linux之FTP服务vsftpd和pure-ftpd常用配置

随笔2个月前发布 飒飒
74 0 0

vsftpd

vsftpd介绍部分参考自 vsftpd 操作手册 – 完整版 – HOsystem – 博客园 (cnblogs.com)

vsftpd 认证模式

匿名开放模式:是最不安全的一种认证模式,任何人都可以无须密码验证而直接登录到FTP服务器。
本地用户模式:是通过Linux系统本地的账户密码信息进行认证的模式,相较于匿名开放模式更安全,而且配置起来也很简单。但是如果黑客破解了账户的信息,就可以畅通无阻地登录FTP服务器,从而完全控制整台服务器。
虚拟用户模式:更安全的一种认证模式,它需要为FTP服务单独建立用户数据库文件,虚拟出用来进行密码验证的账户信息,而这些账户信息在服务器系统中实际上是不存在的,仅供FTP服务程序进行认证使用。这样,即使黑客破解了账户信息也无法登录服务器,从而有效降低了破坏范围和影响。

配置文件及目录:

/etc/vsftpd/vsftpd.conf     核心配置文件
/etc/vsftpd/ftpusers    PAM 模块 (/etc/pam.d/vsftpd) 所指定的无法登入的用户配置文件,不受任何配制项的影响,总是有效,列表中的用户不能访问FTP
/etc/vsftpd/user_list   和核心配置文件中userlist_enable 和 userlist_deny 两个配置相关,userlist_enable=no时userlist_deny和user_list配置不生效,userlist_enable=yes  userlist_deny=yes时user_list作为黑名单使用,user_list文件中的用户都被拒绝登录FTP;userlist_enable=yes  userlist_deny=no时 user_list作为白名单使用,只有user_list文件中的用户都被允许登录FTP
/etc/vsftpd/chroot_list     限制某些用户只能使用指定目录
/etc/pam.d/vsftpd     vsftpd 使用 PAM 模块时的相关配置文件
/usr/sbin/vsftpd     执行程序目录  
/var/ftp/      预设匿名者登入的根目录

/etc/vsftpd/vsftpd.conf

与服务器环境较相关的设定值

参数设定值 默认值 作用
connect_from_port_20=YES|NO YES 指定FTP使用20端口进行数据传输
listen_port=21 21 设置FTP服务器建立连接所监听的端口
dirmessage_enable=YES|NO YES 如果启动选项,第一次进入目录时,若有.message这个档案,则会出现此档案的内容,通常这个档案会放置欢迎话语,或是对该目录的说明;
message_file=.message .message 设置目录消息文件,可将要显示的信息写入该文件。默认值为.message
listen=YES|NO YES 设置vsftpd服务器是否以standalone模式运行
pasv_enable=YES|NO YES 是否使用PASV工作模式(被动模式)
use_localtime=YES|NO NO vsftpd使用本机时间作为vsftpd时间;默认为显示格林威治时间(GMT);
write_enable=YES|NO YES 允许登陆用户有写权限;属于全局设置,默认值为YES。
connect_timeout=60 60 PORT 方式下建立数据连接的超时时间,单位为秒
accept_timeout=60 60 建立FTP连接的超时时间,单位为秒
data_connection_timeout=120 300 建立FTP数据连接的超时时间,单位为秒
idle_session_timeout=300 300 多长时间不对FTP服务器进行任何操作,则断开该FTP连接,单位为秒
max_clients=0 0 vsftpd允许的最大连接数,默认值为0,表示不受限制
max_per_ip=0 0 设置每个IP允许与FTP服务器同时建立连接的数目,默认值为0,表示不受限制
pasv_min_port=0, pasv_max_port=0 pasv_min_port:0
pasv_max_port:0
在PASV工作模式下,数据连接可以使用的端口范围的最小端口,0 表示任意端口;
在PASV工作模式下,数据连接可以使用的端口范围的最大端口,0 表示任意端口;
ftpd_banner=文字说明 NULL 用来定义欢迎话语的字符串,而ftpd_banner 则是字符串的形式
banner_file=/path/file NULL 用来定义欢迎话语的字符串,banner_file是档案的形式

