者使用系統使用者 ftpvu 的許可權來連線到Linux FTP伺服器，並確保都鎖定在
自己的虛擬使用者目錄，不能切換到其他目錄。 ftp1-3的頻寬速率限制在500KB， davidge 使用者不限制頻寬。
系統環境：
[root@cent7-184 ~]# uname -r
3.10.0-229.el7.x86_64
[root@cent7-184 ~]# cat /etc/redhat-release
CentOS Linux release 7.5.1804 (Core)
還需要先關閉防火牆和selinux。
先yum安裝vsftpd：
yum -y install vsftpd
查詢是否正確安裝vsftpd：
[root@cent7-184 ~]# rpm -qa vsftpd
vsftpd-3.0.2-25.el7.x86_64
之後安裝PAM（用於使用者認證）和DB4（用於生成虛擬使用者的使用者名稱密碼的db檔案）
yum -y install pam pam-devel db4 db-devel db4-utils db4-tcl
[root@cent7-184 ~]# rpm -qa pam pam-devel db4 db-devel db4-utils db4-tcl
pam-devel-1.1.8-22.el7.x86_64
pam-1.1.8-22.el7.i686
pam-1.1.8-22.el7.x86_64
建立用於虛擬使用者的系統使用者ftpvu，並禁止通過shell登陸，不建立家目錄。
[root@cent7-184 ~]# useradd ftpvu -M -s /sbin/nologin
[root@cent7-184 ~]# id ftpvu
uid=8890(ftpvu) gid=8890(ftpvu) groups=8890(ftpvu)
建立虛擬使用者資訊的檔案：
直接在命令列執行即可（奇數行是使用者名稱，偶數行是密碼）
也可以自己通過vi, vim來複制下面的使用者資訊來手動建立。
cat >>/etc/vsftpd/virtusers <<EOF
ftp1
123456
ftp2
123456
ftp3
123456
davidge
123456
EOF
生成虛擬使用者認證的db檔案
db_load -T -t hash -f /etc/vsftpd/virtusers /etc/vsftpd/virtusers.db
如果新增使用者後需要重新執行上面的 db_load 命令來重新生成加密使用者資訊。
配置pam驗證的配置檔案：
cat >/etc/pam.d/vsftpd <<EOF
#%PAM-1.0
auth sufficient /lib64/security/pam_userdb.so db=/etc/vsftpd/virtusers
account sufficient /lib64/security/pam_userdb.so db=/etc/vsftpd/virtusers
EOF
[root@cent7-184 vsftpd]# cat /etc/pam.d/vsftpd
#%PAM-1.0
auth sufficient /lib64/security/pam_userdb.so db=/etc/vsftpd/virtusers
account sufficient /lib64/security/pam_userdb.so
建立虛擬使用者的儲存路徑並修改目錄許可權為755，owner為： ftpvu
[root@cent7-184 ~]# mkdir -p /data/ftp/{ftp1,ftp2,ftp3}
[root@cent7-184 ~]# mkdir -p /data/ftp/davidge
[root@cent7-184 ~]# chmod -R 755 /data/ftp/
[root@cent7-184 ~]# chown -R ftpvu. /data/ftp/
[root@cent7-184 ~]# ls -l /data/ftp/
total 0
drwxr-xr-x 2 ftpvu ftpvu 6 Mar 2 10:53 davidge
drwxr-xr-x 2 ftpvu ftpvu 6 Mar 2 10:53 ftp1
drwxr-xr-x 2 ftpvu ftpvu 6 Mar 2 10:53 ftp2
drwxr-xr-x 2 ftpvu ftpvu 6 Mar 2 10:53 ftp3
給ftp的使用者指定家目錄：
[root@cent7-184 ftp1]# usermod -d /data/ftp/ ftpvu
[root@cent7-184 ftp1]# grep ftp /etc/passwd
ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
ftpvu:x:8890:8890: :/data/ftp/ :/sbin/nologin
給每個使用者建立虛擬使用者個人配置檔案：
先建立配置檔案的根目錄：
mkdir /etc/vsftpd/vconf
shell 命令列直接建立ftp1使用者的配置檔案：
cat >>/etc/vsftpd/vconf/ftp1<<EOF
local_root=/data/ftp/ftp1
anonymous_enable=NO
anon_upload_enable=NO
anon_mkdir_write_enable=NO
write_enable=YES
local_umask=022
idle_session_timeout=600
data_connection_timeout=120
local_max_rate=512000
EOF
建立ftp2使用者的配置檔案
cat >>/etc/vsftpd/vconf/ftp2<<EOF
local_root=/data/ftp/ftp2
anonymous_enable=NO
anon_upload_enable=NO
anon_mkdir_write_enable=NO
write_enable=YES
local_umask=022
idle_session_timeout=600
data_connection_timeout=120
local_max_rate=512000
EOF
建立ftp3使用者的配置檔案
cat >>/etc/vsftpd/vconf/ftp3<<EOF
local_root=/data/ftp/ftp3
anonymous_enable=NO
anon_upload_enable=NO
anon_mkdir_write_enable=NO
write_enable=YES
local_umask=022
idle_session_timeout=600
data_connection_timeout=120
