本文共 15080 字,大约阅读时间需要 50 分钟。
<div class="content bgF8F8F8 f14">
<div id="content"><p></p><p>本文根据RedKing的帖子整理节选而来。</p>原文地址:<a href=";<p>vsftpd作为一个主打安全的FTP服务器,有很多的选项设置。下面介绍了vsftpd的配置文件列表,而所有的配置都是基于vsftpd.conf这个配置文件的。本文将提供完整的vsftpd.conf的中文说明。学习本文的内容将有助于你初步了解vsftpd的配置文件,但针对具体情况还需要制定具体的配置方法。</p><p><span style="font-family: 黑体">推荐专题:</span><a href="" target="_blank"><span style="font-family: 黑体">vsftpd入门——安装、配置、案例与常见问题</span></a></p><p><strong>vsftpd的配置文件</strong></p><p></p><table cellspacing="0" width="520" border="1"><tbody><tr><td><p>/etc/vsftpd/vsftpd.conf</p></td><td><p>主配置文件</p></td></tr><tr><td><p>/usr/sbin/vsftpd</p></td><td><p>Vsftpd的主程序</p></td></tr><tr><td><p>/etc/rc.d/init.d/vsftpd</p></td><td><p>启动脚本</p></td></tr><tr><td><p>/etc/pam.d/vsftpd</p></td><td><p>PAM认证文件(此文件中file=/etc/vsftpd/ftpusers字段,指明阻止访问的用户来自/etc/vsftpd/ftpusers文件中的用户)</p></td></tr><tr><td><p>/etc/vsftpd/ftpusers</p></td><td><p>禁止使用vsftpd的用户列表文件。记录不允许访问FTP服务器的用户名单,管理员可以把一些对系统安全有威胁的用户账号记录在此文件中,以免用户从FTP登录后获得大于上传下载操作的权利,而对系统造成损坏。(注意:linux-4中此文件在/etc/目录下)</p></td></tr><tr><td><p>/etc/vsftpd/user_list</p></td><td><p>禁止或允许使用vsftpd的用户列表文件。这个文件中指定的用户缺省情况(即在/etc/vsftpd/vsftpd.conf中设置userlist_deny=YES)下也不能访问FTP服务器,在设置了userlist_deny=NO时,仅允许user_list中指定的用户访问FTP服务器。(注意:linux-4中此文件在/etc/目录下)</p></td></tr><tr><td><p>/var/ftp</p></td><td><p>匿名用户主目录;本地用户主目录为:/home/用户主目录,即登录后进入自己家目录</p></td></tr><tr><td><p>/var/ftp/pub</p></td><td><p>匿名用户的下载目录,此目录需赋权根chmod 1777 pub(1为特殊权限,使上载后无法删除)</p></td></tr><tr><td><p>/etc/logrotate.d/vsftpd.log</p></td><td><p>Vsftpd的日志文件</p></td></tr></tbody></table><p></p><p><strong>vsftpd的主配置文件/etc/vsftpd/vsftpd.conf说明(修改前先备份)</strong></p><p>和Linux系统中的大多数配置文件一样,vsftpd的配置文件中以#开始注释。</p><pre># 是否允许匿名登录FTP服务器,默认设置为YES允许anonymous_enable=YES
local_enable=YES
write_enable=YES
#local_umask=022
#anon_upload_enable=YES
#anon_mkdir_write_enable=YES
#dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
#chown_uploads=YES
#chown_username=whoever
#xferlog_file=/var/log/vsftpd.log
#xferlog_std_format=YES
#dual_log_enable
#syslog_enable
#idle_session_timeout=600
#data_connection_timeout=120
#nopriv_user=ftpsecure
#async_abor_enable=YES
<p>下面的内容将对一些限制和权限控制的选项进行更进一步的说明。</p>