与实体用户较相关的设定值

参数设定值 默认值 作用
guest_enable=YES|NO NO 启用虚拟用户
guest_username=ftp ftp 用来映射虚拟用户
local_enable=YES|NO YES 控制是否允许本地用户登入,YES 为允许本地用户登入,NO为不允许
local_max_rate=0 0 本地用户使用的最大传输速度,单位为B/s,0 表示不限制速度
chroot_local_user=YES|NO NO 用于指定用户列表文件中的用户是否允许切换到上级目录
chroot_list_enable=YES|NO NO 设置是否启用chroot_list_file配置项指定的用户列表文件
chroot_list_file=/etc/vsftpd.chroot_list   用于指定用户列表文件, 该文件用于控制用户可以切换到用户家目录的上级目录
userlist_enable=YES|NO NO 是否启用vsftpd.user_list文件
userlist_deny=YES|NO YES 决定vsftpd.user_list文件中的用户是否能够访问FTP服务器;
设置为YES,则vsftpd.user_list文件中的用户不允许访问FTP;
若设置为NO,则只有vsftpd.user_list文件中的用户才能访问FTP;
userlist_file=/etc/vsftpd/user_list NO 控制用户访问FTP的文件,里面写着用户名称。一个用户名称一行

与匿名用户登录相关的设定值

参数设定值 默认值 作用
anonymous_enable=YES|NO YES 控制是否允许匿名用户登入,YES 为允许匿名登入,NO 为不允许
anon_world_readable_only=YES|NO YES 如果设为YES,则允许匿名登入者下载可阅读的文件
anon_other_write_enable=YES|NO NO 允许匿名登入者拥有上传或者建立目录之外的权限;如,删除或者重命名;
anon_upload_enable=NO,则匿名用户不能上传文件,但可删除或重命名已经存在的文件;
anon_mkdir_write_enable=NO,则匿名用户不能上传或者新建文件夹,但可以删除或者重命名已经存在的文件夹;
anon_mkdir_write_enable=YES|NO NO 允许匿名登入者有新增目录的权限,只有在write_enable=YES时,此项才有效;
匿名用户必须要有对上层目录的写入权;
anon_upload_enable=YES|NO NO 允许匿名登入者有上传文件(非目录)的权限,只有在write_enable=YES时,此项才有效;
匿名用户必须要有对上层目录的写入权;
deny_email_enable=YES|NO NO 启动这项功能,则必须提供一个档案/etc/vsftpd/banner_emails,内容为email address;
若是使用匿名登入,则会要求输入email address;
若输入的email address 在此档案内,则不允许进入;
banned_email_file=/etc/vsftpd/banned_emails /etc/vsftpd.banned_emails 用来输入email address,只有在deny_email_enable=YES时,才会使用到此文件;
若是使用匿名登入,则会要求输入email address,若输入的email address 在此档案内,则不允许进入;
no_anon_password=YES|NO NO 启动这项功能,则使用匿名登入时,不会询问密码
anon_max_rate=0 0 设置匿名登入者使用的最大传输速度,单位为B/s,0 表示不限制速度
anon_umask=077 077 设置匿名登入者新增或上传档案时的umask 值

与 vsftpd 系统安全相关的设定值

参数设定值 默认值 作用
ascii_download_enable=YES|NO NO 设置是否启用ASCII 模式下载数据
ascii_upload_enable=YES|NO NO 设置是否启用ASCII 模式上传数据
one_process_model=YES|NO YES  
tcp_wrappers=YES|NO YES 设置vsftpd是否与tcp wrapper相结合来进行主机的访问控制;
启用,则vsftpd会检查/etc/hosts.allow 和/etc/hosts.deny 中的配置,来决定请求连接的主机,是否允许访问该FTP服务器;
xferlog_enable=YES|NO YES 是否启用上传/下载日志记录;
启用,则上传与下载的信息将被完整纪录在xferlog_file 所定义的文件中;
xferlog_file=/var/log/xferlog /var/log/vsftpd.log 设置日志文件名和路径
xferlog_std_format=YES|NO NO 启用,则日志文件将会写成xferlog的标准格式,如同wu-ftpd 一般
dual_log_enable=YES|NO, vsftpd_log_file=/var/log/vsftpd.log /var/log/vsftpd.log 编写vsftpd样式日志文件的文件的名称;
仅当 设置了选项xferlog_enable并且未设置xferlog_std_format时, 才会写入此日志;
或,如果已设置选项dual_log_enable,则会写入;
如果设置了 syslog_enable,则不会写入此文件,而是将输出发送到系统日志;
nopriv_user=nobody   vsftpd在完全没有特权的情况下使用的用户名;
这应该是专用用户,而不是任何人
pam_service_name=vsftpd /etc/pam.d/vsftpd 设置PAM使用的名称

 

pure-ftpd

配置项详解

# 限制所有用户在其主目录中
ChrootEveryone yes

# 如果前一个指令被设置为了 "no",下面组的成员(GID)就不受主目录的限制了。而其他的用户还是
# 会被限制在自己的主目录里。如果你不想把任何用户限制在自己的主目录里,只要注释掉 ChrootEveryone
# 和 TrustedGID 就可以了。
# TrustedGID 100

