linux之FTP服务vsftpd和pure-ftpd常用配置

60 0 0

vsftpd

vsftpd介绍部分参考自 vsftpd 操作手册 – 完整版 – HOsystem – 博客园 (cnblogs.com)

vsftpd 认证模式

匿名开放模式：是最不安全的一种认证模式，任何人都可以无须密码验证而直接登录到FTP服务器。
本地用户模式：是通过Linux系统本地的账户密码信息进行认证的模式，相较于匿名开放模式更安全，而且配置起来也很简单。但是如果黑客破解了账户的信息，就可以畅通无阻地登录FTP服务器，从而完全控制整台服务器。
虚拟用户模式：更安全的一种认证模式，它需要为FTP服务单独建立用户数据库文件，虚拟出用来进行密码验证的账户信息，而这些账户信息在服务器系统中实际上是不存在的，仅供FTP服务程序进行认证使用。这样，即使黑客破解了账户信息也无法登录服务器，从而有效降低了破坏范围和影响。

配置文件及目录：

/etc/vsftpd/vsftpd.conf 核心配置文件
/etc/vsftpd/ftpusers PAM 模块 (/etc/pam.d/vsftpd) 所指定的无法登入的用户配置文件，不受任何配制项的影响，总是有效，列表中的用户不能访问FTP
/etc/vsftpd/user_list 和核心配置文件中userlist_enable 和 userlist_deny 两个配置相关，userlist_enable=no时userlist_deny和user_list配置不生效，userlist_enable=yes userlist_deny=yes时user_list作为黑名单使用，user_list文件中的用户都被拒绝登录FTP；userlist_enable=yes userlist_deny=no时 user_list作为白名单使用，只有user_list文件中的用户都被允许登录FTP
/etc/vsftpd/chroot_list 限制某些用户只能使用指定目录
/etc/pam.d/vsftpd vsftpd 使用 PAM 模块时的相关配置文件
/usr/sbin/vsftpd 执行程序目录
/var/ftp/ 预设匿名者登入的根目录

/etc/vsftpd/vsftpd.conf

与服务器环境较相关的设定值

参数设定值	默认值	作用
connect_from_port_20=YES\|NO	YES	指定FTP使用20端口进行数据传输
listen_port=21	21	设置FTP服务器建立连接所监听的端口
dirmessage_enable=YES\|NO	YES	如果启动选项，第一次进入目录时，若有.message这个档案，则会出现此档案的内容，通常这个档案会放置欢迎话语，或是对该目录的说明；
message_file=.message	.message	设置目录消息文件，可将要显示的信息写入该文件。默认值为.message
listen=YES\|NO	YES	设置vsftpd服务器是否以standalone模式运行
pasv_enable=YES\|NO	YES	是否使用PASV工作模式（被动模式）
use_localtime=YES\|NO	NO	vsftpd使用本机时间作为vsftpd时间；默认为显示格林威治时间（GMT）；
write_enable=YES\|NO	YES	允许登陆用户有写权限；属于全局设置，默认值为YES。
connect_timeout=60	60	PORT 方式下建立数据连接的超时时间，单位为秒
accept_timeout=60	60	建立FTP连接的超时时间，单位为秒
data_connection_timeout=120	300	建立FTP数据连接的超时时间，单位为秒
idle_session_timeout=300	300	多长时间不对FTP服务器进行任何操作，则断开该FTP连接，单位为秒
max_clients=0	0	vsftpd允许的最大连接数，默认值为0，表示不受限制
max_per_ip=0	0	设置每个IP允许与FTP服务器同时建立连接的数目，默认值为0，表示不受限制
pasv_min_port=0, pasv_max_port=0	pasv_min_port:0 pasv_max_port:0	在PASV工作模式下，数据连接可以使用的端口范围的最小端口，0 表示任意端口；在PASV工作模式下，数据连接可以使用的端口范围的最大端口，0 表示任意端口；
ftpd_banner=文字说明	NULL	用来定义欢迎话语的字符串，而ftpd_banner 则是字符串的形式
banner_file=/path/file	NULL	用来定义欢迎话语的字符串，banner_file是档案的形式

