Linux服务器配置-VSFTP服务配置(二)

上文：Linux服务器配置-VSFTP服务配置（一）

一、vsftpd服务软件安装、设置与查询。

1、服务器端软件安装

yum install -y vsftpd

2、客户端软件安装

yum install -y ftp

3、vsftpd服务开机启动状态查询与配置

CentOS6系统

chkconfig --list | grep vsftpd #查询是否开机自动运行

chkconfig vsftpd on #设置开机自动运行

chkconfig vsftpd off #取消开机自动运行

RHEL7系统

systemctl list-unit-files | grep vsftpd.service#查询是否开机自动运行。

systemctl enable vsftpd.service #设置开机自动运行。

systemctl disable vsftpd.service #取消开机自动运行

4、vsftpd服务启动、停止及状态查询

CentOS6系统

service vsftpd start #启动vsftpd服务

service vsftpd restart #重启vsftpd服务

service vsftpd stop #停止vsftpd服务

service vsftpd status #查询vsftpd服务运行状态

RHEL7系统

systemctl start vsftpd.service #启动vsftpd服务

systemctl restart vsftpd.service#重启vsftpd服务

systemctl stop vsftpd.service #停止vsftpd服务

systemctl status vsftpd.service#查询vsftpd服务运行状态

二、vsftpd服务的相关配置文件

1、主配置文件

位置：/etc/vsftpd/vsftpd.conf

用来配置vsftpd服务的各项参数，格式 option=value 注意等号两边不能有空格。

主要配置设定选项说明：

• 与FTP工作方式及端口相关的设定项

listen_port=21

设置 FTP 的访问控制端口，FTP默认的控制端口为21，此项仅适合以 stand alone（独立启动）方式来启动的 vsftpd 服务。

connect_from_port_20=YES|NO

是否开启主动模式数据传输端口20。默认为YES

pasv_enable=YES|NO

是否开启 FTP 的被动模式（passive mode）。

pasv_min_port=0

设置被动模式时的最小端口号，如果是0的话，表示随机取用而不限制。（设置时端口号最好大于10000，小于65535。）

pasv_max_port=0

设置被动模式时的最大端口号，如果是0的话，表示随机取用而不限制。（设置时端口号最好大于10000，小于65535。）

• 连接相关的设定项

listen=YES|NO

设置 vsftpd 服务是否在IPv4上，以 stand alone（独立启动）的方式来启动。（仅支持IPv4协议，listen 和 listen_ipv6 不能同时设置为YES。）

listen_ipv6=YES|NO

设置 vsftpd 服务是否在IPv4或IPv6上，以 stand alone（独立启动）的方式来启动。（支持IPv4协议和IPv6协议，listen 和 listen_ipv6 不能同时设置为YES。）

max_clients=0

设置最大客户端连接数，0为不限制。用 stand alone（独立启动）的方式来启动才有效。

max_per_ip=0

设置同一IP地址客户端的最大连接数，0为不限制。

one_process_model=YES|NO

是否开启为每个链接建立一个进程（process），默认为NO。

listen_address=IP地址

设置FTP服务器在指定的IP地址上侦听用户的FTP请求。默认对所有IP地址进行侦听。只有在stand alone模式运行时才有效。（也就是监听来自哪个网络接口的FTP请求。）

setproctitle_enable=YES|NO

是否为每个与FTP服务器的连接建立单独的进程，默认值为NO。此时使用ps aux | grep ftp 只会有一个 vsftpd 的进程。若设置为YES，则每个连接都会有一个 vsftpd 的进程。

• 超时时间设定项

connect_timeout=60

设置 FTP 在主动式模式下，服务端数据端口向客户端数据端口发出连接请求，在多少秒内得不到响应就强制断开，默认值为60秒。

accept_timeout=60

设置FTP在被动式模式下，服务端开启数据端口，客户端数据端口在多少秒内无响应就强制断开，默认值为60秒。

data_connection_timeout=300

设置不管主动模式还是被动模式数据传输时，超过多少秒没有完成，就断开传输，默认值为300秒。

idle_session_timeout=300

设置用户在多少秒内没有操作，就强制断开，默认值为300秒。

• 欢迎语设定项

ftpd_banner=文字说明

设置用户登录时，在客户端上显示的简短信息，一般是欢迎语，默认值为无。

banner_file=/path/file

设置用户登录时，在客户端上显示的说明信息的文件保存位置，这个文件必须是一个纯文本文件，默认值为无。习惯设置为/etc/vsftpd/banner。

dirmessage_enable=YES|NO

是否显示进入目录时的提示信息，显示由message_file参数指定的文件内容，默认为YES。

message_file=.message

设置进入目录时，保存提示信息文件的位置。默认值为.message。

• 控制用户是否允许切换到上级目录的设定项

chroot_local_user=YES|NO

是否允许指定用户列表文件中的用户切换到上级目录，默认为NO。

chroot_list_enable=YES|NO

是否启用 chroot_list_file 配置项指定的用户列表文件。默认为NO。

chroot_list_file=/etc/vsftpd/chroot_list

设置指定用户列表文件的位置，该文件用于控制哪些用户可以切换到用户家目录的上级目录，习惯为/etc/vsftpd/chroot_list。

以上设定项搭配使用说明

当chroot_list_enable=YES，chroot_local_user=YES时，在/etc/vsftpd/chroot_list文件中列出的用户，可以切换到其他目录；未在文件中列出的用户，不能切换到其他目录。