# 兼容ie等比较非正规化的ftp客户端
BrokenClientsCompatibility no

# 服务器总共允许同时连接的最大用户数
MaxClientsNumber 50

# 做为守护(doemon)进程运行(Fork in background)
Daemonize yes

# 同一IP允许同时连接的用户数(Maximum number of sim clients with the same IP address)
MaxClientsPerIP 8

# 如果你要记录所有的客户命令,设置这个指令为 "yes"
VerboseLog no

# 即使客户端没有发送 '-a' 选项也列出隐藏文件( dot-files )。
DisplayDotFiles yes

# 不允许认证用户 - 仅作为一个公共的匿名FTP。
AnonymousOnly no

# 不允许匿名连接,仅允许认证用户使用。
NoAnonymous yes

# Syslog facility (auth, authpriv, daemon, ftp, security, user, local*)
# 缺省的功能( facility )是 "ftp"。 "none" 将禁止日志。
SyslogFacility ftp

# 定制用户登陆后的显示信息(Display fortune cookies)
# FortunesFile /usr/share/fortune/zippy

# 在日志文件中不解析主机名。日志没那么详细的话,就使用更少的带宽。在一个访问量很大
# 的站点中,设置这个指令为 "yes" ,如果你没有一个能工作的DNS的话。
DontResolve yes

# 客户端允许的最大的空闲时间(分钟,缺省15分钟)
MaxIdleTime 15

# LDAP 配置文件
# LDAPConfigFile /etc/pureftpd-ldap.conf

# MySQL 配置文件
# MySQLConfigFile /etc/pureftpd-mysql.conf

# Postgres 配置文件
# PGSQLConfigFile /etc/pureftpd-pgsql.conf

# PureDB 用户数据库
# PureDB /etc/pureftpd.pdb

# pure-authd 的socket 路径
# ExtAuth /var/run/ftpd.sock

# 如果你要启用 PAM 认证方式, 去掉下面行的注释。
# PAMAuthentication yes

# 如果你要启用 简单的 Unix系统 认证方式(/etc/passwd), 去掉下面行的注释。
# UnixAuthentication yes

# 请注意,LDAPConfigFile, MySQLConfigFile, PAMAuthentication 和
# UnixAuthentication 这些指令只能被使用一次,不过,他们能被混合在一起用。例如:如果你使用了
# MySQLConfigFile 和 UnixAuthentication,那么 SQL 服务器将被访问。如果因为用户名未找
# 到而使 SQL 认证失败的话,就会在/etc/passwd 和 /etc/shadow 中尝试另外一种认证,如果因
# 为密码错误而使 SQL 认证失败的话,认证就会在此结束了。认证方式由它们被给出来的顺序而被链
# 接了起来。

# 'ls' 命令的递归限制。第一个参数给出文件显示的最大数目。第二个参数给出最大的子目录深度。
LimitRecursion 2000 8

# 是否允许匿名用户创建新目录
AnonymousCanCreateDirs no

# 如果系统被 loaded 超过下面的值,匿名用户会被禁止下载。
MaxLoad 4

# 被动连接响应的端口范围- for firewalling.
# PassivePortRange 30000 50000

# 强制一个IP地址使用被动响应
# ForcePassiveIP 192.168.0.1

# 匿名用户的上传/下载的比率。
# AnonymousRatio 1 10

# 所有用户的上传/下载的比率。
# UserRatio 1 10

# 不接受所有者为 "ftp" 的文件的下载。例如:那些匿名用户上传后未被本地管理员验证的文件。
AntiWarez yes


# 客户端登录的时候的默认编码,开启这个选项的话,windows登录时就不会显示不了中文的了
ClientCharset gbk

# 服务监听的IP 地址和端口。(缺省是所有IP地址和21端口)
# Bind 127.0.0.1,21

# 匿名用户的最大带宽(KB/s)。
# AnonymousBandwidth 8

# 所有用户的最大带宽(KB/s),包括匿名用户。
# UserBandwidth 8

# 新建目录及文件的属性掩码值。<文件掩码>;:<目录掩码>; .
Umask 133:022

# 认证用户允许登陆的最小组ID(UID) 。
MinUID 100

# 仅允许认证用户进行 FXP 传输。
AllowUserFXP yes

# 对匿名用户和非匿名用户允许进行匿名 FXP 传输。
AllowAnonymousFXP no

# 用户不能删除和写点文件(文件名以 '.' 开头的文件),即使用户是文件的所有者也不行。
# 如果 TrustedGID 指令是 enabled ,文件所属组用户能够访问点文件(dot-files)。
ProhibitDotFilesWrite no

