构建基于虚拟用户的vsftpd服务器

安装：

[root@server ~]# yum install -y vsftpd

[root@server ~]# rpm -ql vsftpd

/etc/logrotate.d/vsftpd

/etc/pam.d/vsftpd

/etc/rc.d/init.d/vsftpd

/etc/vsftpd

/etc/vsftpd/ftpusers

/etc/vsftpd/user_list

/etc/vsftpd/vsftpd.conf

/etc/vsftpd/vsftpd_conf_migrate.sh

/usr/sbin/vsftpd 

.......

[root@server ~]# /etc/init.d/vsftpd start

Starting vsftpd for vsftpd:                                [  OK  ]

[root@server ~]# netstat -lntup|grep 21

tcp        0      0 0.0.0.0:21                  0.0.0.0:*                   LISTEN      3419/vsftpd

[root@server ~]# cd /var/ftp/pub

[root@server pub]# ll

total 0

[root@server pub]# cp /etc/fstab .

到浏览器测试：

 

####################################################################################################

1.建立虚拟FTP用户的帐号数据库文件

2.创建FTP根目录及虚拟用户映射的系统用户

3.建立支持虚拟用户的PAM认证文件

4.在vsftpd.conf文件中添加支持配置

5.为个别虚拟用户建立独立的配置文件

6.重新加载vsftpd配置

7.使用虚拟FTP账户访问测试

 

过程实例：

1.建立虚拟FTP用户的帐号数据库文件

  建立虚拟用户的账户名、密码列表(通过本地文件的方式)

[root@filesvr~]# vi /etc/vsftpd/vusers.list

fedora

123

gentoo

456

[root@filesvr~]# cd /etc/vsftpd/

[root@filesvrvsftpd]# db_load -T -t hash -f vusers.list   vusers.db

[root@filesvrvsftpd]# file vusers.db

vusers.db: Berkeley DB (Hash, version 8, native byte-order)

[root@filesvrvsftpd]# chmod 600/etc/vsftpd/vusers.*

2.创建FTP根目录及虚拟用户映射的系统用户

[root@filesvr~]# mkdir/var/ftproot

[root@filesvr~]# useradd -d /var/ftproot -s /sbin/nologin virtual

[root@filesvr~]# chmod 755 /var/ftproot/

3.建立支持虚拟用户的PAM认证文件

[root@filesvr~]# vi /etc/pam.d/vsftpd.vu

#%PAM-1.0

auth       required     pam_userdb.so db=/etc/vsftpd/vusers

account    required     pam_userdb.so db=/etc/vsftpd/vusers

4.在vsftpd.conf文件中添加支持配置

[root@filesvr~]# vi  /etc/vsftpd/vsftpd.conf

anonymous_enable=NO

local_enable=YES

write_enable=YES

anon_umask=022

guest_enable=YES

guest_username=virtual

pam_service_name=vsftpd.vu

anon_upload_enable=YES   #允许匿名账号有上传功能

anon_mkdir_write_enable=YES   #允许匿名账号创建文件功能

anon_other_write_enable=YES  #允许匿名账号具有删除.更名权限

dirmessage_enable=YES

……

5.为个别虚拟用户建立独立的配置文件

在vsftpd.conf文件中添加用户配置目录支持

user_config_dir=/etc/vsftpd/vusers_dir

为用户fedora、gentoo建立独立的配置目录及文件

配置文件名与用户名同名

[root@filesvr~]# mkdir/etc/vsftpd/vusers_dir/

[root@filesvr~]# cd /etc/vsftpd/vusers_dir/

[root@filesvrvusers_dir]# touch fedora

[root@filesvrvusers_dir]# vi gentoo

anon_upload_enable=YES

anon_mkdir_write_enable=YES

6.重新加载vsftpd配置

service vsftpd reload

7.使用虚拟FTP账户访问测试

分别用fedora、gentoo用户登录FTP服务器进行下载、上传测试

fedora用户可以登录，并可以浏览、下载文件，但无法上传

gentoo用户可以登录，并可以浏览、下载文件，也可以上传

匿名用户或其他系统用户将不能登录

 