当chroot_list_enable=YES，chroot_local_user=NO时，在/etc/vsftpd/chroot_list文件中列出的用户，不能切换到其他目录；未在文件中列出的用户，可以切换到其他目录。

当chroot_list_enable=NO，chroot_local_user=YES时，所有的用户均不能切换到其他目录。

当chroot_list_enable=NO，chroot_local_user=NO时，所有的用户均可以切换到其他目录。

• 数据传输模式设置

ascii_download_enable=YES|NO

是否开启客户端优先使用ASCll格式下载数据，默认为NO。

ascii_upload_enable=YES|NO

是否开启客户端优先使用ASCll格式上传数据，默认为NO。

• 数据上传与下载控制设定项

write_enable=YES|NO

是否允许登录用户有写权限（即上传数据），默认为YES。

download_enable=YES|NO

是否允许登录用户有下载数据权限，默认为YES

• 访问控制设置

主机控制

tcp_wrappers=YES|NO

是否与tcp wrapper相结合来进行对主机的访问控制。默认值为YES。

如果设置为YES，vsftpd 服务会通过检查 /etc/hosts.allow 和 /etc/hosts.deny 文件的设置，来决定是否允许主机访问 FTP 服务器。

如：要仅允许192.168.1.X这个网段的用户可以连接 FTP 服务器，则在 /etc/hosts.allow 文件中添加以下内容：

vsftpd：192.168.0.:allow

all:all:deny

用户控制

userlist_enable=YES|NO

是否开启 vsftpd 服务的限制机制，来限制某些用户。与userlist_deny和userlist_file参数设定有关。

userlist_deny=YES|NO

是否开启访问控制列表，当userlist_enable=YES时才有效。

当userlist_deny=YES时，写入userlist_file参数指定文件中的用户不能访问 FTP 服务器，没有写入的用户可以访问。（默认）

当userlist_deny=NO时，写入userlist_file参数指定文件中的用户能访问 FTP 服务器，没有写入的用户不可以访问。

userlist_file=/etc/vsftpd/user_list

设置控制列表文件的文件保存位置。

另外，/etc/vsftpd/ftpusers配置文件也是专门用于定义不允许访问 FTP 服务器的用户列表文件。（如果userlist_enable=YES，userlist_deny=NO，此时如果在user_list和ftpusers中都有某个用户时，那么这个用户是不能够访问 FTP 服务器的，即 ftpusers 的优先级要高）。默认情况下user_list和ftpusers，这两个文件已经预设置了一些不允许访问FTP服务器的系统内部账户。如果系统没有这两个文件，那么新建这两个文件，将用户添加进去即可。

• 日志文件设置

xferlog_enable=YES|NO

是否启用上传/下载日志记录。如果启用，则上传与下载的信息将被完整纪录在 xfer_log_file 设定项所定义的文件中，默认为YES。

xferlog_file=/var/log/xferlog

设置保存日志的文件及路径，只有xfer_log_enable=YES才有效。

xferlog_std_format=YES|NO

是否设定为wu ftp相同的日志格式，默认为NO。

log_ftp_protocol=YESINO

是否启用所有的 FTP 请求和响应都会被记录到日志中，默认日志文件在/var/log/vsftpd.log。启用此选项时，xferlog_std_format不能被激活。这个选项有助于调试。默认为NO。

dual_log_enable=YES|NO

是否开启 vsftpd 服务自有的日志格式。

vsftpd_log_file=/var/log/vsftpd.log

设置 vsftpd 自有格式日志的文件及路径。

• 与系统安全设置相关的设定项

nopriv_user=nobody

设置FTP服务执行 nobody 所有者的权限。

• 其他设定项

use_localtime=YES|NO

是否使用本地时间。默认为GMT时间，应设置为YES，即使用本地时间。

text_userdb_names=YES|NO

设置在执行Is-la之类的命令时，是显示UID、GID还是显示出具体的用户名和组名。默认值为NO，即以UID和GID方式显示。若希望显示用户名和组名，则设置为YES。

ls_recurse_enable=YES|NO

若是启用此功能，则允许登录用户使用ls-R（可以查看当前目录下子目录中的文件）这个指令。默认值为NO。

hide_ids=YES|NO

如果启用此功能，所有文件的拥有者与用户组都为ftp，也就是使用者登入使用Is-al之类的指令，所看到的文件拥有者和用户组均为ftp。默认为NO。

• 与匿名 anonymous 用户登录相关的设定项

anonymous_enable=YES|NO

是否允许匿名用户登录，默认为YES。

anon_world_readable_only=YES|NO

是否允许匿名用户具有下载可读档案的权限，默认为YES。

anon_other_write_enable=YES|NO

是否允许匿名用户具有写入以外的权限，包括删除与更名等权限，默认为NO。

anon_mkdir_write_enable=YES|NO

是否允许匿名用户具有建立目录的权限，默认为NO。如果设定为YES，那么 anon_other_write_enable 和 write_enable 需设定为YES。

