ftp

安装包:vsftpd-2.2.2-11.el6.x86_64.rpm 服务端

lftp-4.0.9-1.el6.x86_64.rpm 客户端

配置文件:/etc/vsftpd/vsftpd.conf

端口:20 21

服务数据目录:/var/ftp

启动服务:service vsftpd restart

客户端:

[root@robin ~]# lftp 172.16.110.1 ls查看重新链接，可能是防火墙的原因

lftp 172.16.110.1:~> get biji.txt

指定目录下载:

lftp 172.16.110.1:~> lcd /tmp/

lftp 172.16.110.1:/> get biji.txt

或者

lftp 172.16.110.1:/> get biji.txt -o /home/

或者

[root@robin ~]# wget ftp://172.16.110.1/biji.txt

下载目录

lftp 172.16.110.1:/> mirror software/

上传文件

lftp 172.16.110.1:/> put /root/install.log

上传目录

lftp 172.16.110.1:/pub> mirror -R /boot/

匿名模式

上传文件 （还要对文件有写权限，777）

anonymous_enable=yes

          anon_upload_enable=yes 27 

          anon_mkdir_write_enable=yes 31 

          anon_umask=022 

上传文件下载

anon_umask=022 (在添加此权限之前上传的文件都不刻意再下载，只有开启次权限后再上传的文件可以再下载)

限速

anon_max_rate=20000

修改匿名帐号登录位置

方法:1.修改ftp用户家目录（家目录权限必须是755）

ftp:x:14:50:FTP User:/tmp/ftp:/sbin/nologin

方法2:

[root@robin ftp]# vim /etc/vsftpd/vsftpd.conf

anon_root=/tmp/ftp

工作原理

主动模式

C S

1024+n---------->21

1024+m- -------->21

1024+m<------- --20

主动方式的FTP是这样的：客户端从一个任意的非特权端口N（N>1024）连接到FTP服务器的命令端口，也就是21端口。然后客户端开始监听端口N+1，并发送FTP命令"port N+1"到FTP服务器。接着服务器会从它自己的数据端口（20）连接到客户端指定的数据端口（N+1）。

针对FTP服务器前面的防火墙来说，必须允许以下通讯才能支持主动方式FTP：

1. 任何端口到FTP服务器的21端口 （客户端初始化的连接 S<-C）

2. FTP服务器的21端口到大于1024的端口（服务器响应客户端的控制端口 S->C）

3. FTP服务器的20端口到大于1024的端口（服务器端初始化数据连接到客户端的数据端口 S->C）

4. 大于1024端口到FTP服务器的20端口（客户端发送ACK响应到服务器的数据端口 S<-C）

总结：

命令连接：客户端>1024端口-> 服务器21端口

数据连接：客户端>1024端口<- 服务器20端口

端口模式

C S

1024+n--------->21

<-----------------1024+m

1024+x--------->1024+m

为了解决服务器发起到客户的连接的问题，人们开发了一种不同的FTP连接方式。这就是所谓的被动方式，或者叫做PASV，当客户端通知服务器它处于被动模式时才启用。

在被动方式FTP中，命令连接和数据连接都由客户端，这样就可以解决从服务器到客户端的数据端口的入方向连接被防火墙过滤掉的问题。当开启一个 FTP连接时，客户端打开两个任意的非特权本地端口（N > 1024和N+1）。第一个端口连接服务器的21端口，但与主动方式的FTP不同，客户端不会提交PORT命令并允许服务器来回连它的数据端口，而是提交 PASV命令。这样做的结果是服务器会开启一个任意的非特权端口（P > 1024），并发送PORT P命令给客户端。然后客户端发起从本地端口N+1到服务器的端口P的连接用来传送数据。

对于服务器端的防火墙来说，必须允许下面的通讯才能支持被动方式的FTP:

