服务及进程介绍及使用

最新推荐文章于 2023-04-07 22:47:40 发布
最新推荐文章于 2023-04-07 22:47:40 发布
阅读量1.0k 收藏 1
点赞数
分类专栏： Linux 文章标签： linux centos samba ftp
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Promise_410/article/details/117434538
版权

服务及进程介绍及使用

一、 Firewalld服务

	RHEL7是一个集合多款防火墙管理工具并存的系统，Firewalld动态防火墙管理器服务（Dynamic Firewall Manager of Linux systems）是目前默认的防火墙管理工具，同时拥有命令行终端和图形化界面的配置工具，即使是对[Linux命令](http://www.linuxprobe.com/)并不熟悉的同学也能快速入门。相比于传统的防火墙管理工具还支持了动态更新技术并加入了“zone区域”的概念，简单来说就是为用户预先准备了几套防火墙策略集合（策略模板），然后可以根据生产场景的不同而选择合适的策略集合，实现了防火墙策略之间的快速切换。例如咱们有一台笔记本电脑每天都要在办公室、咖啡厅和家里使用，按常理推断最安全的应该是家里的内网，其次是公司办公室，最后是咖啡厅，如果需要在办公室内允许文件共享服务的请求流量、回到家中需要允许所有的服务，而在咖啡店则是除了上网外不允许任何其他请求，这样的需求应该是很常见的，在以前只能频繁的进行手动设置，而现在只需要预设好zone区域集合，然后轻轻点击一下就可以切换过去了上百条策略了，极大的提高了防火墙策略的应用效率，常见的zone区域名称及应用可见下表（默认为public）：

1. 简介

区域默认规则策略
trusted允许所有的数据包。
home拒绝流入的数据包，除非与输出流量数据包相关或是ssh,mdns,ipp-client,samba-client与dhcpv6-client服务则允许。
internal等同于home区域
work拒绝流入的数据包，除非与输出流量数据包相关或是ssh,ipp-client与dhcpv6-client服务则允许。
public拒绝流入的数据包，除非与输出流量数据包相关或是ssh,dhcpv6-client服务则允许。
external拒绝流入的数据包，除非与输出流量数据包相关或是ssh服务则允许。
dmz拒绝流入的数据包，除非与输出流量数据包相关或是ssh服务则允许。
block拒绝流入的数据包，除非与输出流量数据包相关。
drop拒绝流入的数据包，除非与输出流量数据包相关。
查看防火墙状态
firewall-cmd --state
停止firewall
systemctl stop firewalld.service
开启
systemctl start firewalld.service
禁止firewall开机启动
systemctl disable firewalld.service
配置文件
/usr/lib/firewalld/zones/
/etc/firewalld/services/

2. 终端管理工具

命令行终端是一种极富效率的工作方式，firewall-cmd命令是Firewalld动态防火墙管理器服务的命令行终端。它的参数一般都是以“长格式”来执行的，但同学们也不用太过于担心，因为红帽RHEL7系统非常酷的支持了部分命令的参数补齐，也正好包括了这条命令，也就是说现在除了能够用Tab键来补齐命令或文件名等等内容，还可以用Tab键来补齐下列长格式参数啦（这点特别的棒）。

参数作用
–get-default-zone查询默认的区域名称。
–set-default-zone=<区域名称>设置默认的区域，永久生效。
–get-zones显示可用的区域。
–get-services显示预先定义的服务。
–get-active-zones显示当前正在使用的区域与网卡名称。
–add-source=将来源于此IP或子网的流量导向指定的区域。
–remove-source=不再将此IP或子网的流量导向某个指定区域。
–add-interface=<网卡名称>将来自于该网卡的所有流量都导向某个指定区域。
–change-interface=<网卡名称>将某个网卡与区域做关联。
–list-all显示当前区域的网卡配置参数，资源，端口以及服务等信息。
–list-all-zones显示所有区域的网卡配置参数，资源，端口以及服务等信息。
–add-service=<服务名>设置默认区域允许该服务的流量。
–add-port=<端口号/协议>允许默认区域允许该端口的流量。
–remove-service=<服务名>设置默认区域不再允许该服务的流量。
–remove-port=<端口号/协议>允许默认区域不再允许该端口的流量。
–reload让“永久生效”的配置规则立即生效，覆盖当前的。
查看Firewalld服务当前所使用的zone区域：
[root@linuxprobe ~]# firewall-cmd --get-default-zone
public
查询eno16777728网卡在Firewalld服务中的zone区域：
[root@linuxprobe ~]# firewall-cmd --get-zone-of-interface=eno16777728
public
把Firewalld防火墙服务中eno16777728网卡的默认区域修改为external，重启后再生效：
[root@linuxprobe ~]# firewall-cmd --permanent --zone=external --change-interface=eno16777728
success
[root@linuxprobe ~]# firewall-cmd --get-zone-of-interface=eno16777728
public
[root@linuxprobe ~]# firewall-cmd --permanent --get-zone-of-interface=eno16777728
external
把Firewalld防火墙服务的当前默认zone区域设置为public：
[root@linuxprobe ~]# firewall-cmd --set-default-zone=public
success
[root@linuxprobe ~]# firewall-cmd --get-default-zone 
public
启动/关闭Firewalld防火墙服务的应急状况模式，阻断一切网络连接（当远程控制服务器时请慎用。）：
[root@linuxprobe ~]# firewall-cmd --panic-on
success
[root@linuxprobe ~]# firewall-cmd --panic-off
success
查询在public区域中的ssh与https服务请求流量是否被允许：
[root@linuxprobe ~]# firewall-cmd --zone=public --query-service=ssh
yes
[root@linuxprobe ~]# firewall-cmd --zone=public --query-service=https
no
把Firewalld防火墙服务中https服务的请求流量设置为永久允许，并当前立即生效：
[root@linuxprobe ~]# firewall-cmd --zone=public --add-service=https
success
[root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-service=https
success
[root@linuxprobe ~]# firewall-cmd --reload
success
把Firewalld防火墙服务中http服务的请求流量设置为永久拒绝，并当前立即生效：
[root@linuxprobe ~]# firewall-cmd --permanent --zone=public --remove-service=http 
success
[root@linuxprobe ~]# firewall-cmd --reload 
success
把Firewalld防火墙服务中8080和8081的请求流量允许放行，但仅限当前生效：
[root@linuxprobe ~]# firewall-cmd --zone=public --add-port=8080-8081/tcp
success
[root@linuxprobe ~]# firewall-cmd --zone=public --list-ports 
8080-8081/tcp
把原本访问本机888端口号的请求流量转发到22端口号，要求当前和长期均有效：