 

•在使用 db_load命令时，“-f”选项用于指定用户名/密码列表文件，“-T”选项允许非Berkeley DB的应用程序使用从文本格式转换的DB数据文件，“-t hash”选项指定读取数据文件的基本方法。关于db_load命令的详细说明可参阅/usr/share/doc/db4-utils-4.3.29/utility/db_load.html文件

•将帐号文件的权限设置为600，可以有效提高安全性

•vsftpd虚拟用户需要有一个对应的系统用户帐号（该帐号无需设置密码及登录Shell），该用户帐号的宿主目录作为所有虚拟用户登录后的共同FTP根目录

•PAM配置文件（名称可以自行定义）主要用于为程序提供用户认证控制，vsftpd服务使用的默认PAM配置文件为/etc/pam.d/vsftpd，可以参考该文件的格式建立新的PAM配置文件，用于虚拟用户认证控制

•在vsftpd.conf配置文件中添加guest_enable、guest_username配置项，将访问FTP服务的所有虚拟用户对应到同一系统用户帐号virtual。并修改pam_service_name配置项，指向上一步建立的PAM配置文件/etc/pam.d/vsftpd.vu

•在vsftpd服务中，虚拟用户帐户默认作为匿名用户处理以降低权限，因此对应的权限设置通常使用以anon_开头的配置项。例如，在设置虚拟用户所上传文件的默认权限掩码时应采用配置项anon_umask而不是local_umask

•此步骤实际上是可选的，如果不需要为个别用户设置单独的选项，则无需此步骤

•虽然不需要为fedora用户添加额外权限设置，但是也要建立一个空配置文件

•如果需要禁用或者仅允许一部分虚拟用户帐号，同样可以使用/etc/vsftpd/user_list列表文件，具体方法请参考2.2.3小节中的例2.13。需要注意的是，在/etc/vsftpd/ftpusers文件中加入虚拟用户名，并不能禁用对应的系统帐号

 

 

###########################动手实例##############################

[root@server pub]# cd /etc/vsftpd/

[root@server vsftpd]# vim vusers.list

mike

123

john

456

[root@server vsftpd]# db_load -T -t hash -f vusers.list vusers.db

[root@server vsftpd]# file vusers.db

vusers.db: Berkeley DB (Hash, version 9, native byte-order)

[root@server vsftpd]# chmod 600 ./vusers.*

[root@server vsftpd]# useradd -d /var/ftproot -s /sbin/nologin virtual             #-d 指定用户的家目录

[root@server vsftpd]# chmod 755 /var/ftproot/

[root@server vsftpd]# vi /etc/pam.d/vsftpd.vu

auth required pam_userdb.so db=/etc/vsftpd/vusers

account required pam_userdb.so db=/etc/vsftpd/vusers

[root@server vsftpd]# vim /etc/vsftpd/vsftpd.conf

anonymous_enable=NO

local_enable=YES

write_enable=YES

anon_umask=022

guest_enable=YES

guest_username=virtual

pam_service_name=vsftpd.vu

测试：

[root@server src]# yum install -y lftp

[root@server src]# lftp mike@127.0.0.1       

Password:

lftp mike@127.0.0.1:~> mkdir test

mkdir ok, `test' created

lftp mike@127.0.0.1:/> quit

[root@server src]# cd /var/ftproot/

[root@server ftproot]# ll

total 4

drwx------ 2 virtual virtual 4096 May 16 17:56 test     #test目录属于虚拟用户virtual 

 

####为不同虚拟用户设置不同的权限#############

[root@server ftproot]# cd /etc/vsftpd/

[root@server vsftpd]# mkdir vusers_home

[root@server vsftpd]# cd vusers_home/

[root@server vusers_home]# vi mike

anon_mkdir_write_enable=YES

anon_upload_enable=YES

测试：

[root@server vusers_home]# /etc/init.d/vsftpd restart

Shutting down vsftpd:                                      [  OK  ]

