Linux下FTP服务器搭建

FTP文件传输协议，是基于tcp协议的，它使用多端口通信。分主动模式和被动模式。

主动模式：client随机选取一个大于1024的端口n发送请求到server的21端口，并发送n+1表示要监听的数据端口，server会从20端口发送数据到client的n+1端口。但是，如果client有防火墙则发送的数据可能会被拒之门外。

被动模式：client随机选取一个大于1024的端口n发送请求到server的21端口，server会随机选取一个端口m（会发送port和6个十进制的参数，前四个表示client ip地址，后两个数据 x y表示server端口x*256+y），发送给client，client从自己的n+1端口发送数据请求到服务器的端口m。但是，这样服务器会被防火墙阻塞。

vsftpd（Very Secure FTP）是一个Linux下FTP服务器软件：

安装：yum install vsftpd 
文件：    
    /etc/pam.d/vsftpd         vsftpd使用的pam模块配置文件
    /etc/rc.d/init.d/vsftpd    启动脚本                
    /etc/vsftpd/ftpusers      pam模块指定那些用户不能登录
    /etc/vsftpd/user_list     vsftpd指定的那些用户不能登录userlist_enable=yes调用这个文件里的内容;userlist_deny=yes开启这个功能作用
    /usr/sbin/vsftpd          主程序文件
    /etc/vsftpd/chroot_list    指定那些用户的根目录为自己的家目录
        Chroot_local_user=yes  本地所有帐户都锁定在自家目录
        Chroot_list_enable=yes 文件中的名单可以调用
        Chroot_list_file=/任意指定的路径 前提是chroot_local_user=no 
    /var/ftp/                  匿名用户的根目录

主配置文件：

vim    /etc/vsftpd/vsftpd.conf    主配置文件    
        1、与服务器环境相关设置：
            connect_from_port_20=YES    主动连接使用的端口号
            listen=YES                    表示使用独立模式监听
            dirmessage_enable=YES        用户进入该目录时显示一些话
            message_file=.message        存放要显示的话的文件
            pasv_enable=YES             支持数据流的被动模式
            use_localtime=YES            使用本地时间，vsftpd默认使用GMT时间，会比中国晚8个小时
            write_enable=YES            允许用户上传，
            xferlog_enable=YES            用户上传与下载的文件都会被记录下来。
            xferlog_file=/var/log/xferlog    日志记录在该文件下
            chroot_local_user=YES        默认系统用户被限制在自己家目录中
            chroot_list_enable=YES        是否启用chroot，
            chroot_list_file=/etc/vsftpd.chroot_list    设置用户名单
            userlist_enable=YES            是否要阻止一些用户访问
            userlist_deny=YES            表示列表中的用户不能访问，如果为NO表示列表中的用户才能访问
            userlist_file=/etc/vsftpd/user_list    用户列表文件
            local_umask=022                本地用户上文件的m默认权限
            xferlog_std_format=YES        日志格式与wu-ftp一样
            pam_service_name=vsftpd.pam    使用pam的模块
            guest_enable=YES            任何用户都将被认为是guest指定的用户
            guest_username=ftpuser        指定guest用户名
            user_config_dir=/etc/vsftpd/users_config    虚拟用户的配置文件
            tcp_wrappers=YES            支持tcp_wrappers    
        2、匿名用户设置：    
            virtual_use_local_privs=YES/NO（NO）当该参数激活（YES）时，虚拟用户使用与本地用户相同的权限。当此参数关闭（NO）时，虚拟用户使用与 匿名用户相同的权限。默认情况下此参数是关闭的（NO）
            anonymous_enable=YES        表示允许匿名anonymous登录     
            anon_upload_enable=YES        匿名可以上传
            anon_mkdir_write_enable=YES    匿名可以建立目录
            anon_world_readable_only=YES只有下载可读权限    
            anon_other_write_enable=YES    除了写外还有删，改的权限

案例：一个实验室要搭建一个ftp服务器，要求仅有一个用户可以上传，删除，修改，下载文件，其他用户只能查看和下载。

1、创建虚拟用户文件，
vim /etc/vsftpd/user.virtual
    ftp01      奇数行为用户名
    XXXX       偶数行为密码
    ftp02
    xxxx
2、生成用户数据库：
db_load -T -t hash -f /etc/vsftpd/user.virtual /etc/vsftpd/user.virtual.db
3、修改数据库访问权限：
chmod 700 /etc/vsftpd/user.virtual.db
4、创建pam文件
vim /etc/pam.d/vsftpd.pam
    auth required /lib64/security/pam_userdb.so db=/etc/vsftpd/user.virtual               
    account required /lib64/security/pam_userdb.so db=/etc/vsftpd/user.virtual
如果是32位系统：  
    auth required /lib/security/pam_userdb.so db=/etc/vsftpd/user.virtual               
    account required /lib/security/pam_userdb.so db=/etc/vsftpd/user.virtual
5、创建共享目录和虚拟用户
    mkdir /ftp/share
    chmod -R 700 /ftp/share
    useradd -d /ftp/share ftpuser 
    chown ftpuser.ftpuser /ftp/share
6、主配置文件
        anonymous_enable=NO
        local_enable=YES
        write_enable=YES
        local_umask=022
        dirmessage_enable=YES
        xferlog_enable=YES
        connect_from_port_20=YES
        xferlog_std_format=YES
        listen=YES
        pam_service_name=vsftpd.pam
        userlist_enable=YES
        guest_enable=YES
        guest_username=ftpuser
        user_config_dir=/etc/vsftpd/users_config
        tcp_wrappers=YES    
7、虚拟用户配置
vim users_config/ftp01
        write_enable=YES
        anon_world_readable_only=NO
        anon_upload_enable=YES    
        anon_mkdir_write_enable=YES
        anon_other_write_enable=YES
vim users_config/ftp02
        anon_world_readable_only=NO
        anon_other_write_enable=NO
        write_enable=NO
        anon_upload_enable=NO
        anon_mkdir_write_enable=NO
8、重启服务 service vsftpd restart

ftp防火墙：（已知本机ip222.24.24.46）

首先要开启ftp的两个模块：
vim /etc/sysconfig/iptables-config 
    IPTABLES_MODULES="ip_nat_ftp ip_conntrack_ftp"  #中间用空格隔开
被动模式下：
iptables -A INPUT -d 222.24.24.46 -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT  #放行21端口，状态为新连接的和已建立的都允许进 
iptables -A INPUT -d 222.24.24.46 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT    #tcp状态为已建立的和已发出数据等待回复的都允许进，因为server要随机选取一个大于1024的端口所以要用RELATED状态
iptables -A OUTPUT -s 222.24.24.46 -m state --state ESTABLISHED,RELATED -j ACCEPT       #状态为已建立的和以发出数据等待回复的都允许出
主动模式下：
iptables -A INPUT -d 222.24.24.43 -p tcp --dport 20:21 -j ACCEPT   #允许20,21端口进