流量转发命令格式：firewall-cmd --permanent --zone=<区域> --add-forward-port=port=<源端口号>:proto=<协议>:toport=<目标端口号>:toaddr=<目标IP地址>

[root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-forward-port=port=888:proto=tcp:toport=22:toaddr=192.168.10.10
success
[root@linuxprobe ~]# firewall-cmd --reload
success
在客 户机使用ssh命令尝试访问192.168.10.10主机的888端口：
[root@client A ~]# ssh -p 888 192.168.10.10
The authenticity of host '[192.168.10.10]:888 ([192.168.10.10]:888)' can't be established.
ECDSA key fingerprint is b8:25:88:89:5c:05:b6:dd:ef:76:63:ff:1a:54:02:1a.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '[192.168.10.10]:888' (ECDSA) to the list of known hosts.
root@192.168.10.10's password:此处输入远程root用户的密码
Last login: Sun Jul 19 21:43:48 2017 from 192.168.10.10
在Firewalld防火墙服务中配置一条富规则，拒绝所有来自于192.168.10.0/24网段的用户访问本机ssh服务（22端口）：
[root@linuxprobe ~]# firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.10.0/24" service name="ssh" reject"
success
[root@linuxprobe ~]# firewall-cmd --reload
success
在客户机使用ssh命令尝试访问192.168.10.10主机的ssh服务（22端口）：
[root@client A ~]# ssh 192.168.10.10
Connecting to 192.168.10.10:22...
Could not connect to '192.168.10.10' (port 22): Connection failed.

3. 富规则

3.1 简介
firewall-cmd有四个选项可以用于处理富规则，所有这些选项都可以同常规的--permanent或--zone=<ZONE>选项组合使用。
3.2 富规则语法解释
1.source
规定限制源IP地址，源地址可以是一个IPv4或者IPv6地址或者一个网络地址段。

2.destination
规定限制目标。目标地址使用跟源地址相同的语法。

3.element
这个要素只可以是以下要素类型之一： service ， port ， protocol ， masquerade， icmp-block 和 forward-port 。

4.service
服务名称是 firewalld 提供的其中一种服务。要获得被支持的服务的列表，输入以下命令： firewall-cmd --get-services 。如果一个服务提供了一个目标地址，它将和规则中的目标地址冲突，并且导致一个错误。命令为以下形式：
$service name=service_name

5.port
端口既可以是一个独立端口数字，又或者是端口范围，例如，5060-5062。协议可以指定为 tcp 或 udp 。命令为以下形式：
$port port=number_or_range protocol=protocol

6.protocol
协议值可以是一个协议ID号，或者一个协议名。预知可用协议，请查阅/etc/protocols。命令为以下形式：
$protocol value=protocol_name_or_ID

7.icmp-block
用这个命令阻断一个或多个 ICMP 类型。
ICMP 类型是 firewalld 支持的 ICMP 类型之一。
要获得被支持的 ICMP 类型列表，输入以下命令：
$ firewall-cmd --get-icmptypes

8.masquerade
打开规则里的IP伪装。

9.forward-port
从一个带有指定为 tcp 或 udp 协议的本地端口转发数据包到另一个本地端口，或另一台机器，或另一台机器上的另一个端口。
$forward-port port=number_or_range protocol=protocol /to-port=number_or_range to-addr=address