Starting vsftpd for vsftpd:                                [  OK  ]

[root@server vusers_home]# lftp mike@127.0.0.1       

Password:

lftp mike@127.0.0.1:~> mkdir test1

mkdir ok, `test1' created           

lftp mike@127.0.0.1:/> quit

[root@server vusers_home]# ll

total 4

-rw-r--r-- 1 root root 51 May 16 18:24 mike

[root@server vusers_home]# ll /var/ftproot/

.bash_logout   .bash_profile  .bashrc        test/          test1/

[root@server vusers_home]# ll /var/ftproot/

total 8

drwx------ 2 virtual virtual 4096 May 16 17:56 test

drwx------ 2 virtual virtual 4096 May 16 18:24 test1

[root@server vusers_home]# lftp john@127.0.0.1       

Password:

lftp john@127.0.0.1:~> ls         

ls: Login failed: 530 Login incorrect.         

lftp john@127.0.0.1:~> mkdir test3

mkdir: Login failed: 530 Login incorrect.           

lftp john@127.0.0.1:~> quit

[root@server vusers_home]# cp /etc/vsftpd/

ftpusers                vsftpd_conf_migrate.sh  vusers.list

user_list               vusers.db               

vsftpd.conf             vusers_home/           

[root@server vusers_home]# cp /etc/vsftpd/vusers_home/mike /etc/vsftpd/vusers_home/john

[root@server vusers_home]# /etc/init.d/vsftpd restart

Shutting down vsftpd:                                      [  OK  ]

Starting vsftpd for vsftpd:                                [  OK  ]

[root@server vusers_home]# lftp john@127.0.0.1

Password:

lftp john@127.0.0.1:~> mkdir test4

mkdir ok, `test4' created

lftp john@127.0.0.1:/> quit

[root@server vusers_home]# ll /var/ftproot/

total 12

drwx------ 2 virtual virtual 4096 May 16 17:56 test

drwx------ 2 virtual virtual 4096 May 16 18:24 test1

drwx------ 2 virtual virtual 4096 May 16 18:29 test4

 

继续测试：

[root@server vusers_home]# vi /etc/vsftpd/vusers_home/john

anon_mkdir_write_enable=YES

anon_upload_enable=YES

write_enable=YES

virtual_use_local_privs=YES       当有write_enable=YES；virtual_use_local_privs=YES 时，虚拟用户具有写权限（上传，下载，删除，重命名）

[root@server vusers_home]# /etc/init.d/vsftpd restart

Shutting down vsftpd:                                      [  OK  ]

Starting vsftpd for vsftpd:                                [  OK  ]

[root@server vusers_home]# !l

lftp john@127.0.0.1

Password:

lftp john@127.0.0.1:~> ls         

drwx------    2 501      501          4096 May 16 09:56 test

drwx------    2 501      501          4096 May 16 10:24 test1

drwx------    2 501      501          4096 May 16 10:29 test4

drwx------    2 501      501          4096 May 16 10:34 test5

lftp john@127.0.0.1:~> rmdir test5        #删除

rmdir ok, `test5' removed

lftp john@127.0.0.1:~> ls

drwx------    2 501      501          4096 May 16 09:56 test

drwx------    2 501      501          4096 May 16 10:24 test1

drwx------    2 501      501          4096 May 16 10:29 test4

lftp john@127.0.0.1:~> cd test

test/  test1/  test4/

lftp john@127.0.0.1:~> cd test4

lftp john@127.0.0.1:~/test4> put /etc/fstab    #上传

855 bytes transferred   

lftp john@127.0.0.1:~/test4> ls

-rw-r--r--    1 501      501           855 May 16 10:43 fstab

lftp john@127.0.0.1:~/test4> get fstab -o /tmp/    #下载

855 bytes transferred

lftp john@127.0.0.1:~/test4> mv fstab fftab     #重命名

rename successful

lftp john@127.0.0.1:~/test4> ls

-rw-r--r--    1 501      501           855 May 16 10:46 fftab 

 

