第十章 网络文件共享服务之ftp

10.1 ftp介绍

网络文件共享服务主流的主要有三种，分别是ftp、nfs、samba。在上一章中我们已经了解了nfs，本章我们将来说说ftp。

FTP是File Transfer Protocol（文件传输协议）的简称，用于internet上的控制文件的双向传输。

FTP也是一个应用程序，基于不同的操作系统有不同的FTP应用程序，而所有这些应用程序都遵守同一种协议以传输文件。

在FTP的使用当中，用户经常遇到两种概念：下载和上传

下载（Download）文件就是从远程主机拷贝文件至自己的计算机上

上传（Upload）文件就是将文件从自己的计算机上拷贝至远程主机上。

10.2 ftp架构

FTP工作于应用层，监听于tcp的21号端口，是一种C/S架构的应用程序。其有多种客户端和服务端的应用程序，下面来简单介绍一下

Client：

ftp

lftp,lftpget

wget,curl

filezilla

gftp（Linux GUI）

商业软件：flashfxp，cuteftp

Server：

wu-ftpd

proftpd：提供web接口的一种ftp服务端程序

pureftp

vsftpd：Very Secure

ServU：windows平台的一种强大ftp服务端程序

10.3 ftp数据连接模式

ftp有2种数据连接模式：命令连接和数据连接

命令连接：是指文件管理类命令，始终在线的持久性连接，直到用户退出登录为止

数据连接：是指数据传输，按需创建及关闭的连接

其中数据连接需要关注的有2点，一是数据传输格式，二是数据传输模式

数据传输格式有以下两种：

a) 文件传输

b) 二进制传输

数据传输模式也有2种：

a) 主动模式：由服务器端创建数据连接

b) 被动模式：由客户端创建数据连接

下面来介绍下两种数据传输模式的建立过程：

主动模式：

命令连接：

Client（1025）--> Server（21）客户端以一个随机端口（大于1023）来连服务器端的21号端口

数据连接：

Server（20/tcp） --> Client（1025+1） 服务器端以自己的20号端口去连客户端创建命令连接时使用的随机端口+1的端口号

此处有个弊端，因为客户端的端口是随机的，客户端如果开了防火墙，则服务器端去连客户端创建数据连接时可能会被拒绝

被动模式：

命令连接：

Client（1110） --> Server（21）客户端以一个随机端口来连成服务器端的21号端口

数据连接：

Client（1110+1） --> Server（随机端口）客户端以创建命令连接的端口+1的端口号去连服务器端通过命令连接告知自己的一个随机端口号来创建数据连接

10.4 ftp响应码

1xx：纯信息的状态码

2xx：成功类的状态码

3xx：提示需进一步提供补充类信息的状态码

4xx：客户端错误

5xx：服务端错误

10.5 用户认证

ftp的用户主要有三种：

a) 虚拟用户：仅用于访问某特定服务中的资源

b) 系统用户：可以登录系统的真实用户

c) 匿名用户

ftp的用户认证主要通过nsswitch和pam来实现，关于nsswitch和pam，请看此处

10.6 vsftpd

此处我们要说的ftp应用程序是vsftpd，这也是在公司中用得最多的一款ftp软件。

本章主要说一下vsftpd的配置，关于安装就不啰嗦了，请自行google

vsftpd用户认证配置文件是/etc/pam.d/vsftpd

服务脚本为/etc/rc.d/init.d/vsftpd

配置文件目录为/etc/vsftpd/，其中主配置文件为/etc/vsftpd/vsftpd.conf

匿名用户（映射为ftp用户）的共享资源位置是/var/ftp

系统用户通过ftp访问的资源位置为用户的家目录

虚拟用户通过ftp访问的资源位置为给虚拟用户指定的映射成为的系统用户的家目录

10.7 vsftpd的常用配置

匿名用户的配置：

anonymous_enable=YES启用匿名用户登录

anon_upload_enable=YES允许匿名用户上传

anon_mkdir_write_enable=YES允许匿名用户创建目录，但是不能删除

anon_other_write_enable=YES允许匿名用户创建和删除目录

系统用户的配置：

local_enable=YES启用本地用户登录

write_enable=YES允许本地用户有写权限

local_umask=022通过ftp上传文件的默认遮罩码

chroot_local_user=YES禁锢所有的ftp本地用户于其家目录中

禁锢文件（/etc/vsftpd/chroot_list）中指定的ftp本地用户于其家目录中：

chroot_list_enable=YES

chroot_list_file=/etc/vsftpd/chroot_list

虚拟用户的配置：

所有的虚拟用户会被统一映射为一个指定的系统帐号，访问的共享位置即为此系统帐号的家目录

各虚拟用户可被赋予不同的访问权限，通过匿名用户的权限控制参数进行指定

虚拟用户帐号的存储方式：

a) 文件：编辑文件，此文件需要被编码为hash格式。

奇数行为用户名

偶数行为密码

b) 关系型数据库的表中：

通过即时查询数据库完成用户认证

mysql库：pam要依赖于pam_mysql软件，可以通过epel源yum安装

日志配置：

xferlog_enable=YES是否启用传输日志，记录ftp传输过程

xferlog_std_format=YES传输日志是否使用标准格式

xferlog_file=/var/log/xferlog指定传输日志存储的位置

改变上传文件的属主：自动将客户端上传到服务器的某文件的属主改为指定的用户

chown_uploads=YES是否启用改变上传文件属主的功能

chown_username=whoever 指定要将上传的文件的属主改为哪个用户，此用户必须在系统中存在

vsftpd使用pam完成用户认证，其用到的pam配置文件：

pam_service_name=vsftpd指定vsftpd使用/etc/pam.d下的哪个pam配置文件进行用户认证

是否启用控制用户登录的列表文件：默认为/etc/vsftpd/user_list文件

userlist_enable=YES

userlist_deny=YES是否拒绝userlist指定的列表文件中存在的用户登录ftp

连接限制：

max_clients=#最大并发连接数

max_per_ip=#每个IP可同时发起的并发请求数

传输速率：

anon_max_rate匿名用户的最大传输速率，单位是"字节/秒"