10.log
日志等级可以是 emerg 、 alert 、 crit 、 error 、warning 、notice 、 info 或者 debug 中的一个。可以选择日志的用法，按以下方式限制日志：
$log [prefix=prefix text] [level=log level] limit value=rate/duration
持续时间的单位为 s 、 m 、 h 、 d 。 s 表示秒， m 表示分钟， h 表示小时， d 表示天。最大限定值是 1/d ，意为每天最多有一条日志进入。

11.audit
审核类型可以是ACCEPT 、 REJECT 或 DROP 中的一种   
#不能在 audit 命令后指定

12.accept|reject|drop
选择 accept，所有新的连接请求都会被允许。
选择 reject ，连接将被拒绝，连接来源将接到一个拒绝信息。
选择 drop，所有数据包会被丢弃，并且不会向来源地发送任何信息。

二、 DNS服务

1. DNS 概述

DNS是互联网的一个基础服务。

​ 我们知道用户在与互联网上的主机通信时，必须 知道对方的 IP 地址。但是每个 IP 地址都是由 32 位的二进制组成，即使是十进制的 IP 地址表示形式，用户想要记住也是很难的一件事，况且互联网有那么多的主机。

​ 域名到 IP 地址的解析是通过许多分布在互联网上的域名服务器完成的。解析的主要过程如下：当一个主机中的进程需要把域名解析为 IP 地址时，该进程就会调用解析程序，并成为DNS的一个客户，把待解析的域名放在 DNS 的请求报中，以UDP用户数据报方式发送给本地域名服务器。本地域名服务器在查找域名后，把对应的IP地址放在回答报文中返回。获得IP地址后的主机即可进行通信。

2. DNS系统结构

  • DNS是一个层次结构的分布式的数据库，如下所示：

3. 分类

  • 域名服务器有以下四种类型
    • 根域名服务器
    • 顶级域名服务器
    • 权限域名服务器
    • 本地域名服务器

4. 顶级域名及详解

域名含义
com商业机构
net网络服务机构
org非营利性组织、社会团体
gov政府机构
edu教育机构
mil军事机构
cn中国
jp日本
uk英国
us美国

5. DNS查询过程

递归查询
	主机向本地域名服务器的查询一般都采用递归查询(recursive[rɪˈkɜːrsɪv] query)。所谓的递归查询就是：如果主机所询问的本地域名服务器不知道被查出来的域名的 IP 地址，那么本地域名服务器就以 DNS 客户的身份，向其他根域名服务器继续发出查询请求报文(替代该主机继续查询)，而不是主机自己进行下一步的查询。因此，递归查询返回的结果要么是所查询的 IP 地址，要么报错，表示无法查到所需要的 IP。本地域名服务器采用递归查询（比较少用）。
迭代查询
	本地域名服务器向根域名服务器的查询方式通常采取迭代查询(iterative query)。迭代查询有以下的特点：当根域名服务器收到本地域名服务器发出的迭代查询请求报时，要么给出所要查询的 IP 地址，要么告诉本地域名服务器：“我这里没有你要的查询结果，你需要向哪一台域名服务器进行查询”。然后本地域名服务器进行后续的查询(不替代本地域名服务器)。
正向查询
	根据主机名称（域名）查找对应的 IP 地址
反向查询
	根据 IP 地址查找对应的主机域名

6. DNS服务器功能分类

缓存域名服务器
  • 也称为高速缓存服务器
  • 通过向其他域名服务器查询获得域名 -> IP地址记录
  • 将域名查询结果缓存到本地，提高重复查询时的速度
主域名服务器
  • 特定 DNS 区域的官方服务器，具有唯一性。
  • 负责维护该区域内所有域名 -> IP 地址的映射记录
从域名服务器
  • 也称为辅助域名服务器
  • 其维护的域名 -> IP地址记录来源于主域名服务器

三、 Samba文件服务器

1. 概述

	在windows网络环境中，主机之间进行文件和打印机共享是通过微软公司自己的SMB/CIFS网络协议实现的。SMB（Server Message Block，服务消息块）和CIFS（Common Internet File System，通用互联网文件系统）协议是微软的私有协议，在Samba  [ˈsæmbə] 项目出现之前，并不能直接与Linux/UNIX系统进行通信。

  • 要将Samba配置为作为工作组成员来提供SMB文件共享需执行以下基本步骤：

    1. 安装Samba软件包
	yum install samba -y
2. 准备要共享的目录的权限
3. 配置/etc/samba/smb.conf文件
4. 使用NTLMv2密码设置相应的Linux用户
   NTLM = WindowsNT LAN Manager = WindowsNT挑战/响应验证机制
5. 启动Samba并打开本地防火墙
6. 验证是否可以从客户端挂载共享

2. Selinux 上下文及布尔值

  • 要在SELinux处于强制模式时候使Samba正确运行，目录需要具有正确的SELinux上下文并且可能需要设置某些SELinux布尔值。如果将仅通过Samba来访问共享目录，则目录及其所有子目录和文件都应以samba_share_t来标记，这将为Samba提供读写访问权限。

    # -d 列出目录本身，而不是目录内容
# -Z显示安全上下文 仅显示模式、用户、组、安全上下文和文件名
ll -Zd /pro/share

# semanage 命令是用来查询与修改SELinux默认目录的安全上下文
# fcontext 主要用在安全上下文方面

# -a：增加，可以增加一些目录的默认安全上下文类型设置
# -m：修改
# -d：删除

# -l：列举
# -n：不打印说明头
# -D：全部删除
# -f：文件
# -s：用户
# -t：类型
# -r：角色

semanage fcontext -a -t samba_share_t '/pro/share(/.*)?' 

