跟高手学习LINUX笔记-25 --构建ＦＴＰ服务器

第四章 构建ＦＴＰ服务器 本节课所讲内容： 4.1、VSFTP服务器概述 4.2、安装配置VSFTP 4.3、实战：匿名访问VSFTP 4.4、实战：用户名密码方式访问VSFTP 4.5、实战：虚拟用户访问VSFTP 4.6、NFS概述-配置NFS服务器并实现开机自动挂载

正文部分：

FTP服务端：ftp-server IP：192.168.26.71 FTP客户端：ftp-client IP：192.168.26.72 4.1、VSFTP服务器概述 FTP服务器（File Transfer Protocol Server）是在互联网上提供文件存储和访问服务的计算机，它们依照FTP协议提供服务。 FTP作用： Internet 上用来传送文件的协议 常见FTP服务器： windows：Serv-U FTP Server，filezilla_server Linux： VSFTP一个Unix平台上或是类Unix平台上（如Linux, FreeBSD等）安全、高速、稳定FTP服务器程序 [root@node1 ~]# cat /etc/services |grep ftp ftp-data 20/tcp ftp-data 20/udp

21 is registered to ftp, but also used by fsp

ftp 21/tcp ftp 21/udp fsp fspd 常用ＦＴＰ端口：ＴＣＰ/ＵＤＰ　20-21 20常用于数据传输　　21常用于密码验证 [root@node1 ~]# cat /etc/services |grep ftp ftp-data 20/tcp ftp-data 20/udp

21 is registered to ftp, but also used by fsp

ftp 21/tcp ftp 21/udp fsp fspd

4.2、安装配置VSFTP 4.2.１、安装VSFTP 安装服务端： [root@ftp-server ~]# yum -y install vsftpd ftp 安装客户端： [root@ftp-client ~]# yum -y install ftp 4.2.2、配置文件位置： １）vsftpd 相关文档 /etc/vsftpd/vsftpd.conf：vsftpd 的核心配置文件 /etc/vsftpd/ftpusers：用于指定哪些用户不能访问FTP 服务器。 黑名单 /etc/vsftpd/user_list：指定允许使用vsftpd 的用户列表文件。 白名单 /etc/vsftpd/vsftpd_conf_migrate.sh：是vsftpd 操作的一些变量和设置脚本 /var/ftp/：默认情况下匿名用户的根目录 [root@ftp-server ~]# cat /etc/vsftpd/user_list

vsftpd userlist

If userlist_deny=NO, only allow users in this file

If userlist_deny=YES (default), never allow users in this file, and

do not even prompt for a password.

Note that the default vsftpd pam config also checks /etc/vsftpd/ftpusers

for users that are denied.

…………

[root@ftp-server ~]#systemctl start vsftpd && systemctl enable vsftpd Created symlink from /etc/systemd/system/multi-user.target.wants/vsftpd.service to /usr/lib/systemd/system/vsftpd.service. [root@ftp-server ~]# netstat -tunlp |grep ftp tcp6 0 0 :::21 :::* LISTEN 1412/vsftpd 此时VSFTPD监控IPV6需要修改配置文件 [root@ftp-server ~]# vim /etc/vsftpd/vsftpd.conf 115行listen=NOlisten=YES 124行listen_ipv6=NOlisten_ipv6=YES [root@ftp-server ~]# systemctl restart vsftpd [root@ftp-server ~]# netstat -tunlp |grep ftp tcp 0 0 0.0.0.0:21 0.0.0.0:* LISTEN 1474/vsftpd 此时vsftpd已经可以正常运行 4.3、实战：匿名访问VSFTP--不常用 [root@ftp-server ~]# cp /etc/vsftpd/vsftpd.conf{,.bak} [root@ftp-server ~]# vim /etc/vsftpd/vsftpd.conf 12行：anonymous_enable=YES 29行：anon_upload_enable=YES 去掉注释 33行：anon_mkdir_write_enable=YES 去掉注释 34行：anon_other_write_enable=YES 增加一行 [root@ftp-server ~]# systemctl restart vsftpd 说明： 【默认匿名用户的目录在/var/ftp/pub/位置上】 在windows登录，测试匿名访问VSFTP是否成功

