Linux文件传输协议2019-7-9

FTP(file transfer Protocol)是一种在互联网中进行文件传输的协议，基于客户端/服务器模式，默认使用20、21号端口，其中端口20（数据端口）用于数据传输，端口21（命令端口）用于接受客户端发出的相关FTP与命令与参数，FTP协议有两种工作模式，主动模式：FTP服务器主动向客户端发起连接请求。被动模式：FTP服务器等待客户端发起连接请求（FTP的默认工作模式）。

[root@study ~]# yum install vsftpd -y

iptables防火墙管理工具默认禁止了FTP传输协议的端口号，因此在正式配置vsftpd服务程序之前，为了避免这些默认的防火墙策略“捣乱”，还需要清空iptables防火墙的默认策略，并把当前已经被清理的防火墙策略状态保存下来：

[root@study ~]# iptables -F
[root@study ~]# service iptables save
iptables: Saving firewall rules to /etc/sysconfig/iptables:[ OK ]

备份vsftpd配置文件并去掉注释行。

[root@study ~]# mv /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf_bak
[root@study ~]# grep -v "#" /etc/vsftpd/vsftpd.conf_bak > /etc/vsftpd/vsftpd.conf
[root@study ~]# cat /etc/vsftpd/vsftpd.conf
anonymous_enable=YES
local_enable=YES
write_enable=YES
local_umask=022
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen=NO
listen_ipv6=YES

pam_service_name=vsftpd
userlist_enable=YES
tcp_wrappers=YES

参数	作用
listen=[YES|NO]	是否以独立运行的方式监听服务
listen_address=IP地址	设置要监听的IP地址
listen_port=21	设置FTP服务的监听端口
download_enable=[YES|NO]	是否允许下载文件
userlist_enable=[YES|NO] userlist_deny=[YES|NO]	设置用户列表为“允许”还是“禁止”操作
max_clients=0	最大客户端连接数，0为不限制
max_per_ip=0	同一IP地址的最大连接数，0为不限制
anonymous_enable=[YES|NO]	是否允许匿名用户访问
anon_upload_enable[YES|NO]	是否允许匿名用户上传文件
anon_umask=022	匿名用户上传文件的umask值
anon_root=/var/ftp	匿名用户的FTP根目录
anon_mkdir_write_enable=[YES|NO]	是否允许匿名用户创建目录
anon_other_write_enable=[YES|NO]	是否开放匿名用户的其他写入权限（包括重命名、删除等操作权限）
anon_max_rate=0	匿名用户的最大传输速率（字节/秒），0为不限制
local_enable=[YES|NO]	是否允许本地用户登录FTP
local_umask=022	本地用户的FTP根目录
chroot_local_user=[YES|NO]	是否将用户权限禁锢在FTP目录，以确保安全
local_max_rate=0	本地用户最大传输速率（字节/秒），0为不限制

vsftpd作为更加安全的文件传输的服务程序，允许用户以三种认证模式登录到FTP服务器上。

匿名开放模式：最不安全的认证模式，任何人都可以无需密码验证而直接登录到FTP服务器。

本地用户模式：是通过Linux系统本地的账户密码信息进行认证的模式，相较于匿名开放模式更安全，而且配置起来也很简单。

虚拟用户模式：是这三种模式中最安全的一种认证模式，它需要为FTP服务单独建立用户数据库文件，虚拟出用来进行口令验证的账户信息，而这些账户信息在服务器系统中实际上是不存在的，仅供FTP服务程序进行认证使用。

ftp是Linux系统中以命令行界面的方式来管理FTP传输服务的客户端工具，先安装ftp客户端工具。

[root@study ~]# yum install ftp -y

匿名开放模式

vsftpd服务程序默认开启了匿名开放模式,只需开放匿名用户的上传、下载文件的权限，以及让匿名用户创建、删除、更名文件的权限。

anonymous_enable=YES	允许匿名用户访问
anon_upload_enableYES	允许匿名用户上传文件
anon_umask=022	匿名用户上传文件的umask值
anon_mkdir_write_enable=YES	允许匿名用户创建目录
anon_other_write_enable=YES	允许匿名用户修改目录名称或删除目录

[root@study ~]# vim /etc/vsftpd/vsftpd.conf

1 anonymous_enable=YES
2 anon_umask=022
3 anon_upload_enable=YES
4 anon_mkdir_write_enable=YES
5 anon_other_write_enable=YES

重启vsftpd服务，并加入开机启动项中

[root@study ~]# systemctl restart vsftpd
[root@study ~]# systemctl enable vsftpd
Created symlink from /etc/systemd/system/multi-user.target.wants/vsftpd.service to /usr/lib/systemd/system/vsftpd.service.

