FTP(File Transfer Protocol,文件傳輸協(xié)議)可以在網(wǎng)絡(luò)中傳輸文檔、圖像、視頻以及應(yīng)用程序等多種類型的文件。在企業(yè)中大多數(shù)情況下，則是用戶使用FTP從服務(wù)器上下載文件。

一個(gè)完整的FTP文件傳輸需要建立兩種類型的連接，一種為控制文件傳輸?shù)拿?，稱為控制連接;另一種實(shí)現(xiàn)真正的文件傳輸，稱為數(shù)據(jù)連接

控制連接：客戶端希望與FTP服務(wù)器建立上傳下載的數(shù)據(jù)傳輸時(shí)，它首先向服務(wù)器TCP協(xié)議的21端口發(fā)起一個(gè)建立連接的請求，F(xiàn)TP服務(wù)器接受來自客戶端的請求，完成連接的建立過程，這樣的連接就稱為FTP控制連接

數(shù)據(jù)連接：FTP控制連接建立后，即可開始傳輸文件，傳輸文件的連接稱為FTP數(shù)據(jù)連接。FTP數(shù)據(jù)連接就是FTP傳輸數(shù)據(jù)的過程，它有主動傳輸模式和被動傳輸模式兩種。

FTP數(shù)據(jù)傳輸原理

用戶在使用FTP傳輸數(shù)據(jù)時(shí),整個(gè)FTP建立連接的過程經(jīng)過以下幾個(gè)步驟

1、FTP服務(wù)器會自動對默認(rèn)端口21進(jìn)行監(jiān)聽，當(dāng)某個(gè)客戶端向這個(gè)端口請求建立連接時(shí)，便激活了FTP服務(wù)器上的控制進(jìn)程，通過這個(gè)控制進(jìn)程，F(xiàn)TP服務(wù)器對連接用戶名、密碼以及連接權(quán)限等進(jìn)行身份驗(yàn)證

2、當(dāng)FTP服務(wù)器身份驗(yàn)證完成后，F(xiàn)TP服務(wù)器和客戶端之間還會建立一條用來傳輸數(shù)據(jù)的專有連接

3、FTP服務(wù)器在傳輸數(shù)據(jù)過程中的控制將一直工作，并不斷發(fā)出指令控制整個(gè)FTP傳輸數(shù)據(jù)，數(shù)據(jù)傳輸完畢后控制進(jìn)程給客戶端發(fā)送結(jié)束指令。

FTP傳輸模式

在建立數(shù)據(jù)傳輸?shù)臅r(shí)候有兩種傳輸模式，即主動模式和被動模式

主動模式(PORT模式)

主動模式的數(shù)據(jù)傳輸專有連接是在建立控制連接(用戶身份驗(yàn)證完成后)，首先由FTP服務(wù)器使用20端口主動向客戶端進(jìn)行連接，建立專用于傳輸數(shù)據(jù)的連接，這種方式在網(wǎng)絡(luò)管理上比較好控制。FTP服務(wù)器上的端口21用于用戶驗(yàn)證，端口20用于數(shù)據(jù)傳輸，只要將這兩個(gè)端口開放就可以使用FTP功能了，此時(shí)客戶端只是出于接收狀態(tài)。

被動模式(PASV模式)

被動模式與主動模式不同，數(shù)據(jù)傳輸專有連接是在建立控制連接(用戶身份驗(yàn)證后)由客戶端向FTP服務(wù)器發(fā)起連接的。客戶端使用哪個(gè)端口，連接到FTP服務(wù)器的哪個(gè)端口都是隨機(jī)產(chǎn)生的，服務(wù)器并不參與數(shù)據(jù)的主動傳輸，只是被動接受。

FTP用戶

匿名用戶:它是指在FTP服務(wù)器中沒有指定賬戶，但是他仍然可以匿名訪問某些公開的資源。

本地用戶:它是指在FTP服務(wù)器上擁有賬戶。在這類用戶訪問FTP服務(wù)器的時(shí)候，其默認(rèn)的主目錄就是賬戶命名的家目錄。但是他還可以變更到其他目錄中去。

虛擬用戶:在FTP服務(wù)器中，使用這類用戶只能訪問其主目錄下的文件，而不能訪問目錄以外的文件，F(xiàn)TP服務(wù)器通過這種方式來保障服務(wù)器上其他文件的安全性。

vsftpd簡介

vsftpd(very secure FTP daemon,非常安全的FTP守護(hù)進(jìn)程)是一款可以運(yùn)行在Unix/Linux操作系統(tǒng)上，安全、易用、開放源代碼的FTP服務(wù)器軟件。