 

 

############备注######################

备注：virtual_use_local_privs参数
当virtual_use_local_privs=YES时，虚拟用户和本地用户有相同的权限；
当virtual_use_local_privs=NO时，虚拟用户和匿名用户有相同的权限，默认是NO。

当virtual_use_local_privs=YES，write_enable=YES时，虚拟用户具有写权限（上传、下载、删除、重命名）。

当virtual_use_local_privs=NO，write_enable=YES，anon_world_readable_only=YES，
anon_upload_enable=YES时，虚拟用户不能浏览目录，只能上传文件，无其他权限。

当virtual_use_local_privs=NO，write_enable=YES，anon_world_readable_only=NO，
anon_upload_enable=NO时，虚拟用户只能下载文件，无其他权限。

当virtual_use_local_privs=NO，write_enable=YES，anon_world_readable_only=NO，
anon_upload_enable=YES时，虚拟用户只能上传和下载文件，无其他权限。

当virtual_use_local_privs=NO，write_enable=YES，anon_world_readable_only=NO，
anon_mkdir_write_enable=YES时，虚拟用户只能下载文件和创建文件夹，无其他权限。

当virtual_use_local_privs=NO，write_enable=YES，anon_world_readable_only=NO，

anon_other_write_enable=YES时，虚拟用户只能下载、删除和重命名文件，无其他权限。

 

 

 

 

 #######################################用mysql+pam+vsftpd###############################

 

一、安装所需要程序

 

1、安装mysql和pam_mysql

 

# yum -y install  mysql-server mysql-devel pam_mysql

注意：pam_mysql由epel源提供。（yum  install -y epel-release）

二、创建虚拟用户账号

 

1.准备数据库及相关表

 

首先请确保mysql服务已经正常启动。而后，按需要建立存储虚拟用户的数据库即可，这里将其创建为vsftpd数据库。

 

mysql> create database vsftpd;

 

mysql> grant select on vsftpd.* to vsftpd@localhost identified by 'redhat';

mysql> grant select on vsftpd.* to vsftpd@127.0.0.1 identified by 'redhat';

mysql> flush privileges;

 

mysql> use vsftpd;

mysql> create table users (

 id int AUTO_INCREMENT NOT NULL,

 name char(20) binary NOT NULL,

password char(48) binary NOT NULL,

 primary key(id)

 );

 

2、添加测试的虚拟用户

 

根据需要添加所需要的用户，需要说明的是，这里将其密码为了安全起见应该使用PASSWORD函数加密后存储。

 

mysql> insert into users(name,password) values('fush1',password('asdfg'));

mysql> insert into users(name,password) values('fush2',password('asdfg'));

三、配置vsftpd

 

1.建立pam认证所需文件

 

#vi /etc/pam.d/vsftpd.mysql

添加如下两行

auth required /lib64/security/pam_mysql.so user=vsftpd passwd=redhat host=localhost db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2

account required /lib64/security/pam_mysql.so user=vsftpd passwd=redhat host=localhost db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2

 

##请检查 ll /lib64/security/pam_mysql.so   该文件是否存在，不存在查看pam_mysql 是否安装成功！

 

 

注意：由于mysql的安装方式不同，pam_mysql.so基于unix sock连接mysql服务器时可能会出问题，此时，建议授权一个可远程连接的mysql并访问vsftpd数据库的用户。

 

2.修改vsftpd的配置文件，使其适应mysql认证

 