local_max_rate=512000
EOF
建立 davidge 使用者的配置檔案
cat >>/etc/vsftpd/vconf/davidge<<EOF
local_root=/data/ftp/davidge
anonymous_enable=NO
anon_upload_enable=NO
anon_mkdir_write_enable=NO
write_enable=YES
local_umask=022
idle_session_timeout=600
data_connection_timeout=120
EOF
完成後通過cat查詢配置檔案資訊：
FTP配置檔案重要引數說明：
anonymous_enable=NO # 禁用匿名使用者
dual_log_enable=yes # 配置雙重日誌。
xferlog_file=/var/log/xferlog #訪問日誌的檔案路徑
guest_enable=YES #啟用虛擬使用者
guest_username=ftpvu #指定虛擬使用者的系統使用者名稱
virtual_use_local_privs=YES #虛擬使用者使用本地使用者的許可權
user_config_dir=/etc/vsftpd/vconf #虛擬使用者配置檔案目錄
allow_writeable_chroot=YES ##可寫（可上傳）
chroot_local_user=YES #本地使用者禁錮在宿主目錄中
把下面的配置檔案追加到vsftpd.conf裡面，並禁用匿名使用者，同時開啟ftp的日誌：
通過sed禁用匿名使用者
sed -i 's@anonymous_enable=YES@anonymous_enable=NO@g' /etc/vsftpd/vsftpd.conf
追加配置檔案新到 vsftpd.conf
cat >>/etc/vsftpd/vsftpd.conf <<EOF
dual_log_enable=yes
xferlog_file=/var/log/xferlog
guest_enable=YES
guest_username=ftpvu
virtual_use_local_privs=YES
user_config_dir=/etc/vsftpd/vconf
allow_writeable_chroot=YES
anon_other_write_enable=YES
chroot_local_user=YES
EOF
最後生效的配置檔案內容：
[root@cent7-184 vsftpd]# grep '^[a-Z]' /etc/vsftpd/vsftpd.conf
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen=NO
listen_ipv6=YES
pam_service_name=vsftpd
userlist_enable=YES
tcp_wrappers=YES
dual_log_enable=yes
xferlog_enable=YES
xferlog_file=/var/log/xferlog
guest_enable=YES
guest_username=ftpvu
virtual_use_local_privs=YES
user_config_dir=/etc/vsftpd/vconf
allow_writeable_chroot=YES
anon_other_write_enable=YES
[root@cent7-184 ftp1]# systemctl restart vsftpd.service
[root@cent7-184 ftp1]# lsof -i :21
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
vsftpd 20846 root 4u IPv6 33721328 0t0 TCP *:ftp (LISTEN)
[root@cent7-184 ftp1]# netstat -lntup|grep ftp
tcp6 0 0 :::21 :::* LISTEN 20846/vsftpd
登陸測試和日誌：
使用 davidge 使用者傳輸的時候不限制速度：
只能在自己的虛擬使用者目錄下操作，不可以切換到其他目錄，否則提示550切換目錄失敗
新增新使用者的方法：
cat >>/etc/vsftpd/virtusers <<EOF
ftp10
123456
EOF
db_load -T -t hash -f /etc/vsftpd/virtusers /etc/vsftpd/virtusers.db
mkdir -p /data/ftp/ftp10
chown -R ftpvu. /data/ftp/
cat >>/etc/vsftpd/vconf/ftp10<<EOF
local_root=/data/ftp/ftp10
anonymous_enable=NO
anon_upload_enable=NO
anon_mkdir_write_enable=NO
write_enable=YES
local_umask=022
idle_session_timeout=600
data_connection_timeout=120
local_max_rate=512000
EOF
systemctl restart vsftpd.service
lsof -i :21
上面幾條命令的截圖：
驗證登陸和速率：
錯誤提示資訊和解決辦法 :
1. 500 OOPS：
由於建立的本地使用者沒有指定家目錄，需要通過usermod來指定定義的家目錄。
500 OOPS: cannot change directory:/home/ftpvu
Login failed.
[root@cent7-184 ftp1]# usermod -d /data/ftp/ ftpvu
[root@cent7-184 ftp1]# grep ftp /etc/passwd
ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
ftpvu:x:8890:8890::/data/ftp/:/sbin/nologin
2. 550 Failed:
ftp> cd /var
550 Failed to change directory.
550 Failed- 客戶端沒有切換目錄的許可權，由於限制了目錄只能訪問自己的目錄。
chroot_local_user=YES
如果想讓授權的用訪問其他目錄可以配置下面的2行：
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/vsftpd.chroot_list
並把需要切換目錄的使用者放入list檔案： /etc/vsftpd/vsftpd.chroot_list