vsftplinux
1. 如何借助vsftpd在linux上构建安全的FTP服务
FTP(文件传输协议)是互联网上广泛使用的服务之一，主要用于将文件从一个主机传输到另一个主机。FTP本身当初不是作为一种安全协议而设计的;正因为如此，典型的FTP服务很容易遭受诸如中间人攻击和蛮力攻击之类的常见攻击。
许多具有安全功能的应用程序可用来构建安全的FTP服务。比如说，FTPS(安全Secure)使用SSL/TLS证书，对端到端数据进行加密。基于客户端的需求，FTPS可加以配置，以支持经过加密及/或未经过加密的连接。SFTP(SSH文件传输协议)是另一种为传输中数据确保安全的方法。SFTP是作为SSH的一种扩展技术而开发的，同样可以结合其他安全协议使用。
本教程将着重介绍借助SSL/TLS已被启用的vsftpd，构建和保护FTP服务。
先稍微介绍一下背景：典型的FTP服务器侦听TCP端口20以监视数据、侦听TCP端口以监视命令(又叫控制端口)。连接的建立和命令参数的交互都通过端口21来完成。FTP连接支持两种方法：主动模式和被动模式。在主动模式下的连接建立过程中，服务器建立一条从其端口20(数据)到客户机的连接。在被动模式下，服务器为每一个客户机会话专门指定了随机性数据端口，并将该端口通知客户机。随后，客户机建立一条通向服务器随机性端口的连接。
据RFC 1635显示，FTP支持通过特殊用户anonymous进行的公众访问，不需要任何密码，或者通过用户ftp、使用密码ftp来进行访问。除了这类公众用户外，vsftpd还支持本地Linux用户进行的登录。Linux用户可以通过使用FTP连接到服务器，并提供登录信息，访问其主目录，即/home/user。
把vsftpd安装到Linux上
如果想把vsftpd安装到Ubuntu、Debian或Linux Mint上，可以使用apt-get命令。系统一启动，vsftpd服务就会自动启动。
$ sudo apt-get install vsftpd
如果想把vsftpd安装到CentOS、Fedora或RHEL上，我们可以使用yum来轻松完成安装。服务启动后，还被添加到系统启动项。
# yum install vsftpd
# service vsftpd start
# chkconfig vsftpd on
使用vsftpd的一种最基本的FTP服务现已准备好使用。我们只要将浏览器指向URL ftp://[ServerName/IP]，或者使用FileZilla等FTP客户软件、使用用户名anonymous，无需密码来连接，或使用用户名ftp、密码ftp来连接，就可以访问FTP服务。
vsftpd安装完毕后，系统用户ftp连同主目录/var/ftp已被添加到系统中。只要建立了匿名FTP连接，会话总是默认使用/var/ftp目录。所以，我们可以将该目录用作FTP公众用户的主目录。放在/var/ftp下面的任何文件/目录都可以通过ftp://[ServerName/IP]加以访问。
vsftpd配置文件的位置出现在下面两个地方：
•Ubuntu、Debian或Linux Mint：/etc/vsftpd.conf
•CentOS、Fedora或RHEL：/etc/vsftpd/vsftpd.conf
在本教程的其余部分，使用你Linux系统上的对应位置的vsftpd.conf文件。
调整FTP用户
如果想禁用公众访问，我们就要在vsftpd.conf中明确禁止用户anonymous。注释掉这一行不管用，因为vsftpd使用默认值运行。你还需要重启vsftpd。
anonymous_enable=NO
# service vsfptd restart
因而就要启用强制性验证;只有现有的Linux用户才能够使用其登录信息来进行连接。
若想启用/禁用本地用户，我们可以修改vsftpd.conf文件。如果我们禁用本地用户，就得确保用户anonymous已被授予访问权限。
local_enable=YES/NO
# service vsfptd restart
如果想使用特定用户连接到系统，我们只要将URL改成ftp://username@[ServerName/IP]。相应用户的主目录可使用这种方法，通过FTP来加以访问。
将用户限制在各自的主目录
用户使用FTP访问远程服务器时，用户可以浏览整个系统，只要文件/目录是可读取的。根本不建议这么做，因为任何用户都能通过FTP会话，读取和下载/etc、/var、/usr 及其他位置下面的系统文件。
想限制本地用户在FTP会话期间只能访问各自的主目录，我们可以修改下面这个参数。
chroot_local_user=YES
# service vsftpd restart
现在，本地用户只能够访问其主目录了，无法访问系统中的其他任何文件或目录。
启用SSL/TLS加密
FTP原本是一种明文协议，这意味着谁都可以轻松窥视在客户机与远程FTP服务器之间所传输的文件。想对FTP通信内容进行加密，可以启用vsftpd中的SSL/TLS。
第一步是创建SSL/TLS证书和私钥，如下所示。它会将所创建的证书/私钥存放在目标.pem文件中。
在Debian/Ubuntu上：
$ sudo openssl req -x509 -days 365 -newkey rsa:2048 –node
s -keyout /etc/vsftpd.pem -out /etc/vsftpd.pem
在CentOS/Fedora/RHEL上：
$ sudo openssl req -x509 -days 365 -newkey rsa:2048 –node