<p></p><p>除了上述那些基本设定,我们还可以在vsftpd.conf文件中添加更多的安全选项。其中几个常用的如下:</p><p><strong>限制最大连接数和传输速率</strong></p><p>在FTP服务器的管理中,无论对本地用户还是匿名用户,对于FTP服务器资源的使用都需要进行控控制,避免由于负担过大造成FTP服务器运行异常,可以添加以下配置项对FTP客户机使用FTP服务器资源进行控制:</p><ol><li>max_client设置项 用于设置FTP服务器所允许的最大客户端连接数,值为0时表示不限制。例如max_client=100表示FTP服务器的所有客户端最大连接数不超过100个。</li><li>max_per_ip设置项 用于设置对于同一IP地址允许的最大客户端连接数,值为0时表示不限制。例如max_per_ip=5表示同一IP地址的FTP客户机与FTP服务器建立的最大连接数不超过5个。</li><li>local_max_rate设置项 用于设置本地用户的最大传输速率,单位为B/s,值为0时表示不限制。例如local_max_rate=500000表示FTP服务器的本地用户最大传输速率设置为500KB/s.</li><li>anon_max_rate设置项 用于设置匿名用户的最大传输速率,单位为B/s,值为0表示不限制。例如ano_max_rate=200000,表示FTP服务器的匿名用户最大传输速率设置为200KB/s.</li></ol><p><strong>指定用户的权限设置</strong></p><p>vsftpd.user_list文件需要与vsftpd.conf文件中的配置项结合来实现对于vsftpd.user_list文件中指定用户账号的访问控制:</p><p>(1)设置禁止登录的用户账号</p><p>当vsftpd.conf配置文件中包括以下设置时,vsftpd.user_list文件中的用户账号被禁止进行FTP登录:</p><pre>userlist_enable=YESuserlist_deny=YES </pre><p>userlist_enable设置项设置使用vsftpd.user_list文件,userlist_deny设置为YES表示vsftpd.user_list文件用于设置禁止的用户账号。</p><p>(2)设置只允许登录的用户账号</p><p>当vsftpd.conf配置文件中包括以下设置时,只有vsftpd.user_list文件中的用户账号能够进行FTP登录:</p><pre>userlist_enable=YESuserlist_deny=NO </pre><p>userlist_enable设置项设置使用vsftpd.user_list文件,userlist _deny设置为NO表示vsftpd.usre_list文件用于设置只允许登录的用户账号,文件中未包括的用户账号被禁止FTP登录。</p><p>userlist_deny和userlist_enable选项限制用户登录FTP服务器(使用userlist_deny选项和user_list文件一起能有效阻止root,apache,www等系统用户登录FTP服务器,从而保证FTP服务器的分级安全性)。以下是两个选项的具体表现形式和两种搭配使用方式的效果:</p><p></p><table cellspacing="0" width="520" border="1"><tbody><tr><td><p>Userlist_enable=YES</p></td><td><p>Ftpusers中用户允许访问<br>User_list中用户允许访问</p></td></tr><tr><td><p>Userlist_enable=NO</p></td><td><p>Ftpusers中用户禁止访问<br>User_list中用户允许访问</p></td></tr><tr><td><p>Userlist_deny=YES</p></td><td><p>Ftpusers中用户禁止访问(登录时可以看到密码输入提示,但仍无法访问)<br>user_list 中用户禁止访问</p></td></tr><tr><td><p>Userlist_deny=NO</p></td><td><p>ftpusers中用户禁止访问<br>user_list中用户允许访问</p></td></tr><tr><td><p>Userlist_enable=YES 并且<br>Userlist_deny=YES</p></td><td><p>Ftpusers中用户禁止访问<br>User_list中用户禁止访问(登录时不会出现密码提示,直接被服务器拒绝)</p></td></tr><tr><td><p>Userlist_enable=YES 并且<br>Userlist_deny=NO</p></td><td><p>Ftpusers中用户禁止访问<br>User_list中用户允许访问<br> </p></td></tr></tbody></table><p></p><p><strong>修改默认端口</strong></p><p>默认FTP服务器端口号是21,出于安全目的,有时需修改默认端口号,修改/etc/vsftpd/vsftpd.conf,添加语句(例):</p><pre>listen_port=4449 </pre><p>语句指定了修改后FTP服务器的端口号,应尽量大于4000。