# estorecon命令用来恢复SELinux文件属性即恢复文件的安全上下文
# 它使用SELinux策略中的规则来确定应该是哪种文件上下文
# -i：忽略不存在的文件。
# -f：infilename 文件 infilename 中记录要处理的文件。
# -e：directory 排除目录。
# -R/-r：递归处理目录。
# -n：不改变文件标签。
# -o/outfilename：保存文件列表到 outfilename，在文件不正确情况下。
# -v：将过程显示到屏幕上。
# -F：强制恢复文件安全语境。
restorecon -vFR /pro/share/

# 查看结果
ls -lZd /pro/share
drwxr-xr-x. root root system_u:object_r:samba_share_t:s0 /pro/share/

# Samba还可以提供使用SELinux类型public_content_t（只读）和public_content_rw_t(读写)标记   的文件。要允许对标记为public_content_rw_t的文件和目录进行读写访问，必须还要启用SELinux  布尔值smbd_anon_write。

3. Samba 安全级别

  • 总共分四种，默认是第一种。

    1.share---
	不需要提供用户名和密码。
2. user----
	需要提供用户名和密码,而且身份验证由samba server负责。
3.server---
	需要提供用户名和密码,可指定其他机器(winNT/2000/XP)或另一台samba server作身份验证。
4.domain--
	需要提供用户名和密码,指定winNT/2000/XP域服务器作身份验证。

4. 主配置文件

  • Smba的主配置文件是/etc/samba/smb.conf文件。

    • 此文件分为多个节。每节以节名称（括在方括号中）开头，后面是设置为特定值的参数的列表。任何以分号或井号字符开头的行都将被注释掉

      1.[global] 节：定义Samba服务器的基本配置。
2.[homes] 节：定义了一个默认启用的特殊文件共享，即共享了用户家目录.
3.[printers] 节：打印机共享设置：若需要共享打印机设备，可以在这部分进行配置。

  • 主配置文件smb.conf

    #服务名：smb
#配置目录：/etc/sabma/
#主配置文件：/etc/sabma/smb.conf

comment---------注释说明
path------------分享资源的完整路径名称，除了路径要正确外，目录的权限也要设对
browseable------是yes/否no在浏览资源中显示共享目录，若为否则必须指定共享路径才能存取
printable-------是yes/否no允许打印
hide dot ftles--是yes/否no隐藏隐藏文件
public----------是yes/否no公开共享，若为否则进行身份验证(只有当security = share 时此项才起作用)
guest ok--------是yes/否no公开共享，若为否则进行身份验证(只有当security = share 时此项才起作用)
read only-------是yes/否no以只读方式共享当与writable发生冲突时也writable为准
writable--------是yes/否no不以只读方式共享当与read only发生冲突时，无视read only
valid users-----设定只有此名单内的用户才能访问共享资源(拒绝优先)(用户名/@组名)
invalid users---设定只有此名单内的用户不能访问共享资源(拒绝优先)(用户名/@组名)
read list-------设定此名单内的成员为只读(用户名/@组名)
write list------若设定为只读时，则只有此设定的名单内的成员才可作写入动作(用户名/@组名)
create mask-----建立文件时所给的权限
directory mask--建立目录时所给的权限
force group-----指定存取资源时须以此设定的群组使用者进入才能存取(用户名/@组名)
force user------指定存取资源时须以此设定的使用者进入才能存取(用户名/@组名)
allow hosts-----设定只有此网段/IP的用户才能访问共享资源
allwo hosts = 网段 except IP
deny hosts------设定只有此网段/IP的用户不能访问共享资源
allow hosts=本网段指定IP指定IP
deny hosts=指定IP本网段指定IP

  • 验证配置文件语法

    • 使用testparm命令，不带任何参数允许即可

5. 使用Samba的多用户挂载

  • 当挂载Samba共享时，默认情况下挂载凭据确定对挂载点的访问权限。新的multiuser（多用户）挂载选项将挂载凭据与用于确定每个用户的文件访问权限的凭据进行隔离，可以与security=ntlmssp身份验证一起使用。

  • 案例：

    	root用户使用multiuser选项以及一个SMB用户名（对共享内容具有最低访问权限）挂载共享。常规用户随后可以使用cifscreds命令将其自己的SMB用户名和密码存储在当前会话的内核密钥环中，其对共享的访问权限是通过来自密钥环的自身凭据而非挂载凭据来验证。用户可以随时清除或更改其针对该登录会话的凭据，并且在会话结束后将会清除。文件访问权限完全由SMB服务器根据当前使用的访问凭据强制实施。

  • 实现：

    #####################服务端配置##############################
# 配置服务器上可读写用户mary
useradd -s /sbin/nologin mary