s -keyout /etc/vsftpd/vsftpd.pem -out /etc/vsftpd/vsftpd.pem
然后，将下面这些参数添加到vsftpd.conf配置文件中。
# 启用TLS/SSL
ssl_enable=YES
# 强迫客户机在登录时使用TLS
allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO
require_ssl_reuse=NO
ssl_ciphers=HIGH
# 指定SSL证书/私钥(Debian/Ubuntu)
# 如果是CentOS/Fedora/RHEL，将其换成/etc/vsftpd/vsftpd.pem
rsa_cert_file=/etc/vsftpd.pem
rsa_private_key_file=/etc/vsftpd.pem
# 为被动模式下的连接定义端口范围
pasv_max_port=65535
pasv_min_port=64000
最后重启vsftpd。
# service vsftpd restart
控制连接和带宽
vsftpd提供了几种方法来控制连接和用户带宽。我们将使用几种方法来调整我们的FTP服务器。
## 为每个匿名会话分配的带宽设置为大约30 KB/s ##
anon_max_rate=30000
## 每个本地用户被授予大约30 KB/s的带宽##
local_max_rate=30000
## 客户机会话闲置300秒后被终止##
idle_session_timeout=300
## 每个源IP地址的最大连接数量，这有助于防范拒绝服务(DoS)和分布式拒绝服务攻击(DDoS)#
max_per_ip=50
调整防火墙
最后，如果你在系统(比如CentOS)上运行iptables防火墙，就要确保调整防火墙规则，允许FTP流量通过。下面这些规则应当有助于你开始上手。
# iptables -I INPUT -p tcp --dport 20 -j ACCEPT
# iptables -I INPUT -p tcp --dport 21 -j ACCEPT
# iptables -I INPUT -p tcp --dport 64000:65535 -j ACCEPT
头两条规则允许流量通过FTP数据/控制端口。最后一条规则允许被动模式下的连接，其端口范围已经在vsftpd.conf中予以定义。
启用日志功能
万一你在本教程的FTP服务构建过程中遇到任何问题，可以启用日志功能，为此只需修改vsftpd.conf中的下面这个参数：
xferlog_enable=YES
xferlog_std_format=NO
xferlog_file=/var/log/vsftpd.log
log_ftp_protocol=YES
debug_ssl=YES
# service vsftpd restart
借助FileZilla连接到FTP服务器
现在有几款FTP客户软件支持SSL/TLS，尤其是FileZilla。想通过FileZilla连接到支持SSL/TLS的网站，就要为FTP主机使用下列设置。
你头一次连接到支持SSL/TLS的FTP服务器后，会看到该网站的证书。只管信任证书、登录上去。
为sftpd排查故障
1. 如果你在连接到FTP服务器的过程中遇到了下面这个错误，这可能是由于你的防火墙阻止FTP流量。为此，确保你在防火墙上打开了必要的FTP端口，如上所述。
ftp: connect: No route to host
2. 如果你连接到在CentOS/RHEL上运行的使用chroot改变根目录的FTP服务器时遇到了下面这个错误，禁用SELinux是一个办法。
500 OOPS: cannot change directory:/home/dev
Login failed.
虽然关闭SELinux是一个快速的解决办法，但在生产环境下这么做可能不安全。所以，改而打开SELinux中的下列布尔表达式可以解决这个问题。
$ sudo setsebool -P ftp_home_dir on
3. 如果你通过FileZilla访问支持SSL/TLS的FTP服务器时遇到了下列错误，就要确保在vsftpd.conf中添加“ssl_ciphers=HIGH”。FileZilla并不支持默认密码(DES-CBC3-SHA)。
Trace: GnuTLS alert 40: Handshake failed
Error: GnuTLS error -12: A TLS fatal alert has been received.
"SSL_accept failed: error:1408A0C1:SSL routines:SSL3_GET_CLIENT_HELLO:no shared cipher"
总而言之，使用vsftpd构建FTP服务器并非难事。针对用户anonymous的默认安装应该能够支持小型的常见FTP服务。Vsftpd还有许多可以调整的参数(详见http://linux.die.net/man/5/vsftpd.conf)，让它显得用途广泛。
2. linux下如何安装vsftp组件
在linux下安装vsftp组件按照如下步骤，即可安装成功
安装vsftpd组件
安装完后，有/etc/vsftpd/vsftpd.conf文件，是vsftp的配置文件。
[root@bogon ~]# yum -y install vsftpd
2.添加一个ftp用户
此用户就是用来登录ftp服务器用的。
[root@bogon ~]# useradd ftpuser
这样一个用户建完，可以用这个登录，记得用普通登录不要用匿名了。登录后默认的路径为 /home/ftpuser.