修改后访问</p><pre>#ftp 192.168.57.2 4449</pre><p>注意这里需加上正确的端口号了,否则不能正常连接。</p><p><strong>设置用户组</strong></p><p>有关FTP用户和用户组的重要性,我们在之前<a href=";<pre>#mkdir -p /home/try 递归创建新目录#groupadd try 新建组#useradd -g try -d /home/try try1 新建用户try1并指定家目录和属组#useradd -g try -d /home/try try2 新建用户try2并指定家目录和属组#useradd -g try -d /home/try try3 新建用户try3并指定家目录和属组#passwd try1 为新用户设密码#passwd try2 为新用户设密码#passwd try3 为新用户设密码#chown try1 /home/try 设置目录属主为用户try1#chown .try /home/try 设置目录属组为组try#chmod 750 /home/try 设置目录访问权限try1为读,写,执行;try2,try3为读,执行</pre><p>由于本地用户登录FTP服务器后进入自己主目录,而try1,try2 try3对主目录/home/try分配的权限不同,所以通过FTP访问的权限也不同,try1访问权限为:上传,下载,建目录;try2,try3访问权限为下载,浏览,不能建目录和上传。实现了群组中用户不同访问级别,加强了对FTP服务器的分级安全管理。</p><p><strong>连接超时(本部分内容由<a href=";<p>配置空闲的用户会话的中断时间:如下配置将在用户会话空闲5分钟后被中断,以释放服务器的资源</p><pre>Idle_session_timeout=300</pre><p>配置空闲的数据连接的中断时间:如下配置将在数据空闲连接1分钟后被中断,同样也是为了释放服务器的资源</p><pre>Data_connection_timeout=60</pre><p>配置客户端空闲时的自动中断和激活连接的时间:如下配置将使客户端空闲1分钟后自动中断连接,并在30秒后自动激活连接</p><pre>Accept_timeout=60Connect_timeout=30</pre><p>接下来,我们将对vsftpd的日志进行介绍。</p><p></p><p><strong>常见的vsftpd日志解决方案</strong></p><p>在vsftpd.conf中有如下内容定义了日志的记录方式:</p><pre># 表明FTP服务器记录上传下载的情况xferlog_enable=YESxferlog_std_format=YES
xferlog_file=/var/log/xferlogdual_log_enable=YES
vsftpd_logfile=/var/log/vsftpd.log</pre><p>vsftpd的两个日志文件分析如下:</p><p><strong>/var/log/xferlog </strong></p><p>记录内容举例</p><pre>Thu Sep 6 09:07:48 2007 7 192.168.57.1 4323279 /home/student/phpMyadmin-2.11.0-all-languages.tar.gz b -i r student ftp 0 * c </pre><p><strong>/var/log/vsftpd.log </strong></p><p>记录内容举例</p><pre>Tue Sep 11 14:59:03 2007 [pid 3460] CONNECT: Client "127.0.0.1"<br>Tue Sep 11 14:59:24 2007 [pid 3459] [ftp] OK LOGIN;Client "127.0.0.1" ,anon password ”?"</pre><p>/var/log/xferlog日志文件中数据的分析和参数说明</p><p></p><table cellspacing="0" width="520" border="1"><tbody><tr><td>记录数据<br> </td><td>参数名称<br> </td><td>参数说明<br> </td></tr><tr><td>Thu Sep 6 09:07:48 2007<br> </td><td>当前时间<br> </td><td>当前服务器本地时间,格式为: <br>DDD MMM dd hh:mm:ss YYY<br> </td></tr><tr><td>7<br> </td><td>传输时间<br> </td><td>传送文件所用时间,单位为秒<br> </td></tr><tr><td>192.168.57.1<br> </td><td>远程主机名称/IP<br> </td><td>远程主机名称/IP<br> </td></tr><tr><td>4323279<br> </td><td>文件大小<br> </td><td>传送文件的大小,单位为byte<br> </td></tr><tr><td>/home/student/phpMyadmin-<br>2.11.0-all-languages.tar.gz<br> </td><td>文件名<br> </td><td>传输文件名,包括路径<br> </td></tr><tr><td>b<br> </td><td>传输类型<br> </td><td>传输方式的类型,包括两种:<br>a以ASCII传输 