此时说明匿名用户成功

4.4、实战：用户名密码方式访问VSFTP--较常用 4.4.1：实战环境与要求介绍 用实战的方式来说明问题：web服务器上的代码需要更新，为了安全起见，建立一个webuser普通用户来更新网站代码，锁定用户只能访问此网站目录：/www 实战说明： 1）ftp 和web服务器相结合。 2）web服务器根目录： /www 3）权限要求：webuser用户可以上传文件、图片等同时vsftp禁止匿名 分析：首先需要使用仅允许本地用户访问，并禁止匿名用户登录。其次使用chroot 功能将webuser 锁定在/www 目录下。如果需要删除文件则还需要注意本地权限，webuser不能通过ssh登录本机 4.4.2：操作过程如下： 1）建立维护网站FTP账号且禁止本地登录的用户webuser；然后设置相应的密码 [root@ftp-server ~]# useradd -s /sbin/nologin webuser [root@ftp-server ~]# echo 'webuser' | passwd --stdin webuser Changing password for user webuser. passwd: all authentication tokens updated successfully. 2）删除以前配置过的vsftpd.conf，重新修改配置文件达到要求 [root@ftp-server ~]# rm -rf /etc/vsftpd/vsftpd.conf && cp /etc/vsftpd/vsftpd.conf.bak /etc/vsftpd/vsftpd.conf [root@ftp-server ~]# vim /etc/vsftpd/vsftpd.conf 12行：anonymous_enable=YES-->anonymous_enable=NO 修改：禁止匿名用户登录 16行：local_enable=YES 去掉注释：允许本地用户登录 101行：local_root=/www 增加一行：设置本地用户的根目录为/www 102行：chroot_list_enable=YES 去掉注释：激chroot 功能 105行：chroot_list_file=/etc/vsftpd/chroot_list 去掉注释：设置锁定用户在根目录中的列表文件。此文件存放要锁定的用户名 106行：allow_writeable_chroot=YES 增加一行：允许锁定的用户有写的权限 保存退出 3）建立/etc/vsftpd/chroot_list 文件，添加帐号 [root@ftp-server ~]# vim /etc/vsftpd/chroot_list [root@ftp-server ~]# cat /etc/vsftpd/chroot_list --写入以下内容格式：一行一个用户名 webuser 4）修改本地文件夹权限 [root@ftp-server ~]# setfacl -R -m u:webuser:rwx /www 5）重启vsftpd服务 [root@ftp-server ~]# systemctl restart vsftpd 登陆测试

成功登录，测试功能

此实战完成，达到相关要求

4.5、实战：虚拟用户访问VSFTP--最常用 用实战的方式来说明问题：web服务器上的代码需要更新，为了安全起见，建立用户来更新网站代码，锁定用户只能访问指定目录： 实战说明： 1）ftp 和web服务器相结合。 2）web服务器有两个不同域名的网站，两个网站根目录： /www/oa /www/erp 3）权限要求：weboa和weberp用户只能对相应的目录做操作同时vsftp禁止匿名 操作步骤如下： 1）创建虚拟用户 [root@ftp-server ~]# cd /etc/vsftpd/ [root@ftp-server vsftpd]#vim users.list [root@ftp-server vsftpd]# cat users.list weboa 123456 weberp 654321 说明：users.list 保存是虚拟用户列表，其中奇数行为账户名，偶数行为密码 [root@ftp-server vsftpd]# db_load -T -t hash -f users.list users.db [root@ftp-server vsftpd]# file users.db users.db: Berkeley DB (Hash, version 9, native byte-order) [root@ftp-server vsftpd]# chmod 600 users.* 2）增加pam认证 [root@ftp-server vsftpd]# vim /etc/pam.d/vsftpd.vu 添加两行 [root@ftp-server vsftpd]# cat /etc/pam.d/vsftpd.vu auth required pam_userdb.so db=/etc/vsftpd/users account required pam_userdb.so db=/etc/vsftpd/users 说明：此处不用加.db 3）修改vsftpd.conf配置文件并重启 [root@ftp-server ~]# rm -rf /etc/vsftpd/vsftpd.conf && cp /etc/vsftpd/vsftpd.conf.bak /etc/vsftpd/vsftpd.conf [root@ftp-server ~]# vim /etc/vsftpd/vsftpd.conf 115行listen=NOlisten=YES 124行listen_ipv6=NOlisten_ipv6=YES 12行：anonymous_enable=YES-->anonymous_enable=NO 修改：禁止匿名用户登录 53行：xferlog_file=/var/log/xferlog 去掉注释 126行：pam_service_name=vsftpd-->pam_service_name=vsftpd.vu 修改：指定pam文件位置 129行：guest_enable=YES 增加一行 130行：guest_username=nobody 增加一行 131行：user_config_dir=/etc/vsftpd/users.dir 增加一行 132行：allow_writeable_chroot=YES 增加一行 [root@ftp-server vsftpd]# cat vsftpd.conf |grep -v ^# anonymous_enable=NO local_enable=YES write_enable=YES local_umask=022 dirmessage_enable=YES xferlog_enable=YES connect_from_port_20=YES xferlog_file=/var/log/xferlog xferlog_std_format=YES listen=YES listen_ipv6=NO