# 创建smb密码
smbpasswd -a mary
# 增加mary路径权限
setfacl -m u:mary:rwx /pro/share/

# 编辑配置文件增加可写用户列表
vim /etc/samba/smb.conf

# 修改以下内容
[share]
	path = /pro/share
	writable = no
	valid users = fred,mary,@management
	write list = mary
	
# 重启服务
systemctl restart smb nmb


##################客户端进行多用户测试##########################
# 重新挂载
mount -o multiuser,sec=ntlmssp,username=fred,password=000000 //192.168.215.3/myshare /mnt/share
df -h

# 增加用户
useradd mary
useradd fred

su - fred

# 需要命令cifscreds以将身份验证凭据存储在本地用户的密钥环中。这些身份验证凭据将转发到多用户挂载上的Samba服务器。cifs-utils软件包提供cifscreds命令，客户端系统上需要安装。
# cifscreds 命令具有各种操作
# add：可向用户的会话密钥环中添加SMB凭证，此选项后跟SMB文件服务器的主机名
# update：可更新用户的会话密钥环中的现有凭据，此选项后跟SMB文件服务器的主机名
# clear：可从用户的会话密钥环中删除特定条目，此选项后跟Samba文件服务器的主机名
# clearall：可从用户的会话密钥环中清除所有现有凭据。

cifscreds add 192.168.215.3
Password：
cd /mnt/share/
ls
touch file

su - mary
cifscreds add 192.168.215.3
Password：
cd /mnt/share/
touch file1

四、 vsftp文件服务

1. 概述

  • VSFTP文件服务是一个基于GPL（GNU General[ˈdʒenrəl] Public License[ˈlaɪsns] 通用公共许可证）发布的类Unix系统上使用的FTP服务器软件，它的全称是Very Secure[sɪˈkjʊr] FTP 从此名称可以看出来，编制者的初衷是代码的安全。

    安全性是编写VSFTP的初衷，除了这与生俱来的安全特性以外，高速与高稳定性也是VSFTP的两个重要特点。

在速度方面，使用ASCII[ˈæski] 代码的模式下载数据时，VSFTP的速度是Wu-FTP的两倍，如果Linux主机使用2.4.*的内核，在千兆以太网上的下载速度可达86MB/S。

在稳定方面，VSFTP就更加的出色，VSFTP在单机（非集群）上支持4000个以上的并发用户同时连接，根据Red Hat的Ftp服务器的数据，VSFTP服务器可以支持15000个并发用户。

VSFTP市场应用十分广范，很多国际性的大公司和自由开源组织在使用，如：Red Hat, Suse //ˈsuːsə//，Debian // 'dai bɪn//，OpenBSD。

2. 软件特点

1.它是一个安全、高速、稳定的FTP服务器；

2.它可以做基于多个IP的虚拟FTP主机服务器；

3.匿名服务设置十分方便；

4.匿名FTP的根目录不需要任何特殊的目录结构，或系统程序或其它的系统文件;

5.不执行任何外部程序，从而减少了安全隐患；

6.支持虚拟用户，并且每个虚拟用户可以具有独立的属性配置；

7.可以设置从Xinetd(扩展internet守护进程)(代替inetd)中启动，或者独立的FTP服务器两种运行方式；

8.支持两种认证方式（PAP（密码认证协议）或xinetd / tcp_wrappers）；
	wrappers[ˈræpərz] 包装纸
	tcp_wrappers 为 由 inetd 生成的服务提供了增强的安全性。提供防止主机名和主机地址欺骗的保护。
	tcp_wrappers 使用访问控制列表 (ACL) 来防止欺骗。ACL 是 /etc/hosts.allow 和 /etc/hosts.deny 文件中的系统列表。在配置为验证主机名到 IP 地址映射，以及拒绝使用 IP 源路由的软件包时，TCP Wrappers 提供某些防止 IP 欺骗的保护。
	tcp_wrappers 工作原理 ：在服务器向外提供的tcp服务商包装一层安全检测机制。外来连接请求首先通过这个安全检测，获得安全认证后才可被系统服务接受。

9.支持带宽限制；

3. FTP连接及连接模式

  • 连接：

    1.控制连接：TCP 21，用于发送FTP命令信息
2.数据连接：TCP 20，用于上传、下载数据

  • 模式：

    1.主动模式：服务端从 20 端口主动向客户端发起连接
2.被动模式：服务端在指定范围内某个端口被动等待客户端连接

    • 主动模式

    • 被动模式

4. FTP传输模式

1.文本模式：ASCII [ˈæski] 模式，以文本序列传输数据
2.二进制模式：Binary  [ˈbaɪnəri] 模式，以二进制序列传输数据

5. FTP 用户的类型

  • 匿名用户、本地用户、虚拟用户

6. Vsftpd 软件包

  • 官方站点：
    • http: //vsftpd.beasts.org/
  • 主程序：
    • /usr/sbin/vsftpd
  • 服务名：
    • vsftpd
  • 用户控制列表文件：
    • /etc/vsftpd/ftpusers
    • /etc/vsftpd/user_list
  • 主配置文件：
    • /etc/vsftpd/vsftpd.conf