1. 从任何端口到服务器的21端口 （客户端初始化的连接 S<-C）

2. 服务器的21端口到任何大于1024的端口 （服务器响应到客户端的控制端口的连接 S->C）

3. 从任何端口到服务器的大于1024端口 （入；客户端初始化数据连接到服务器指定的任意端口 S<-C）

4. 服务器的大于1024端口到远程的大于1024的端口（出；服务器发送ACK响应和数据到客户端的数据端口 S->C）

总结：

命令连接：客户端>1024端口-> 服务器21端口

数据连接：客户端>1024端口-> 服务器>1024端口

客户端传输模式（客户端开启被动模式）

[root@robin tmp]# vim /etc/lftp.conf

set ftp:passive-mode off

服务器关闭被动模式

[root@data1 ftp]# vim /etc/vsftpd/vsftpd.conf

pasv_enable=no

用户验证登录(基于系统用户)

[root@robin tmp]# useradd robin 此用户是在服务端

[root@robin tmp]# passwd robin

[root@robin tmp]# lftp -u robin,123 172.16.110.1 默认进入用户的家目录

ftp用户将shell设置为:/sbin/nologin

当然你要保证自己能读写自己的目录,就要在配置文件vsftpd.conf里设置一下就可以读写了.

local_enable=yes

write_enable=yes

local_umask=022

限制本地用户切换目录

不限制此功能可以随意切换目录 ls，并在有权限的目录下上传文件(tmp)

方法1:

[root@robin tmp]# vim /etc/vsftpd/vsftpd.conf

chroot_local_user=YES 限制所有用户切换目录

设置本地用户登录目录(不要求目录权限,如果上传就需要写权限)

local_root=/tmp/manager

限制本地用户速度

local_max_rate=200000

限制用户使用ftp

方法1:

将不允许登录的用户写入该文件:/etc/vsftpd/ftpusers (执行命令时，显示连接)

方法2:黑白名单

userlist_enable=YES

userlist_deny=YES

名单文件:/etc/vsftpd/user_list 黑名单

userlist_enable=YES

userlist_deny=NO

名单文件:/etc/vsftpd/user_list 白名单(名单以外的用户不可操作)

虚拟用户

1.建立用户数据库

cat /etc/vsftpd/ftpuser.txt

test111 # 账户

pass111 # 密码

test222

pass222

2.转换文本文件为数据库文件

[root@robin ~]# rpm -qf $(which db_load)

db4-utils-4.7.25-17.el6.x86_64

[root@robin ~]# db_load -T -t hash -f /etc/vsftpd/ftpuser.txt /etc/vsftpd/vsftpd_login.db

[root@robin ~]# chmod 600 /etc/vsftpd/vsftpd_login.db

3.更改验证方式

[root@robin ~]# mv /etc/pam.d/vsftpd /etc/pam.d/vsftpd.bak

[root@robin ~]# vim /etc/pam.d/vsftpd 新建一个虚拟用户的pam文件

auth required /lib64/security/pam_userdb.so db=/etc/vsftpd/vsftpd_login

account required /lib64/security/pam_userdb.so db=/etc/vsftpd/vsftpd_login

4.建立系统帐号做为虚拟帐号的映射帐号

[root@robin ~]# useradd -d /home/vsftp virtual

[root@robin ~]# chmod 755 /home/vsftp

5.修改配置文件启用虚拟用户

[root@robin ~]# vim /etc/vsftpd/vsftpd.conf

guest_enable=YES # 开启虚拟用户功能

guest_username=virtual # 指定虚拟用户使用的系统用户

权限:

virtual_use_local_privs=YES 该选项为YES虚拟帐号权限和本地用户相同

virtual_use_local_privs=NO 该选项为NO虚拟帐号权限和匿名用户相同

给每个用户设置权限

[root@robin ~]# vim /etc/vsftpd/vsftpd.conf

virtual_use_local_privs=YES

user_config_dir=/etc/vsftpd/vsftp_user_conf

[root@robin ~]# mkdir /etc/vsftpd/vsftp_user_conf

[root@robin ~]# touch /etc/vsftpd/vsftp_user_conf/test111

[root@robin ~]# cat /etc/vsftpd/vsftp_user_conf/test111

write_enable=NO

local_max_rate=20000000

[root@robin ~]# touch /etc/vsftpd/vsftp_user_conf/test222

[root@robin ~]# cat /etc/vsftpd/vsftp_user_conf/test222

write_enable=YES

local_max_rate=1000000

登录后目录都是 /home/vsftp

可以在/etc/vsftpd/vsftp_user_conf/test111 中添加

local_root=/home/vsftp/test111

添加vsftp 用户的步骤

1.在/etc/vsftpd/ftpuser.txt中添加用户和密码

2.运行db_load命令将用户和密码加入数据库

3.在/home/vsftp 中新建文件夹与用户同名

4.在vsftpd_user_conf 中新建和用户同名的文件并加入local_root=/home/vsftp/name

=========================

7. 实现虚拟路径

        将某个目录挂载到FTP服务器下供用户使用,这就叫做虚拟路径. 