local_max_rate本地用户的最大传输速率，单位是"字节/秒"

通用配置：

dirmessage_enable=YES启用某目录下的.message描述信息

假定有一个目录为/upload，在其下创建一个文件名为.message，在文件内写入一些描述信息，则当用户切换至/upload目录下时会自动显示.message文件中的内容

message_file设置访问一个目录时获得的目录信息文件的文件名,默认是.message

idle_session_timeout=600设置默认的断开不活跃session的时间

data_connection_timeout=120设置数据传输超时时间

ftpd_banner=Welcome to chenlf FTP service.定制欢迎信息，登录ftp时自动显示

10.8 vsftpd虚拟用户配置

vsftpd虚拟用户的配置步骤如下，这里使用mysql进行用户认证

a) 安装所需要的程序

yum -y install vsftpd mysql-server mysql-devel pam_mysql

注意：pam_mysql由epel源提供

b) 创建虚拟用户帐号

准备数据库及相关表：首先确保mysql服务已经正常启动。而后，按需要建立存储虚拟用户的数据库即可，这里将其创建为vsftpd数据库

mysql> CREATE DATABASE vsftpd;mysql> GRANT SELECT ON vsftpd.* TO 'vsftpd'@'localhost' IDENTIFIED BY 'Your password';mysql> GRANT SELECT ON vsftpd.* TO 'vsftpd'@'127.0.0.1' IDENTIFIED BY 'Your password';mysql> FLUSH PRIVILEGES;mysql> use vsftpd;mysql> CREATE TABLE users (id int UNSIGNED NOT NULL AUTO_INCREMENT PRIMARY KEY,name char(20) binary NOT NULL,password char(48) binary NOT NULL);

添加测试的虚拟用户：根据需要添加所需要的用户，需要说明的是，这里将其密码为了安全起见应使用PASSWORD函数加密后存储

mysql> INSERT INTO users(name,password) values('tom',password('Your password'));mysql> INSERT INTO users(name,password) values('jerry',password('Your password'));

c) 配置vsftpd

建立pam认证所需文件，编辑/etc/pam.d/vsftpd.mysql文件，添加如下两行：

auth required /lib64/security/pam_mysql.so user=vsftpd passwd='Your password' host=mysqldb_ip db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2account required /lib64/security/pam_mysql.so user=vsftpd passwd='Your password' host=mysqldb_ip db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2

注意：由于mysql的安装方式不同，pam_mysql.so基于unix sock连接mysql服务器时可能会出问题，此时，建立授权一个可远程连接的mysql并访问vsftpd数据库的用户

修改vsftpd的配置文件/etc/vsftpd/vsftpd.conf，使其适应mysql认证

建立虚拟用户映射的系统用户及对应的目录：

建立虚拟用户映射的系统用户及对应的目录：

useradd -s /sbin/nologin -d /var/ftproot vuserchmod go+rx /var/ftproot/

请确保/etc/vsftpd/vsftpd.conf中已经启用了以下选项：

anonymous_enable=YESlocal_enable=YESwrite_enable=YESanon_upload_enable=NOanon_mkdir_write_enable=NOchroot_local_user=YES

而后添加以下选项：

guest_enable=YESguest_username=vuser

并确保pam_service_name选项的值如下所示：

pam_service_name=vsftpd.mysql

d) 启动vsftpd服务并查看端口开启情况

service vsftpd startchkconfig vsftpd onss -tnlp|grep 21

e) 配置虚拟用户具有不同的访问权限

vsftpd可以在配置文件目录中为每个用户提供单独的配置文件以定义其ftp服务访问权限，每个虚拟用户的配置文件名同虚拟用户的用户名。

配置文件目录可以是任意未使用目录，只需要在vsfptd.conf中指定其路径及名称即可

编辑vsftpd.conf文件，添加如下选项

user_config_dir=/etc/vsftpd/vusers_config

创建所需要的目录，并为虚拟用户提供配置文件

mkdir /etc/vsftpd/vusers_configcd /etc/vsftpd/vusers_configtouch tom jerry

配置虚拟用户的访问权限

虚拟用户对vsftpd服务的访问权限是通过匿名用户的相关指令进行的。

比如，如果需要让tom用户具有上传文件的权限，可以修改/etc/vsftpd/vusers_config/tom文件，添加如下选项即可：

anon_upload_enable={YES|NO}anon_mkdir_write_enable={YES|NO}anon_other_write_enable={YES|NO}

Linux下好用的下载工具：

axel：可实现多线程下载，断点续传等功能，下载速度超快

lftpget

wget

curl