登录ftp服务器，使用anonymous账户登录并创建目录

[root@study ~]# ftp 192.168.218.138

ftp> cd pub
250 Directory successfully changed.
ftp> mkdir dir
550 Create directory operation failed.

由于pub目录只允许root才有权限写入所以会失败，更改pub目录的权限或者更改pub目录的属主和属组

[root@study ~]# ls -ld /var/ftp/pub
drwxr-xr-x 2 root root 6 Nov 20 2015 /var/ftp/pub
[root@study ~]# chmod 777 /var/ftp/pub

ftp> mkdir dir
257 "/pub/dir" created

或

[root@study ~]# chown ftp:ftp /var/ftp/pub

ftp> mkdir ftp
257 "/pub/ftp" created

本地用户模式

关闭匿名开放模式，开启本地用户模式。

anonymous_enable=NO	禁止匿名访问模式
local_enable=YES	允许本地用户模式
write_enable=YES	设置可写权限
local_umask=022	本地用户模式创建文件的 umask 值
userlist_enable=YES	启用“禁止用户名单”，名单文件为 ftpusers 和 user_list
userlist_deny=YES	开启用户作用名单文件功能

[root@study ~]# vim /etc/vsftpd/vsftpd.conf

1 anonymous_enable=NO
2 local_enable=YES
3 write_enable=YES
4 local_umask=022

[root@study ~]# systemctl restart vsftpd

按照常理应该可以使用本地用户身份来登录FTP服务器了，但是会报错

[root@study ~]# ftp 192.168.218.138
Connected to 192.168.218.138 (192.168.218.138).
220 (vsFTPd 3.0.2)
Name (192.168.218.138:root): root
530 Permission denied.
Login failed.
ftp>

这是因为vsftpd服务程序所在的目录中存放着两个名为“用户名单”的文件（ftpusers和user_list）只要在文件中写入用户名就不允许用户登录FTP服务器。

[root@study ~]# vim /etc/vsftpd/user_list
[root@study ~]# vim /etc/vsftpd/ftpusers

将文件中root用户删除，登录ftp

[root@study ~]# ftp 192.168.218.138
Connected to 192.168.218.138 (192.168.218.138).
220 (vsFTPd 3.0.2)
Name (192.168.218.138:root): root
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> mkdir Ftproot
257 "/root/Ftproot" created
ftp>

虚拟用户模式

第1步：创建用于进行FTP认证的用户数据库文件，其中奇数行为账户名，偶数行为密码。分别创建purple和cloud两个用户，密码为123456

[root@study ~]# cd /etc/vsftpd/

[root@study vsftpd]# vim vuser.list

purple

123456

cloud

123456

由于明文信息不安全也不符合vsftpd服务直接加载的格式，因此需要使用db_load命令用哈希算法将明文信息文件转换称数据库文件，并且降低数据库文件的权限，防止其他人看到数据库文件的内容，然后再把源文件删除。

[root@study vsftpd]# db_load -T -t hash -f vuser.list vuser.db
[root@study vsftpd]# file vuser.db
vuser.db: Berkeley DB (Hash, version 9, native byte-order)
[root@study vsftpd]# chmod 600 vuser.db
[root@study vsftpd]# rm -f vuser.list