pam_service_name=vsftpd.vu userlist_enable=YES tcp_wrappers=YES guest_enable=YES guest_username=nobody user_config_dir=/etc/vsftpd/users.dir allow_writeable_chroot=YES 4）创建虚拟用户目录并设置用户主目录 [root@ftp-server vsftpd]# mkdir /etc/vsftpd/vusers.dir [root@ftp-server vsftpd]# touch /etc/vsftpd/vusers.dir/weberp [root@ftp-server vsftpd]# touch /etc/vsftpd/vusers.dir/weboa [root@ftp-server vsftpd]# vim users.dir/weboa [root@ftp-server vsftpd]# cat users.dir/weboa anon_upload_enable=YES anon_mkdir_write_enable=YES anon_other_write_enable=YES anon_max_rate=0 local_root=/www/weboa [root@ftp-server vsftpd]# vim users.dir/weberp [root@ftp-server vsftpd]# cat users.dir/weberp anon_upload_enable=YES anon_mkdir_write_enable=YES anon_other_write_enable=YES anon_max_rate=0 local_root=/www/weberp 5）重启服务并验证 [root@ftp-server vsftpd]#systemctl restart vsftpd [root@ftp-server vsftpd]#setfacl -R -m u:nobody:rwx /www [root@ftp-server vsftpd]# touch /www/weboa/weboa.html [root@ftp-server vsftpd]# touch /www/weberp/weberp.html 验证： [root@ftp-client ~]# ftp 192.168.26.71 Connected to 192.168.26.71 (192.168.26.71). 220 (vsFTPd 3.0.2) Name (192.168.26.71:root): weboa 331 Please specify the password. Password: 230 Login successful. Remote system type is UNIX. Using binary mode to transfer files. ftp> dir 227 Entering Passive Mode (192,168,26,71,245,111). 150 Here comes the directory listing. -rw-rwxr-- 1 0 0 0 May 11 06:14 weboa.html 226 Directory send OK.

[root@ftp-client ~]# ftp 192.168.26.71 Connected to 192.168.26.71 (192.168.26.71). 220 (vsFTPd 3.0.2) Name (192.168.26.71:root): weberp 331 Please specify the password. Password: 230 Login successful. Remote system type is UNIX. Using binary mode to transfer files. ftp> dir 227 Entering Passive Mode (192,168,26,71,241,40). 150 Here comes the directory listing. -rw-rwxr-- 1 0 0 0 May 11 06:14 weberp.html 226 Directory send OK

4.6、NFS概述-配置NFS服务器并实现开机自动挂载 4.6.1、NFS安装与配置 [root@ftp-server www]# yum -y install nfs-utils rpcbind [root@ftp-server www]# mkdir /data [root@ftp-server www]# vim /etc/exports [root@ftp-server www]# cat /etc/exports /data 192.168.26.0/24(rw,sync,all_squash) [root@ftp-server www]# systemctl restart rpcbind && systemctl enable rpcbind [root@ftp-server www]# systemctl restart nfs && systemctl enable nfs 4.6.2、客户端挂载： [root@ftp-client ~]#yum -y install rpcbind nfs-utils [root@ftp-client ~]#showmount -e 192.168.26.71 [root@ftp-client ~]#mkdir /data [root@ftp-client ~]#mount 192.168.26.71:/data /data [root@ftp-client ~]#echo "192.168.26.71:/data /data nfs defaults 0 0" >> /etc/fstab [root@ftp-client ~]#mount -a 无报错信息就说明可以 如果服务器在公网肯定要设置防火墙规则，此时不能按照端口号来设置了（nfs服务没有固定端口），只能以服务名来设置防火墙富规则 在ftp-server上设置如下: [root@ftp-server www]#firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.26.72/32" service name="mountd" accept" [root@ftp-server www]#firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.26.72/32" service name="mountd" accept" --permanent [root@ftp-server www]#firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.26.72/32" service name="rpc-bind" accept" [root@ftp-server www]#firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.26.72/32" service name="rpc-bind" accept" --permanent [root@ftp-server www]#firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.26.72/32" service name="nfs" accept" [root@ftp-server www]#firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.26.72/32" service name="nfs" accept" --permanent [root@ftp-server www]#firewall-cmd --list-all [root@ftp-server www]#cat /etc/firewalld/zones/public.xml [root@ftp-server www]#firewall-cmd --reload 在ftp-client上设置如下： [root@ftp-client ~]#firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.26.71/32" service name="mountd" accept" [root@ftp-client ~]#firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.26.71/32" service name="nfs" accept" [root@ftp-client ~]#firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.26.71/32" service name="rpc-bind" accept" [root@ftp-client ~]#firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.26.71/32" service name="mountd" accept" --permanent [root@ftp-client ~]#firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.26.71/32" service name="nfs" accept" --permanent [root@ftp-client ~]#firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.26.71/32" service name="rpc-bind" accept" --permanent [root@ftp-client ~]#firewall-cmd --reload