7. 常用配置选项

anonymous_enable=YES #是否允许匿名登陆 anonymous[əˈnɑːnɪməs]

local_enable=YES	 #允许本地登陆

write_enable=YES 	#启用任何形式的ftp写入命令

local_umask=022 	#FTP上本本地的文件权限，默认是077，不过vsftp安装后的配置文件里默认是022

anon_upload_enable=YES  	#允许匿名ftp用户上传文件

anon_mkdir_write_enable=YES  	#允许匿名用户创建新的目录

dirmessage_enables=YES 	 #激活目录消息，向远程用户发送消息，进入某个目录

xferlog_enable=YES 	 #激活上传/下载日志记录

connect_from_port_20=YES 	#确保RORT传输连接来自端口20

chown_uploads=YES
chown_username=whoever
#设置匿名用户上传文件的默认用户，不推荐使用root

xferlog_file=/var/log/xferlog 	#日志文件路径
xferlog_std_format=YES #日志文件使用标准ftpdxferlog格式的日志文件，默认位置/var/log/xferlog
idle_session_timeout=600 	#更改超时空闲会话的默认值  idle[ˈaɪdl]闲置
data_connection_timeout=120	 #超时数据连接的默认值
nopriv_user=ftpsecure	 #创建ftp服务器独立的用户
async_abor_enable=YES 	#启用异步中止(ABOR)请求 async//ei'sɪŋk// = asynchronous [eɪˈsɪŋkrənəs] 异步
ascii_upload_enable=YES 	#允许ASCII [ˈæski] 模式上传文件
ascii_download_enable=YES 	#允许ASCII模式下载文件
ftpd_banner=Welcome to blah FTP service. 	#自定义登陆标题字符串
deny_email_enable=YES 	#指定不允许匿名登陆电子邮件 deny [dɪˈnaɪ]
banned_email_file=/etc/vsftpd/banned_emails 	#email默认路径 banned [bænd] 明令禁止

chroot_local_user=YES #将所有用户限制在主目录
chroot_list_enable=YES #是否启动限制用户的名单
chroot_list_file=/etc/vsftpd/chroot_list #限制用户的名单

ls_recurse_enable=YES 	#启用ls–R选项 recurse//rɪˈkɜːrs//
listen=NO  #启用 listen 指令，vsftp 以独立模式运行侦听ipv4套接字，该指令不能同时使用withlisten_inv6指令
listen_ipv6=YES 	#监听ipv6
pam_service_name=vsftpd 	#虚拟用户使用PAM认证方式
userlist_enable=YES 	#只允许userlist文件中的账户的登录
tcp_wrappers=YES	#是否允许tcp_wrappers管理  wrappers[ˈræpərz] 包装纸
anon_other_write_enable=YES  	#允许匿名用户改名和删除文件
anon_world_readable_only=YES 	#匿名用户可以读文件，反之就是不能读
pasv_min_port=3000
pasv_max_port=3500  #PASV模式下指定端口范围 pasv=Passive [ˈpæsɪv]被动的

8. VSFTP服务器配置

  • 匿名访问：

    anonymous_enable=YES/NO（YES）
#控制是否允许匿名用户登入，YES 为允许匿名登入，NO 为不允许。默认值为YES。

write_enable=YES/NO（YES）
#是否允许登陆用户有写权限。属于全局设置，默认值为YES。

no_anon_password=YES/NO（NO）
#若是启动这项功能，则使用匿名登入时，不会询问密码。默认值为NO。

ftp_username=ftp
#定义匿名登入的使用者名称。默认值为ftp。

anon_root=/var/ftp	 #使用匿名登入时，所登入的目录。默认值为/var/ftp。注意ftp目录不能是777的权限属性，即匿名用户的家目录不能有777的权限。

anon_upload_enable=YES/NO（NO）
#如果设为YES，则允许匿名登入者有上传文件（非目录）的权限，只有在write_enable=YES时，此项才有效。当然，匿名用户必须要有对上层目录的写入权。默认值为NO。

anon_world_readable_only=YES/NO（YES）
#如果设为YES，则允许匿名登入者下载可阅读的档案（可以下载到本机阅读，不能直接在FTP服务器中打开阅读）。默认值为YES。

anon_mkdir_write_enable=YES/NO（NO）
#如果设为YES，则允许匿名登入者有新增目录的权限，只有在write_enable=YES时，此项才有效。当然，匿名用户必须要有对上层目录的写入权。默认值为NO。

anon_other_write_enable=YES/NO（NO）	
#如果设为YES，则允许匿名登入者更多于上传或者建立目录之外的权限，譬如删除或者重命名。（如果anon_upload_enable=NO，则匿名用户不能上传文件，但可以删除或者重命名已经存在的文件；如果anon_mkdir_write_enable=NO，#则匿名用户不能上传或者新建文件夹，但可以删除或者重命名已经存在的文件夹。）默认值为NO。

chown_uploads=YES/NO（NO）
#设置是否改变匿名用户上传文件（非目录）的属主。默认值为NO。

chown_username=username
#设置匿名用户上传文件（非目录）的属主名。建议不要设置为root。

anon_umask=077
#设置匿名登入者新增或上传档案时的umask 值。默认值为077，则新建档案的对应权限为700。

deny_email_enable=YES/NO（NO）
#若是启动这项功能，则必须提供一个档案/etc/vsftpd/banner_emails，内容为email  address。若是使用匿名登入，则会要求输入email address，
#若输入的email address 在此档案内，则不允许进入。默认值为NO。

banned_email_file=/etc/vsftpd/banner_emails
#此文件用来输入email  address，只有在deny_email_enable=YES时，才会使用到此档案。若是使用匿名登入，则会要求输入email address，若输入的email address 在此档案内，则不允许进入