第2步：创建vsftpd服务程序用于存储文件的根目录以及虚拟用户映射的系统本地用户。FTP服务用于存储文件的根目录指的是，当虚拟用户登录后所访问的默认位置。由于Linux系统中的每一个文件都有所有者、所属组属性，假如使用purple新建了一个文件但是系统中找不到“张三”，就会导致这个文件的权限出错。所以需要再创建一个可以映射到虚拟用户的本地用户。为了安全，我们将这个系统本地用户设置为不允许登录FTP服务器，这样并不会影响虚拟用户登录。

[root@study ~]# useradd -d /var/ftproot -s /sbin/nologin virtual
[root@study ~]# ls -ld /var/ftproot
drwx------ 2 virtual virtual 59 Jul 9 11:50 /var/ftproot
[root@study ~]# chmod -Rf 755 /var/ftproot/

第3步：建立用于支持虚拟用户的PAM文件。

[root@study ~]# vim /etc/pam.d/vsftpd.vu

auth required pam_userdb.so db=/etc/vsftpd/vuser
account required pam_userdb.so db=/etc/vsftpd/vuser

第4步：修改vsftpd主配置文件

[root@study ~]# vim /etc/vsftpd/vsftpd.conf

1 anonymous_enable=NO
2 local_enable=YES
3 guest_enable=YES
4 guest_username=virtual
5 allow_writeable_chroot=YES

14 pam_service_name=vsftpd.vu

第5步：为虚拟用户设置不同的权限。虽然账户purple和cloud都是用于vsftpd服务程序认证的虚拟账户，但是要赋予不同的权限。比如purple可以上传、创建、修改、查看、删除文件，cloud只能查看文件，只需新建一个目录，在里面分别创建以purple和cloud命名的文件，其中在名为purple的文件中写入允许的相关参数

[root@study ~]# mkdir /etc/vsftpd/vuser_dir/
[root@study ~]# cd /etc/vsftpd/vuser_dir/
[root@study vuser_dir]# vim purple

[root@study vuser_dir]# touch cloud

修改vsftpd主配置文件

[root@study vuser_dir]# vim /etc/vsftpd/vsftpd.conf

17 user_config_dir=/etc/vsftpd/vuser_dir

[root@study ~]# systemctl restart vsftpd

Name (192.168.218.138:root): purple
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> mkdir a
257 "/a" created
ftp> rmdir a
250 Remove directory operation successful

Name (192.168.218.138:root): cloud
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> mkdir a
550 Permission denied.

简单的文件传输协议

简单的文件传输协议（Trivial File Transfer Protocol,TFTP）是一种基于UDP协议在客户端和服务器之间进行简单文件传输的协议。

[root@study ~]# yum install tftp-server tftp -y　　#安装tftp服务

在RHEL7系统中，TFTP服务是使用xinetd服务程序来管理的。需要将xinetd服务程序中将其开启，把默认的禁用（disble）参数修改为no

[root@study ~]#  vim /etc/xinetd.d/tftp

service tftp
{
socket_type = dgram
protocol = udp
wait = yes
user = root
server = /usr/sbin/in.tftpd
server_args = -s /var/lib/tftpboot
disable = no
per_source = 11
cps = 100 2
flags = IPv4
}

重启xinetd服务并将它添加到开启启动项中，有些系统的防火墙默认没有允许UDP协议的69端口，因此需要将该端口手动添加到允许策略中：

[root@study ~]# systemctl restart xinetd
[root@study ~]# systemctl enable xinetd
[root@study ~]# firewall-cmd --permanent --add-port=69/udp　　#我这里没有开启防火墙可以忽略
FirewallD is not running
[root@study ~]# firewall-cmd --reload
FirewallD is not running

TFTP的根目录为/var/lib/tftpboot。我们可以使用tftp命令尝试访问其中的文件，亲身体验TFTP服务的文件传输过程。

命令	作用
？	帮助信息
put	上传文件
get	下载文件
verbose	显示详细的处理信息
status	显示当前的状态信息
binary	使用二进制传输
asciii	使用ASCII码进行传输
timeout	设置重传时间
quit	退出

[root@study ~]# tftp 192.168.218.138
tftp> get readme.txt
tftp> quit

[root@study ~]# ls
2346 anaconda-ks.cfg bbs blogs Ftproot readme.txt

[root@study ~]# cat readme.txt
I'm purple cloud