        比如将gxl用户的目录挂载到FTP服务器中,供FTP服务器的用户使用,使用如下命令即可: 

    [[root@localhost](mailto:root@localhost) opt]#     mount --bind /home/gxl /var/ftp/pub #使用挂载命令 

    [[root@localhost](mailto:root@localhost) opt]#     ls /var/ftp/pub 

                LumaQQ Screenshot.png 桌面 

8. 打开vsFTPd的日志功能

        添加下面一行到vsftpd.conf文件中,一般情况下该文件中有这一行,只要把前面的注释符号#去掉即可,没有的话就添加,或者修改: 

            xferlog_file=/var/log/vsftpd.log 

9. 限制链接数,以及每个IP最大的链接数

        修改配置文件中,例如vsftp最大支持链接数100个,每个IP能支持5个链接: 

            max_client=100 

            max_per=5 

10. 限制传输速度

        修改配置文件中,例如让匿名用户和vsftd上的用户(即虚拟用户)都以80KB=1024*80=81920的速度下载 

            anon_max_rate=81920 

            local_max_rate=81920 

11. 将用户(一般指虚拟用户)限制在自家目录

        修改配置文件中,这样用户就只能访问自己家的目录了: 

            chroot_local_user=yes 

        如果只想某些用户仅能访问自己的目录,其它用户不做这个限制,那么就需要在chroot_list文件(此文件一般是在/etc/vsftpd/中)中添加此用户. 

        编辑此文件,比如将test用户添加到此文件中,那么将其写入即可.一般的话,一个用户占一行. 

[root@localhost vsftpd]# cat chroot_list

                    test 

12. 绑定某个IP到vsFTPd

        有时候要限制某些IP访问服务器,只允许某些IP访问,例如只允许192.168.0.33访问这个FTP,同样修改配置文件: 

            listen_address=192.168.0.33 

配置 vsftpd.conf

anonymous_enable=NO #禁止匿名

local_enable=YES #允许本地登录

write_enable=YES #允许写，如需上传，则必须

local_umask=027 #将上传文件的权限设置为：777-local_umask

anon_upload_enable=YES #允许虚拟用户和匿名用户上传

anon_other_write_enable=YES #允许虚拟用户和匿名用户修改文件名和删除文件

dirmessage_enable=YES

xferlog_enable=YES #打开日志记录

connect_from_port_20=YES

xferlog_file=/var/log/vsftpd.log #日志存放位置

xferlog_std_format=YES #标准日志格式

idle_session_timeout=600 #空闲连接超时

data_connection_timeout=120

ftpd_banner=Welcome to ChinaRise FTP service #欢迎信息

guest_enable=yes #允许虚拟用户

guest_username=vsftpdguest #虚拟用户使用的系统账号

virtual_use_local_privs=YES #虚拟用户拥有本地系统权限

chroot_local_user=NO

chroot_list_enable=YES

        #以上两行将虚拟用户限制在其目录下，不能访问其他目录，或者直接用 

chroot_local_user=YES

listen=yes #监听/被动模式

listen_port=21 #监听端口

chroot_list_file=/etc/vsftpd/vsftpd.chroot_list #虚拟用户名单保存在文件/etc/vsftpd/vsftpd.chroot_list 中

user_config_dir=/etc/vsftpd/vsftpd_user_conf #每个虚拟用户名的更加详细的培植保存在/etc/vsftpd/vsftpd_user_conf 中

                                                                                        虚拟用户其他设置 

在/etc/vsftpd/vsftpd.chroot_list 文件中写入允许登陆的虚拟用户名称，每行一个

在/etc/vsftpd/vsftpd_user_conf 文件夹中创建一个以虚拟用户用户名命名的文件，

写入：local_root = /var/FTP/子目录名

然后在/var/FTP下创建一个对应的目录即可