1、匿名用戶登錄

vsftps服務(wù)啟動后，默認(rèn)就允許匿名用戶(anonymous或ftp)連接到vsftpd服務(wù)器。默認(rèn)匿名用戶不能離開vsftpd服務(wù)器匿名用戶目錄/var/ftp，匿名用戶只能下載文件，而沒有權(quán)限上傳文件到vsftpd服務(wù)器上。

[root@linux-node1 ~]# yum install -y vsftpd

[root@linux-node1 ~]# cat /etc/vsftpd/vsftpd.conf|egrep -v '^#|^$' ##默認(rèn)配置

anonymous_enable=YES

local_enable=YES

write_enable=YES

local_umask=022

dirmessage_enable=YES

xferlog_enable=YES

connect_from_port_20=YES

xferlog_std_format=YES

listen=NO

listen_ipv6=YES

pam_service_name=vsftpd

userlist_enable=YES

tcp_wrappers=YES

[root@vsftpd ~]# vim /var/ftp/pub/.message

hello world

允許匿名用戶上傳、下載文件和創(chuàng)建目錄

[root@linux-node1 ~]# vim /etc/vsftpd/vsftpd.conf

anon_upload_enable=YES

anon_mkdir_write_enable=YES

anon_other_write_enable=YES

[root@vsftpd ~]# cd /var/ftp/pub/

[root@vsftpd pub]# mkdir test

[root@vsftpd pub]# chmod o+w test/

[root@vsftpd vsftpd]# chmod 777 /var/ftp/pub/

[root@vsftpd vsftpd]# ll /var/ftp/

total 4

-rw-r–r– 1 root root 0 Nov 19 16:25 123

drwxrwxrwx 3 root root 4096 Nov 19 23:05 pub

[root@vsftpd vsftpd]# /etc/init.d/vsftpd start

Shutting down vsftpd: [ OK ]

Starting vsftpd for vsftpd: [ OK ]

2、認(rèn)證用戶配置：

[root@vsftpd ~]# useradd -d /var/ftp ftpuser

[root@vsftpd ~]# echo '123456'|passwd –stdin ftpuser

[root@vsftpd vsftpd]# vim vsftpd.conf

anonymous_enable=NO

local_root=/var/ftp

chroot_local_user=YES

[root@vsftpd ~]# systemctl restart vsftpd

拒絕指定用戶連接vsftpd服務(wù)器

1、編輯/etc/vsftpd/ftpusers文件

在默認(rèn)情況下，這個(gè)文件內(nèi)已經(jīng)有一些拒絕連接的用戶，在該文件的最后添加拒絕的用戶就可以了

[root@vsftpd ~]# vim /etc/vsftpd/ftpusers

ftpuser

[root@vsftpd ~]# systemctl restart vsftpd

[root@linux-node2 ~]# wget ftp://ftpuser:123@10.0.0.100:21/123

–2018-11-23 20:53:55– ftp://ftpuser:password@10.0.0.100/123

=> “123.1”

Connecting to 10.0.0.100:21… connected.

Logging in as ftpuser … Logged in!

==> SYST … done. ==> PWD … done.

==> TYPE I … done. ==> CWD not needed.

==> SIZE 123 … done.

==> PASV … done. ==> RETR 123 … done.

[<=> ] 0 –.-K/s in 0s

2018-11-23 20:53:55 (0.00 B/s) – “123.1” saved [0]

3、虛擬用戶設(shè)置：

匿名用戶可以很好地保證服務(wù)器的安全性，但是對匿名用戶的權(quán)限管理不夠靈活。如果想對訪問FTP的賬戶給予更多的權(quán)限，就可以使用本地賬戶來實(shí)現(xiàn)。但是本地賬戶默認(rèn)情況下是可以登錄Linux系統(tǒng)的，這樣對Linux系統(tǒng)來說是一個(gè)安全隱患。使用虛擬用戶能在靈活地賦予FTP用戶權(quán)限的前提下，保證服務(wù)器乃至系統(tǒng)的安全。

虛擬用戶并不是一個(gè)合法的Linux系統(tǒng)賬戶，但是他可以來登錄系統(tǒng)上運(yùn)行的vsftpd服務(wù)器，當(dāng)用戶在連接上vsftpd服務(wù)器后，會被要求輸入用戶名和密碼。服務(wù)器在拿到這個(gè)用戶名和密碼后，會調(diào)用相應(yīng)的PAM認(rèn)證模塊對，和系統(tǒng)中的FTP認(rèn)證文件進(jìn)行比較。如果該用戶名和密碼與FTP認(rèn)證文件中的某條記錄相符就通過認(rèn)證，該賬戶就被映射成一個(gè)Linux下的本地賬戶，然后根據(jù)該本地賬戶對FTP資源進(jìn)行訪問，負(fù)責(zé)就斷開該連接請求。