  • 本地用户：

    anonymous_enable=NO #不允许匿名用户登入

local_enable=YES/NO（YES）
#控制是否允许本地用户登入，YES 为允许本地用户登入，NO为不允许。默认值为YES。

local_root=/home/username
#当本地用户登入时，将被更换到定义的目录下。默认值为各用户的家目录。

write_enable=YES/NO（YES）
#是否允许登陆用户有写权限。属于全局设置，默认值为YES。

local_umask=022
#本地用户新增档案时的umask 值。默认值为077。

file_open_mode=0755
#本地用户上传档案后的档案权限，与chmod所使用的数值相同。默认值为0666。

chroot_local_user=YES
#用于指定用户列表文件中的用户不允许切换到上级目录。默认值为NO

9. 案例

1.需要创建一个本地用户,只是用于FTP登录，不需要登录系统
	useradd -s /sbin/nologin ftpuser 
	echo 000000 | passwd --stdin ftpuser

2.创建一个目录，用于作为ftp用户的根目录
	mkdir /pro/ftp
	setfacl -m u:ftpuser:rwx /pro/ftp/
	
3.调整vsftp的主配置文件，关闭匿名登录，启用本地用户
	vim /etc/vsftpd/vsftpd.conf
	anonymous_enable=NO
	local_enable=YES 
	local_root=/pro/ftp 
	chroot_local_user=YES 
	allow_writeable_chroot=YES
	write_enable=YES
	
4.调整SELinux的布尔值
	setsebool -P ftpd_full_access=on
	getsebool -a | grep ftpd
	
5.重启vsftpd服务后，客户端进程测试
	ftp 192.168.215.3
	Connected to 192.168.215.3 (192.168.215.3).
	220 (vsFTPd 3.0.2)
	Name (192.168.215.3:root): ftpuser
	331 Please specify the password.
	Password:
	230 Login successful.
	Remote system type is UNIX.
	Using binary mode to transfer files.
	ftp> ls
	227 Entering Passive Mode (192,168,215,3,207,158).
	150 Here comes the directory listing.
	226 Directory send OK.
	ftp> mkdir aaa
	257 "/aaa" created
	ftp> ls
	227 Entering Passive Mode (192,168,215,3,47,233).
	150 Here comes the directory listing.
	drwxr-xr-x    2 1005     1005            6 Nov 04 22:33 aaa
	226 Directory send OK.
	
6.增加第二个本地用户lisi
	useradd lisi
	echo 123 | passwd --stdin lisi 
	setfacl -m u:lisi:rwx /pro/ftp/
	
7.使用lisi登录，也可以创建文件,但是lisi可以删除ftpuser创建的文件及文件夹，所以为了安全，为ftp根  目录增加Sticky (SBIT)特殊权限
	chmod o+t /pro/ftp/ 
	ls -ld /pro/ftp/
	