建立虚拟用户映射的系统用户及对应的目录

# useradd -s /sbin/nologin -d /var/ftproot virtual      #virtual 为虚拟用户映射的系统用户

# chmod go+rx /var/ftproot

请确保/etc/vsftpd.conf中已经启用了以下选项

[root@server vusers_home]# vi /etc/vsftpd/vsftpd.conf

anonymous_enable=NO

local_enable=YES

write_enable=YES

anon_upload_enable=NO

anon_mkdir_write_enable=NO

chroot_local_user=YES

而后添加

guest_enable=YES

guest_username=virtual     # virtual 为虚拟用户映射的系统用户，useradd -s /sbin/nologin -d /var/ftproot virtual  中所创建的

并确保pam_service_name选项的值如下所示

pam_service_name=vsftpd.mysql

四、启动vsftpd服务

 

# service vsftpd start

# chkconfig vsftpd on

 

查看端口开启情况

 

# netstat -tnlp |grep :21

tcp        0      0 0.0.0.0:21              0.0.0.0:*               LISTEN      23286/vsftpd

测试：

 oot@server ~]# lftp fush1@127.0.0.1

Password:

lftp fush1@127.0.0.1:~> ls     

drwx------    2 501      501          4096 May 16 10:47 test

drwx------    2 501      501          4096 May 16 10:24 test1

drwx------    2 501      501          4096 May 16 10:46 test4

lftp fush1@127.0.0.1:/> mkdir test3

mkdir: Access failed: 550 Permission denied. (test3)    #因为全局的anon_mkdir_write_enable=YES权限注释掉了，所以没有权限

lftp fush1@127.0.0.1:/> quit 

五、配置虚拟用户具有不同的访问权限

# vim vsftpd.conf

添加如下选项

user_config_dir=/etc/vsftpd/vusers_home

 

[root@server vusers_home]#touch fush1

[root@server vusers_home]#vim fush1

write_enable=YES

virtual_use_local_privs=YES            此时fush1将拥有所有权限（下载，上传，重命名，创建，删除）

 

测试如下：

[root@server vusers_home]# /etc/init.d/vsftpd restart

Shutting down vsftpd:                                      [  OK  ]

Starting vsftpd for vsftpd:                                [  OK  ]

[root@server vusers_home]# lftp fush1@127.0.0.1

Password:

lftp fush1@127.0.0.1:~> ls     

drwx------    2 501      501          4096 May 16 10:47 test

drwx------    2 501      501          4096 May 16 10:24 test1

drwx------    2 501      501          4096 May 16 10:46 test5

lftp fush1@127.0.0.1:~> mkdir test4

mkdir ok, `test4' created

lftp fush1@127.0.0.1:~> cd test4

lftp fush1@127.0.0.1:~/test4> put /etc/fstab

855 bytes transferred                             

lftp fush1@127.0.0.1:~/test4> ls

-rw-r--r--    1 501      501           855 May 18 06:29 fstab

lftp fush1@127.0.0.1:~/test4> get /etc/fstab -o /usr/local/src/

855 bytes transferred

lftp fush1@127.0.0.1:~/test4> cd ..

lftp fush1@127.0.0.1:~> ls

drwx------    2 501      501          4096 May 16 10:47 test

drwx------    2 501      501          4096 May 16 10:24 test1

drwxr-xr-x    2 501      501          4096 May 18 06:29 test4

drwx------    2 501      501          4096 May 16 10:46 test5

lftp fush1@127.0.0.1:~> mv test5 test2

rename successful

lftp fush1@127.0.0.1:~> ls

drwx------    2 501      501          4096 May 16 10:47 test

drwx------    2 501      501          4096 May 16 10:24 test1

drwx------    2 501      501          4096 May 16 10:46 test2

drwxr-xr-x    2 501      501          4096 May 18 06:29 test4

lftp fush1@127.0.0.1:~> rm -rf test2

rm ok, 2 files removed

lftp fush1@127.0.0.1:~> ls

drwx------    2 501      501          4096 May 16 10:47 test

drwx------    2 501      501          4096 May 16 10:24 test1

drwxr-xr-x    2 501      501          4096 May 18 06:29 test4