3.给ftp用户添加密码
[root@bogon ~]# passwd ftpuser
输入两次密码后修改密码。
4.防火墙开启21端口
因为ftp默认的端口为21，而centos默认是没有开启的，所以要修改iptables文件
[root@bogon ~]# vim /etc/sysconfig/iptables
在行上面有22 -jACCEPT 下面另起一行输入跟那行差不多的，只是把22换成21，然后：wq保存。
重启ftp服务：
[root@bogon ~]# service vsftpd restart
7.用ftp客户端登录即可
3. 如何在linux操作系统中安装vsftp服务
一、安装vsftp
安装：yum install vsftpd
二、启动、停止、重启vsftp
启动vsftp:
service vsftpd start
或指定路径(注意：/etc/init.d/路径可能不同)：/etc/init.d/vsftpd start
重启
service vsftpd restart
停止vsftp：
service vsftpd stop
三、创建ftp用户组和目录
1、创建FTP用户组ftp-users
groupadd ftp-users
2、创建用户组目录ftp-docs
mkdir /home/ftp-docs
注意，这时还未指定跟ftp-users关联。
3、修改权限
chmod -R 750 /home/ftp-docs
750组只能读不能写，要组能写，请改成770或760。
4、指定文件夹归属用户和用户组
chown root:ftp-users /home/ftp-docs
这时，如果远程用户属于ftp-users组，则会共享该目录。
5、添加FTP用户并未他们设置缺省目录
useradd -g ftp-users -d /home/ftp-docs user1
passwd user1
4. linux vsftp 如何更改默认端口及访问
1、选择位于中间的“Customize”按钮，按下ENTER键即可。
5. linux中怎么安装vsftpd
vsftpd是Linux下比较着名的FTP服务器，搭建FTP服务器当然首选这个。
本文介绍了在CentOS 6.4下安装vsftpd、配置虚拟用户登录FTP的过程。
正文：
一：安装vsftpd
查看是否已经安装vsftpd
rpm -qa | grep vsftpd
如果没有，就安装，并设置开机启动
yum -y install vsftpd
chkconfig vsftpd on
二：基于虚拟用户的配置
所谓虚拟用户就是没有使用真实的帐户，只是通过映射到真实帐户和设置权限的目的。虚拟用户不能登录CentOS系统。
修改配置文件
打开/etc/vsftpd/vsftpd.conf，做如下配置
anonymous_enable=NO //设定不允许匿名访问
local_enable=YES //设定本地用户可以访问。注：如使用虚拟宿主用户，在该项目设定为NO的情况下所有虚拟用户将无法访问
chroot_list_enable=YES //使用户不能离开主目录
ascii_upload_enable=YES
ascii_download_enable=YES //设定支持ASCII模式的上传和下载功能
pam_service_name=vsftpd //PAM认证文件名。PAM将根据/etc/pam.d/vsftpd进行认证
以下这些是关于vsftpd虚拟用户支持的重要配置项，默认vsftpd.conf中不包含这些设定项目，需要自己手动添加
guest_enable=YES //设定启用虚拟用户功能
guest_username=ftp //指定虚拟用户的宿主用户，CentOS中已经有内置的ftp用户了
user_config_dir=/etc/vsftpd/vuser_conf //设定虚拟用户个人vsftp的CentOS FTP服务文件存放路径。存放虚拟用户个性的CentOS FTP服务文件(配置文件名=虚拟用户名
进行认证
首先，安装Berkeley DB工具，很多人找不到db_load的问题就是没有安装这个包。
yum install db4 db4-utils
然后，创建用户密码文本/etc/vsftpd/vuser_passwd.txt ，注意奇行是用户名，偶行是密码
test
123456
接着，生成虚拟用户认证的db文件
db_load -T -t hash -f /etc/vsftpd/vuser_passwd.txt /etc/vsftpd/vuser_passwd.db
随后，编辑认证文件/etc/pam.d/vsftpd，全部注释掉原来语句，再增加以下两句：
auth required pam_userdb.so db=/etc/vsftpd/vuser_passwd
account required pam_userdb.so db=/etc/vsftpd/vuser_passwd
最后，创建虚拟用户配置文件
mkdir /etc/vsftpd/vuser_conf/
vi /etc/vsftpd/vuser_conf/test //文件名等于vuser_passwd.txt里面的账户名，否则下面设置无效
内容如下
local_root=/ftp/www //虚拟用户根目录,根据实际情况修改
write_enable=YES //可写
anon_umask=022 //掩码
anon_world_readable_only=NO
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_other_write_enable=YES
设置Selinux
setsebool -P ftp_home_dir=1 //设置ftp可以使用home目录
sersebool -P allow_ftpd_full_access=1 //设置ftp用户可以有所有权限
设置FTP根目录权限
mkdir /ftp/www //创建目录
chmod R 755 /ftp
chmod R 777 /ftp/www
最新的vsftpd要求对主目录不能有写的权限所以ftp为755，主目录下面的子目录再设置777权限
设置防火墙
打开/etc/sysconfig/iptables
在“-A INPUT –m state --state NEW –m tcp –p –dport 22 –j ACCEPT”，下添加：
-A INPUT -m state --state NEW -m tcp -p -dport 21 -j ACCEPT
然后保存，并关闭该文件，在终端内运行下面的命令，刷新防火墙配置：
service iptables restart
OK，运行“service vsftpd start”，你就可以访问你的FTP服务器了。