3.1、建立虛擬用戶帳號口令庫文件

[root@linux-node1 vsftpd]# vim vulist

tom

123

[root@linux-node1 vsftpd]# yum install db4-utils -y

[root@linux-node1 vsftpd]# db_load -T -t hash -f vulist vuser.db (轉(zhuǎn)化為伯克利格式)

[root@linux-node1 vsftpd]# chmod 600 vuser.*

3.2、建立虛擬用戶映射的系統(tǒng)用戶及根目錄

[root@linux-node1 vsftpd]# useradd -d /var/vftp -s /sbin/nologin vuser

[root@linux-node1 vsftpd]# chmod 755 /var/vftp

3.3、建立虛擬用戶的PAM認(rèn)證文件

[root@linux-node1 vsftpd]# vim /etc/pam.d/vupam

auth required pam_userdb.so db=/etc/vsftpd/vuser

account required pam_userdb.so db=/etc/vsftpd/vuser

3.4、修改vsftpd.conf，開啟虛擬用戶支持

[root@linux-node1 vsftpd]# vim vsftpd.conf

listen=YES

listen_address=10.0.0.103

listen_port=21

connect_from_port_20=YES

#pasv_min_port=2222

#pasv_max_port=2225

write_enable=YES

xferlog_enable=YES

xferlog_std_format=YES

#pam_service_name=vsftpd

userlist_enable=YES

tcp_wrappers=YES

#max_clients=0

#max_per_ip=0

anonymous_enable=NO

anon_umask=022

#anon_root=/var/ftp

#anon_upload_enable=YES

#anon_mkdir_write_enable=YES

#anon_other_write_enable=YES

#anon_max_rate=0

local_enable=YES

local_umask=022

#local_root=/var/ftp

#chroot_local_user=YES

#local_max_rate=0

guest_enable=YES

virtual_use_local_privs=YES ##centos7中一定要有

guest_username=vuser

pam_service_name=vupam

3.5、為不同虛擬用戶建立獨(dú)立的配置文件

listen=YES

listen_address=10.0.0.103

listen_port=21

connect_from_port_20=YES

#pasv_min_port=2222

#pasv_max_port=2225

write_enable=YES

xferlog_enable=YES

xferlog_std_format=YES

#pam_service_name=vsftpd

userlist_enable=YES

tcp_wrappers=YES

#max_clients=0

#max_per_ip=0

anonymous_enable=NO

anon_umask=022

#anon_root=/var/ftp

#anon_upload_enable=YES

#anon_mkdir_write_enable=YES

#anon_other_write_enable=YES

#anon_max_rate=0

local_enable=YES

local_umask=022

#local_root=/var/ftp

#chroot_local_user=YES

#local_max_rate=0

guest_enable=YES

virtual_use_local_privs=YES ##centos7中一定要有

guest_username=vuser

pam_service_name=vupam

user_config_dir=/etc/vsftpd/vuconf

[root@linux-node1 vsftpd]# mkdir /etc/vsftpd/vuconf

[root@linux-node1 vsftpd]# vim /etc/vsftpd/vuconf/tom

anon_upload_enable=YES

anon_mkdir_write_enable=YES

local_root=/var/ftp/pub/tom

[root@linux-node1 vsftpd]# mkdir /var/ftp/pub/tom

[root@linux-node1 vsftpd]# chmod 777 /var/ftp/pub/tom

[root@linux-node1 vsftpd]# vim /var/ftp/pub/tom/23

121234

[root@linux-node1 vsftpd]# /etc/init.d/vsftpd restart

Shutting down vsftpd: [ OK ]

Starting vsftpd for vsftpd: [ OK ]

[root@linux-node2 ~]# wget ftp://tom:123@10.0.0.103:21/23

–2018-11-23 22:42:01– ftp://tom:password@10.0.0.103/23

=> “23”

Connecting to 10.0.0.103:21… connected.

Logging in as tom … Logged in!

==> SYST … done. ==> PWD … done.

==> TYPE I … done. ==> CWD not needed.

==> SIZE 23 … 5

==> PASV … done. ==> RETR 23 … done.

Length: 5 (unauthoritative)

100%[===================================>] 5 –.-K/s in 0s

2018-11-23 22:42:01 (662 KB/s) – “23” saved [5]

附一鍵安裝腳本：

#!/bin/bash

time=$(date +%F-%H:%M)

Kernel=$(uname -r|awk -F. '{print $1}')

menu(){

cat <1.[anonymous install]

2.[local_user(ftpuser) install]

3.[vuser_user(tom and andy) install]

4.[vuser_user(tom's home) install]

5.[exit]

EOF

echo -e "