anon_upload_enable=YES|NO

是否允许匿名用户具有上传数据的权限，默认为NO。如果设定为YES，那么 anon_other_write_enable 和 write_enable 需设定为YES。

chown_uploads=YES|NO

是否允许改变匿名用户上传文件的属主名。默认为NO。

chown_username=username

设置匿名用户上传文件的属主名，当 chown_uploads=YES时，此项才有效，不要设置为root。

deny_email_enable=YES|NO

是否开启匿名用户 email address 认证。以匿名用户登录服务器，密码为 email address 时，验证此 email address 的匿名用户是否可以登录，此项需与 banned_email_file 设定项配合使用，默认为NO。

banned_email_file=/etc/vsftpd/banned_emails

设置特殊 email address 文件的保存位置，默认为/etc/vsftpd/banned_emails。文件格式为一行输入一个email address ，保存在此文件中的 email address 不允许匿名用户作为密码认证登录。

no_anon_password=YES|NO

是否跳过密码检验。若为YES，匿名用户登录时，不会询问密码，默认为NO。

ftp_username=ftp

设置匿名登录用户的使用者名称。默认值为ftp。

anon_root=/var/ftp

设置匿名用户登录的FTP目录，默认值为/var/ftp。

anon_max_rate=0

设置匿名用户的传输速度（字节/秒），默认值为0（不限速）。

anon_umask=077

设置匿名用户新增或上传文件的umask值，默认值为077。

• 与配置本地用户登录相关的设定项

local_enable=YES|NO

是否允许本地用户登录，也就是 /etc/passwd 文件内已有的用户，默认为YES（在用虚拟用户登录时，此项应设置为YES）

local_umask=022

设置本地用户新建文件的umask值，默认值为022。

file_open_mode=0666

设置本地用户上传文件权限，默认值为0666。

local_root=/home/username

设置本地用户登录时，将被更换到的目录。默认值为各用户的家目录。

local_max_rate=0

设置本地用户的传输速度，单位为字节/秒，0为不限制。

user_config_dir=/etc/vsftpd/userconf

设置自定义用户配置文件所在的目录。当设置了该配置项后，用户登陆服务器后，系统就会到/etc/vsftpd/userconf目录下，读取与当前用户名相同的配置文件对当前用户进行更进一步配置。

• 与配置虚拟用户登录相关的设定项

pam_service_name=vsftpd

设置PAM认证文件的名称，默认值为/etc/pam.d/vsftpd。

guest_enable=YES|NO

是否将任何用户设成 guest用户（是否启用虚拟用户），默认为NO。当设置为YES时，在 vsftpd 中，默认会获得 ftp 这个使用者的相关权限。可用 guest_username 设定项来修改。

guest_username=ftp

设置 guest 用户身份，在 guest_enable=YES 时才会生效。

virtual_use_local_privs=YES|NO

当该设置为YES时，虚拟用户使用与本地用户相同的权限。当设置为NO时，虚拟用户使用与匿名用户相同的权限，默认为NO。

user_config_dir=/etc/vsftpd/vuser_config

设置自定义虚拟用户配置文件所在的目录。当设置了该配置项后，虚拟用户登陆服务器后，系统就会到/etc/vsftpd/vuser_config目录下，读取与当前用户名相同的配置文件对当前用户进行更进一步配置。

allow_writeable_chroot=YES

最新版的vsftpd为了安全，虚拟用户主目录没有写权限，才能登录，或者使用allow writeablechroot=YES。

2、PAM 模块配置文件

位置：/etc/pam.d/vsftpd

主要用来设置身份认证。

3、PAM 模块限制登录用户的配置文件

位置：/etc/vsftpd/ftpusers

文件格式一行一个用户，即用户黑名单文件。

4、vsftpd 服务限制登录用户的配置文件

位置：/etc/vsftpd/user_list

此文件是否能生效与vsftpd.conf配置文件内的两个选项有关，分别是userlist_enable和userlist_deny。在预设的情况下，可将限制登录FTP的用户写入文件中，不过此文件的功能会依据userlist_deny项的设置而不同。

5、限制用户目录访问的配置文件

位置：/etc/vsftpd/chroot_list

此文件默认不存在，需要设置时应手工建立。此文件是否生效与vsftpd.conf配置文件中的 chroot_list_enable 和 chroot_list_file 两个选项有关。写入此文件的用户不会被禁锢在FTP目录中，此项需谨慎使用。

三、vsftpd服务的相关程序及目录

1、主执行程序

/usr/sbin/vsftpd

2、默认匿名登录FTP根目录

/var/ftp/

下篇：Linux服务器配置-VSFTP服务配置（三）

通过实例说明如何配置匿名方式登录FTP服务器，以及防火墙与SELinux的配置。