与实体用户较相关的设定值

参数设定值	默认值	作用
guest_enable=YES\|NO	NO	启用虚拟用户
guest_username=ftp	ftp	用来映射虚拟用户
local_enable=YES\|NO	YES	控制是否允许本地用户登入，YES 为允许本地用户登入，NO为不允许
local_max_rate=0	0	本地用户使用的最大传输速度，单位为B/s，0 表示不限制速度
chroot_local_user=YES\|NO	NO	用于指定用户列表文件中的用户是否允许切换到上级目录
chroot_list_enable=YES\|NO	NO	设置是否启用chroot_list_file配置项指定的用户列表文件
chroot_list_file=/etc/vsftpd.chroot_list		用于指定用户列表文件, 该文件用于控制用户可以切换到用户家目录的上级目录
userlist_enable=YES\|NO	NO	是否启用vsftpd.user_list文件
userlist_deny=YES\|NO	YES	决定vsftpd.user_list文件中的用户是否能够访问FTP服务器；设置为YES，则vsftpd.user_list文件中的用户不允许访问FTP；若设置为NO，则只有vsftpd.user_list文件中的用户才能访问FTP；
userlist_file=/etc/vsftpd/user_list	NO	控制用户访问FTP的文件，里面写着用户名称。一个用户名称一行

与匿名用户登录相关的设定值

参数设定值	默认值	作用
anonymous_enable=YES\|NO	YES	控制是否允许匿名用户登入，YES 为允许匿名登入，NO 为不允许
anon_world_readable_only=YES\|NO	YES	如果设为YES，则允许匿名登入者下载可阅读的文件
anon_other_write_enable=YES\|NO	NO	允许匿名登入者拥有上传或者建立目录之外的权限；如，删除或者重命名； anon_upload_enable=NO，则匿名用户不能上传文件，但可删除或重命名已经存在的文件； anon_mkdir_write_enable=NO，则匿名用户不能上传或者新建文件夹，但可以删除或者重命名已经存在的文件夹；
anon_mkdir_write_enable=YES\|NO	NO	允许匿名登入者有新增目录的权限，只有在write_enable=YES时，此项才有效；匿名用户必须要有对上层目录的写入权；
anon_upload_enable=YES\|NO	NO	允许匿名登入者有上传文件（非目录）的权限，只有在write_enable=YES时，此项才有效；匿名用户必须要有对上层目录的写入权；
deny_email_enable=YES\|NO	NO	启动这项功能，则必须提供一个档案/etc/vsftpd/banner_emails，内容为email address；若是使用匿名登入，则会要求输入email address；若输入的email address 在此档案内，则不允许进入；
banned_email_file=/etc/vsftpd/banned_emails	/etc/vsftpd.banned_emails	用来输入email address，只有在deny_email_enable=YES时，才会使用到此文件；若是使用匿名登入，则会要求输入email address，若输入的email address 在此档案内，则不允许进入；
no_anon_password=YES\|NO	NO	启动这项功能，则使用匿名登入时，不会询问密码
anon_max_rate=0	0	设置匿名登入者使用的最大传输速度，单位为B/s，0 表示不限制速度
anon_umask=077	077	设置匿名登入者新增或上传档案时的umask 值

与 vsftpd 系统安全相关的设定值

参数设定值	默认值	作用
ascii_download_enable=YES\|NO	NO	设置是否启用ASCII 模式下载数据
ascii_upload_enable=YES\|NO	NO	设置是否启用ASCII 模式上传数据
one_process_model=YES\|NO	YES
tcp_wrappers=YES\|NO	YES	设置vsftpd是否与tcp wrapper相结合来进行主机的访问控制；启用，则vsftpd会检查`/etc/hosts.allow` 和`/etc/hosts.deny` 中的配置，来决定请求连接的主机，是否允许访问该FTP服务器；
xferlog_enable=YES\|NO	YES	是否启用上传/下载日志记录；启用，则上传与下载的信息将被完整纪录在xferlog_file 所定义的文件中；
xferlog_file=/var/log/xferlog	/var/log/vsftpd.log	设置日志文件名和路径
xferlog_std_format=YES\|NO	NO	启用，则日志文件将会写成xferlog的标准格式，如同wu-ftpd 一般
dual_log_enable=YES\|NO, vsftpd_log_file=/var/log/vsftpd.log	/var/log/vsftpd.log	编写vsftpd样式日志文件的文件的名称；仅当设置了选项xferlog_enable并且未设置xferlog_std_format时，才会写入此日志；或，如果已设置选项dual_log_enable，则会写入；如果设置了 syslog_enable，则不会写入此文件，而是将输出发送到系统日志；
nopriv_user=nobody		vsftpd在完全没有特权的情况下使用的用户名；这应该是专用用户，而不是任何人
pam_service_name=vsftpd	/etc/pam.d/vsftpd	设置PAM使用的名称

pure-ftpd

配置项详解

# 限制所有用户在其主目录中
ChrootEveryone yes

# 如果前一个指令被设置为了 "no"，下面组的成员(GID)就不受主目录的限制了。而其他的用户还是
# 会被限制在自己的主目录里。如果你不想把任何用户限制在自己的主目录里，只要注释掉 ChrootEveryone
# 和 TrustedGID 就可以了。
# TrustedGID 100