b以二进制文件传输<br> </td></tr><tr><td>–<br> </td><td>特殊处理标志<br> </td><td>特殊处理的标志位,可能的值包括:<br> 不做任何特殊处理<br>C 文件是压缩格式<br>U 文件是非压缩格式<br>T 文件是tar格式<br> </td></tr><tr><td>i<br> </td><td>传输方向<br> </td><td>文件传输方向,包括两种:<br>o 从FTP服务器向客户端传输<br>i 从客户端向FTP服务器传输<br> </td></tr><tr><td>r<br> </td><td>访问模式<br> </td><td>用户访问模式,包括:<br>a 匿名用户<br>g 来宾用户<br>r 真实用户,即系统中的用户<br> </td></tr><tr><td>student<br> </td><td>用户名<br> </td><td>用户名称<br> </td></tr><tr><td>ftp<br> </td><td>服务名<br> </td><td>所使用的服务名称,一般为FTP<br> </td></tr><tr><td>0<br> </td><td>认证方式<br> </td><td>认证方式,包括:<br>0 无<br>1 RFC931认证<br> </td></tr><tr><td><br> </td><td>认证用户id<br> </td><td>认证用户的id,如果使用,则表示无法获得该id<br> </td></tr><tr><td>c<br> </td><td>完成状态<br> </td><td>传输的状态:<br>c 表示传输已完成<br>i 表示传输示完成<br> </td></tr></tbody></table><br>最后,介绍常见的FTP命令,以及FTP数字代码的意义。<p></p><p></p><p>常见FTP命令及其功能<br></p><table cellspacing="0" width="520" border="1"><tbody><tr><td>FTP命令<br> </td><td>功能<br> </td><td>FTP命令<br> </td><td>功能<br> </td></tr><tr><td><p>ls</p></td><td>显示服务器上的目录<br> </td><td>ls [remote-dir][local-file]<br> </td><td>显示远程目录remote-dir,并存入本地文件local-file<br> </td></tr><tr><td><p>get remote-file [local-file]</p></td><td>从服务器下载指定文件到客户端 <br> </td><td>mget remote-files<br> </td><td>下载多个远程文件(mget命令允许用通配符下载多个文件)<br> </td></tr><tr><td><p>put local-file [remote-file]</p></td><td>从客户端上传指定文件到服务器<br> </td><td>mput local-file<br> </td><td>将多个文件上传至远程主机(mput命令允许用通配符上传多个文件)<br> </td></tr><tr><td><p>open</p></td><td>连接FTP服务器<br> </td><td>mdelete [remote-file]<br> </td><td>删除远程主机文件<br> </td></tr><tr><td><p>close</p></td><td>中断与远程服务器的ftp会话(与open对应)<br> </td><td>mkdir dir-name<br> </td><td>在远程主机中创建目录<br> </td></tr><tr><td><p>open host[port]</p></td><td>建立指定的ftp服务器连接,可指定连接端口<br> </td><td>newer file-name<br> </td><td>如果远程主机中file-name的修改时间比本地硬盘同名文件的时间更近,则重传该文件<br> </td></tr><tr><td><p>cd directory</p></td><td>改变服务器的工作目录<br> </td><td>rename [from][to]<br> </td><td>更改远程主机的文件名<br> </td></tr><tr><td><p>lcd directory</p></td><td>在客户端上(本地)改变工作目录<br> </td><td>pwd<br> </td><td>显示远程主机的当前工作目录<br> </td></tr><tr><td><p>bye</p></td><td>退出FTP命令状态<br> </td><td>quit<br> </td><td>同bye,退出ftp会话<br> </td></tr><tr><td><p>ascii</p></td><td>设置文件传输方式为ASCII模式<br> </td><td>reget