# 禁止读点文件(文件名以 '.' 开头的文件) (.history, .ssh...)
ProhibitDotFilesRead no

# 永不覆盖文件。当上传的文件,其文件名已经存在时,自动重命名,如: file.1, file.2, file.3, ...
AutoRename no

# 不接受匿名用户上传新文件( no = 允许上传)
AnonymousCantUpload no

# 仅允许来自以下IP地址的非匿名用户连接。你可以使用这个指令来打开几个公网IP来提供匿名FTP,
# 而保留一个私有的防火墙保护的IP来进行远程管理。你还可以只允许一内网地址进行认证,而在另外
# 一个IP上提供纯匿名的FTP服务。
#TrustedIP 10.1.1.1

# 如果你要为日志每一行添加 PID 去掉下面行的注释。
# LogPID yes

# 使用类似于Apache的格式创建一个额外的日志文件,如:
# fw.c9x.org - jedi [13/Dec/1975] "GET /ftp/linux.tar.bz2" 200 21809338
# 这个日志文件能被 www 流量分析器处理。
# AltLog clf:/var/log/pureftpd.log

# 使用优化过的格式为统计报告创建一个额外的日志文件。
# AltLog stats:/var/log/pureftpd.log

# 使用标准的W3C格式创建一个额外的日志文件。(与大部分的商业日志分析器兼容)
# AltLog w3c:/var/log/pureftpd.log

# 不接受 CHMOD 命令。用户不能更改他们文件的属性。
# NoChmod yes

# 允许用户恢复和上传文件,却不允许删除他们。
# KeepAllFiles yes

# 用户主目录不存在的话,自动创建。
# CreateHomeDir yes

# 启用虚拟的磁盘限额。第一个数字是最大的文件数。
# 第二个数字是最大的总的文件大小(单位:Mb)。
# 所以,1000:10 就限制每一个用户只能使用 1000 个文件,共10Mb。
# Quota 1000:10

# 如果你的 pure-ftpd 编译时加入了独立服务器( standalone )支持,你能够改变 pid 文件
# 的位置。缺省位置是 /var/run/pure-ftpd.pid 。
# PIDFile /var/run/pure-ftpd.pid

# 如果你的 pure-ftpd 编译时加入了 pure-uploadscript 支持,这个指令将会使 pure-ftpd
# 发送关于新上传的情况信息到 /var/run/pure-ftpd.upload.pipe,这样 pure-uploadscript
# 就能读然后调用一个脚本去处理新的上传。
# CallUploadScript yes

# 这个选项对允许匿名上传的服务器是有用的。当 /var/ftp 在 /var 里时,需要保留一定磁盘空间
# 来保护日志文件。当所在磁盘分区使用超过百分之 X 时,将不在接受新的上传。
MaxDiskUsage 99

# 如果你不想要你的用户重命名文件的话,就设置为 'yes' 。
# NoRename yes

# 是 'customer proof' : 工作区(workaround)反对普通的客户错误,类似于:'chmod 0 public_html' 的错误。
# 那是一个有效的命令,不过,将导致无知的客户所定他们自己的文件,将使你的技术支持忙于愚蠢的的问题中。
# 如果你确信你所有的用户都有基本的Unix知识的话,这个特性将没什么用了。不过,如果你是一个主机提供商
# 的话,启用它。
CustomerProof yes

# 每一个用户的并发限制。只有在添加了 --with-peruserlimits 编译选项进行编译后,这个指令才起
# 作用。(大部分的二进制的发布版本就是例子)
# 格式是 : <每一个用户最大允许的进程>;:<最大的匿名用户进程>;
# 例如: 3:20 意思是同一个认证用户最大可以有3个同时活动的进程。而且同时最多只能有20个匿名用户进程。
# PerUserLimits 3:20

pure-ftpd常用命令

# 创建虚拟用户

pure-pw useradd joe -u ftpuser -d /home/ftpusers/joe
-u 将虚拟用户 joe 同系统用户 ftpuser 关联在一起
-d 参数使 joe 只能访问其 home 目录

# 更改一个用户

pure-pw usermod username

# 删除一个用户

pure-pw userdel username

# 改变用户口令

pure-pw passwd username

# 显示用户信息

pure-pw show username

# 提交更改,刷新数据库

pure-pw mkdb

# 查看用户列表:

pure-pw list

 

© 版权声明

相关文章

暂无评论

您必须登录才能参与评论!
立即登录
暂无评论...