# 兼容ie等比较非正规化的ftp客户端
BrokenClientsCompatibility no

# 服务器总共允许同时连接的最大用户数
MaxClientsNumber 50

# 做为守护(doemon)进程运行(Fork in background)
Daemonize yes

# 同一IP允许同时连接的用户数（Maximum number of sim clients with the same IP address）
MaxClientsPerIP 8

# 如果你要记录所有的客户命令，设置这个指令为 "yes"
VerboseLog no

# 即使客户端没有发送 '-a' 选项也列出隐藏文件( dot-files )。
DisplayDotFiles yes

# 不允许认证用户 - 仅作为一个公共的匿名FTP。
AnonymousOnly no

# 不允许匿名连接，仅允许认证用户使用。
NoAnonymous yes

# Syslog facility (auth, authpriv, daemon, ftp, security, user, local*)
# 缺省的功能( facility )是 "ftp"。 "none" 将禁止日志。
SyslogFacility ftp

# 定制用户登陆后的显示信息（Display fortune cookies）
# FortunesFile /usr/share/fortune/zippy

# 在日志文件中不解析主机名。日志没那么详细的话，就使用更少的带宽。在一个访问量很大
# 的站点中，设置这个指令为 "yes" ，如果你没有一个能工作的DNS的话。
DontResolve yes

# 客户端允许的最大的空闲时间（分钟，缺省15分钟）
MaxIdleTime 15

# LDAP 配置文件
# LDAPConfigFile /etc/pureftpd-ldap.conf

# MySQL 配置文件
# MySQLConfigFile /etc/pureftpd-mysql.conf

# Postgres 配置文件
# PGSQLConfigFile /etc/pureftpd-pgsql.conf

# PureDB 用户数据库
# PureDB /etc/pureftpd.pdb

# pure-authd 的socket 路径
# ExtAuth /var/run/ftpd.sock

# 如果你要启用 PAM 认证方式, 去掉下面行的注释。
# PAMAuthentication yes

# 如果你要启用 简单的 Unix系统 认证方式(/etc/passwd), 去掉下面行的注释。
# UnixAuthentication yes

# 请注意，LDAPConfigFile, MySQLConfigFile, PAMAuthentication 和
# UnixAuthentication 这些指令只能被使用一次，不过，他们能被混合在一起用。例如：如果你使用了
# MySQLConfigFile 和 UnixAuthentication，那么 SQL 服务器将被访问。如果因为用户名未找
# 到而使 SQL 认证失败的话，就会在/etc/passwd 和 /etc/shadow 中尝试另外一种认证，如果因
# 为密码错误而使 SQL 认证失败的话，认证就会在此结束了。认证方式由它们被给出来的顺序而被链
# 接了起来。

# 'ls' 命令的递归限制。第一个参数给出文件显示的最大数目。第二个参数给出最大的子目录深度。
LimitRecursion 2000 8

# 是否允许匿名用户创建新目录
AnonymousCanCreateDirs no

# 如果系统被 loaded 超过下面的值，匿名用户会被禁止下载。
MaxLoad 4

# 被动连接响应的端口范围- for firewalling.
# PassivePortRange 30000 50000

# 强制一个IP地址使用被动响应
# ForcePassiveIP 192.168.0.1

# 匿名用户的上传/下载的比率。
# AnonymousRatio 1 10

# 所有用户的上传/下载的比率。
# UserRatio 1 10

# 不接受所有者为 "ftp" 的文件的下载。例如：那些匿名用户上传后未被本地管理员验证的文件。
AntiWarez yes


# 客户端登录的时候的默认编码，开启这个选项的话，windows登录时就不会显示不了中文的了
ClientCharset gbk

# 服务监听的IP 地址和端口。(缺省是所有IP地址和21端口)
# Bind 127.0.0.1,21

# 匿名用户的最大带宽（KB/s）。
# AnonymousBandwidth 8

# 所有用户的最大带宽（KB/s），包括匿名用户。
# UserBandwidth 8

# 新建目录及文件的属性掩码值。<文件掩码>;:<目录掩码>; .
Umask 133:022

# 认证用户允许登陆的最小组ID（UID） 。
MinUID 100

# 仅允许认证用户进行 FXP 传输。
AllowUserFXP yes

# 对匿名用户和非匿名用户允许进行匿名 FXP 传输。
AllowAnonymousFXP no

# 用户不能删除和写点文件（文件名以 '.' 开头的文件），即使用户是文件的所有者也不行。
# 如果 TrustedGID 指令是 enabled ，文件所属组用户能够访问点文件(dot-files)。
ProhibitDotFilesWrite no