remote-file [local-file]<br> </td><td>类似于get,但若local-file存在,则从上次传输中断处续传<br> </td></tr><tr><td><p>binary</p></td><td>设置文件传输方式为二进制模式<br> </td><td>rhelp [cmd-name]<br> </td><td>请求获得远程主机的帮助<br> </td></tr><tr><td><p>![cmd [args]]</p></td><td>在本地主机中交互shell后退回到ftp环境,如:!ls *.zip<br> </td><td>rstatus [file-name]<br> </td><td>若未指定文件名,则显示远程主机的状态,否则显示文件状态<br> </td></tr><tr><td><p>accout [password]</p></td><td>提供登录远程系统成功后访问系统资源所需的密码<br> </td><td>hash<br> </td><td>每传输1024字节,显示一个hash符号(#)<br> </td></tr><tr><td><p>append local-file [remote-file]</p></td><td>将本地文件追加到远程系统主机,若未指定远程系统文件名,则使用本地文件名<br> </td><td>restart marker<br> </td><td>从指定的标志marker处,重新开始get或put,如restart 130<br> </td></tr><tr><td><p>bye</p></td><td>退出ftp会话过程<br> </td><td>rmdir dir-name<br> </td><td>删除远程主机目录<br> </td></tr><tr><td><p>case</p></td><td>在使用mget命令时,将远程主机文件名中的大写转为小写字母<br> </td><td>size file-name<br> </td><td>显示远程主机文件大小,如:<br>size idle 7200<br> </td></tr><tr><td><p>cd remote-dir</p></td><td>进入远程主机目录<br> </td><td>status<br> </td><td>显示当前ftp状态<br> </td></tr><tr><td><p>cdup</p></td><td>进入远程主机目录的父目录<br> </td><td>system<br> </td><td>显示远程主机的操作系统<br> </td></tr><tr><td><p>delete remote-file</p></td><td>删除远程主机文件<br> </td><td>user user-name [password][account]<br> </td><td>向远程主机表明自己的身份,需要密码时,必须输入密码,如:user anonymous my@email<br> </td></tr><tr><td><p>dir [remote-dir][local-file]</p></td><td>显示远程主机目录,并将结果存入本地文件<br> </td><td>help [cmd]<br> </td><td>显示ftp内部命令cmd的帮助信息,如help get<br> </td></tr></tbody></table><p></p><p><strong>FTP数字代码的意义</strong></p><pre>110 重新启动标记应答。120 服务在多久时间内ready。125 数据链路端口开启,准备传送。150 文件状态正常,开启数据连接端口。200 命令执行成功。202 命令执行失败。211 系统状态或是系统求助响应。212 目录的状态。213 文件的状态。214 求助的讯息。215 名称系统类型。220 新的联机服务ready。221 服务的控制连接端口关闭,可以注销。225 数据连结开启,但无传输动作。226 关闭数据连接端口,请求的文件操作成功。227 进入passive mode。230 使用者登入。250 请求的文件操作完成。257 显示目前的路径名称。331 用户名称正确,需要密码。332 登入时需要账号信息。350 请求的操作需要进一部的命令。421 无法提供服务,关闭控制连结。425 无法开启数据链路。426 关闭联机,终止传输。450 请求的操作未执行。451 命令终止:有本地的错误。452 未执行命令:磁盘空间不足。500 格式错误,无法识别命令。501 参数语法错误。502 命令执行失败。503 命令顺序错误。504 命令所接的参数不正确。530 未登入。 532 储存文件需要账户登入。550 未执行请求的操作。551 请求的命令终止,类型未知。552 请求的文件终止,储存位溢出。 553 未执行请求的的命令,名称不正确。</pre>转载于:https://blog.51cto.com/309173854/2043401