# 禁止读点文件（文件名以 '.' 开头的文件） (.history, .ssh...)
ProhibitDotFilesRead no

# 永不覆盖文件。当上传的文件，其文件名已经存在时，自动重命名，如： file.1, file.2, file.3, ...
AutoRename no

# 不接受匿名用户上传新文件( no = 允许上传)
AnonymousCantUpload no

# 仅允许来自以下IP地址的非匿名用户连接。你可以使用这个指令来打开几个公网IP来提供匿名FTP，
# 而保留一个私有的防火墙保护的IP来进行远程管理。你还可以只允许一内网地址进行认证，而在另外
# 一个IP上提供纯匿名的FTP服务。
#TrustedIP 10.1.1.1

# 如果你要为日志每一行添加 PID 去掉下面行的注释。
# LogPID yes

# 使用类似于Apache的格式创建一个额外的日志文件，如：
# fw.c9x.org - jedi [13/Dec/1975] "GET /ftp/linux.tar.bz2" 200 21809338
# 这个日志文件能被 www 流量分析器处理。
# AltLog clf:/var/log/pureftpd.log

# 使用优化过的格式为统计报告创建一个额外的日志文件。
# AltLog stats:/var/log/pureftpd.log

# 使用标准的W3C格式创建一个额外的日志文件。（与大部分的商业日志分析器兼容）
# AltLog w3c:/var/log/pureftpd.log

# 不接受 CHMOD 命令。用户不能更改他们文件的属性。
# NoChmod yes

# 允许用户恢复和上传文件，却不允许删除他们。
# KeepAllFiles yes

# 用户主目录不存在的话，自动创建。
# CreateHomeDir yes

# 启用虚拟的磁盘限额。第一个数字是最大的文件数。
# 第二个数字是最大的总的文件大小(单位：Mb)。
# 所以，1000:10 就限制每一个用户只能使用 1000 个文件，共10Mb。
# Quota 1000:10

# 如果你的 pure-ftpd 编译时加入了独立服务器( standalone )支持，你能够改变 pid 文件
# 的位置。缺省位置是 /var/run/pure-ftpd.pid 。
# PIDFile /var/run/pure-ftpd.pid

# 如果你的 pure-ftpd 编译时加入了 pure-uploadscript 支持，这个指令将会使 pure-ftpd
# 发送关于新上传的情况信息到 /var/run/pure-ftpd.upload.pipe，这样 pure-uploadscript
# 就能读然后调用一个脚本去处理新的上传。
# CallUploadScript yes

# 这个选项对允许匿名上传的服务器是有用的。当 /var/ftp 在 /var 里时，需要保留一定磁盘空间
# 来保护日志文件。当所在磁盘分区使用超过百分之 X 时，将不在接受新的上传。
MaxDiskUsage 99

# 如果你不想要你的用户重命名文件的话，就设置为 'yes' 。
# NoRename yes

# 是 'customer proof' : 工作区(workaround)反对普通的客户错误，类似于：'chmod 0 public_html' 的错误。
# 那是一个有效的命令，不过，将导致无知的客户所定他们自己的文件，将使你的技术支持忙于愚蠢的的问题中。
# 如果你确信你所有的用户都有基本的Unix知识的话，这个特性将没什么用了。不过，如果你是一个主机提供商
# 的话，启用它。
CustomerProof yes

# 每一个用户的并发限制。只有在添加了 --with-peruserlimits 编译选项进行编译后，这个指令才起
# 作用。(大部分的二进制的发布版本就是例子)
# 格式是 : <每一个用户最大允许的进程>;:<最大的匿名用户进程>;
# 例如： 3:20 意思是同一个认证用户最大可以有3个同时活动的进程。而且同时最多只能有20个匿名用户进程。
# PerUserLimits 3:20

pure-ftpd常用命令

# 创建虚拟用户

pure-pw useradd joe -u ftpuser -d /home/ftpusers/joe
-u 将虚拟用户 joe 同系统用户 ftpuser 关联在一起
-d 参数使 joe 只能访问其 home 目录

# 更改一个用户

pure-pw usermod username

# 删除一个用户

pure-pw userdel username

# 改变用户口令

pure-pw passwd username

# 显示用户信息

pure-pw show username

# 提交更改,刷新数据库

pure-pw mkdb

# 查看用户列表：

pure-pw list

# 随笔