#更多的选项可以:man vsftpd.conf
孤烟。
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
什么是“ Windows任务的主机进程”，为什么我的PC上运行着这么多主机？
culiyuan8310的博客
09-20 7593
If you spend any time poking around through your Task Manager window, you’ve probably seen a process named “Host Process for Windows Tasks.” In fact, you’ve likely seen multiple instances of this task...
Linux服务器Java进程消失问题解决
08-25
本文主要介绍了 Linux 服务器 Java 进程消失问题的解决方法，通过示例代码对问题进行了详细的讲解，对大家的学习或者工作具有一定的参考学习价值。下面是对该问题的详细解释和解决方法： 一、Java 应用程序的问题 ...
semanage命令详解
Listen2You的博客
10-13 2万+
导读 semanage命令是用来查询与修改SELinux默认目录的安全上下文。SELinux的策略与规则管理相关命令：seinfo命令、sesearch命令、getsebool命令、setsebool命令、semanage命令。下面让我们详细讲解一下chcon命令的使用方法。 语法 semanage {login|user|port|interface|fcontext|
说下程序开发中的服务、进程、线程、协程
最新发布
yang45310的专栏
04-07 274
我们通过阿里云购买了一台Ecs服务器，我们称之为一个服务器，我们再通过启动docker，就是在这个实例上启动一个docker服务，我们通过编程方式如用nodejs的createServer，或者java的ServerSocket也可以启动一个服务可以发现，
Windows 进程、服务、后台进程区别
抄而不思则废
07-17 4729
进程 进程是指在系统中正在运行的一个应用程序，线程是系统分配处理器时间资源的基本单元，或者说进程之内独立执行的一个单元。对于操作系统而言，其调度单元是线程。一个进程至少包括一个线程，通常将该线程称为主线程。一个进程从主线程的执行开始进而创建一个或多个附加线程，就是所谓基于多线程的多任务。 服务 服务相当于支持操作系统运行的一些必要程序。 后台进程 ...
Linux 的基本指令
ZD_free的博客
05-04 202
Linux 的基本指令 ifconfig 查看IP地址 / 表示根目录 ls 查看某个文件目录下有什么文件或目录 ll 或者 ls -l （ll 结果中的每一行第一个字母为 - 表示这个文件是普通文件，第一个字母为 d 表示这个文件是目录文件） ctrl + l 或者输入clear 清屏 pwd 查看当前目录的完整路径 cd 切换当前路径 ...
Nginx 介绍及日常管理的详解
09-30
若需在不停止服务的情况下更新配置，可以使用`nginx -s reload`或`service nginx reload`命令。 总的来说，Nginx因其高效、稳定和模块化设计，成为了互联网行业中广泛使用的服务器软件，尤其适合处理高并发的Web...
详解node中创建服务进程
01-01
在通过git触发gitlab hook脚本后，需要在跳板机中执行相应的ssh命令执行shell文件启动node服务器，这需要使用一个常用的命令setsid，这样当ssh命令执行完毕shell退出后，node服务器仍正常运行，此时node服务进程就是...
配置Windows系统口令策略及服务.doc
11-21
本文将介绍如何配置 Windows 系统口令策略及服务，了解 Windows 操作系统帐户复杂口令的设置以及服务进程的配置。实验目的完成实验之后，你将能够配置服务进程、禁用不需要的服务、更换 Windows2000 的本地策略、...
PHP并发多进程处理利器Gearman使用介绍
10-22
标题中的“PHP并发多进程处理利器Gearman使用介绍”指的是使用Gearman库来解决PHP中的并发多进程处理问题。 Gearman是一个开源的工具，它允许应用程序在不同的机器上分布和并行地执行任务，从而提高了处理效率。在...
常见端口号及服务
七天
12-24 8920
文章目录一、什么是端口二、TCP 端口（静态端口）三、TCP 端口（动态端口）四、UDP 端口（静态端口）五、UDP 端口（动态端口）六、常见端口及其脆弱点 一、什么是端口 有一个非常生动形象的比喻：如果把IP比作房子，那么端口就是这间房子的门，我们通过IP+PORT，可以进入到房间不同的地方。 1、查看所有的端口占用情况： 在windows命令行窗口下执行： netstat -ano 2、查看指定端口的占用情况: netstat -aon|findstr "21" 3、查看PID对应的服务或进程
top
weixin_44770482的博客
07-14 502
top top：实时监测进程 ps在收集进程信息时非常有用，但它只能显示某个特定时间点的信息。想要观察那些频繁换进换出的内存进程趋势，用top命令是合适的。 格式：top [-] [d] [p] [q] [c] [C] [S] [s] [n] 选项： d：指定每两次屏幕信息刷新之间的时间间隔。当然用户可以使用s交互命令来改变之 p:通过指定监控进程ID来仅仅监控某个进程...
chcon和semanage fcontext的坑
miaoxiaocheng的博客
04-24 2233
chcon后不能restorecon,不然就default_t:s0，samba_share_t没了 chcon ======================semanage fcontext + restorecon
service进程——保活和拉起
Miao的博客
08-29 3674
存在问题 最近在做一个项目A，该项目A是已经是system app，但该App在内存不足、用户清理后台后，进程会死亡。为了保证A能一直处于运行状态，开发一个守护进程用于保活和拉起A。 需求： 在开机后，A不能自启动，保证设备快速开机运行 用户清理后台后，A能继续存活，以便接听实时通话 在应用关闭后，A能够保活 内存占用过大，系统释放内存后，A和service能存活 重启后，service能够自启动 ......
linux查看目录安全上下文,semanage命令
weixin_32770423的博客
04-29 484
semanage命令是用来查询与修改SELinux默认目录的安全上下文。SELinux的策略与规则管理相关命令：seinfo命令、sesearch命令、getsebool命令、setsebool命令、semanage命令。语法semanage {login|user|port|interface|fcontext|translation} -lsemanage fcontext -{a|d|m} ...
Context完全解析（一）什么是Context?
热门推荐
appdsn的博客
02-11 2万+
   Context字面意思是上下文环境，它是一个抽象类，定义很多访问应用程序环境中全局信息的接口，其正在的实现是在ContextImpl类中。通过它可以访问应用程序的资源和相关的类，比如：Resources，AssetManager，Package，权限等相关信息；以及调用应用程序级的操作，比如：启动Activity，启动Service，发送广播，接收Intent等。    下面是Context...
Context类型
eCode代码加工厂
03-07 3186
Android应用都是使用Java语言来编写的，一个Android程序和一个Java程序却存在着许多的不同，比如说Android程序不像Java程序一样，随便创建一个类，写个main()方法就能跑了，而是要有一个完整的Android工程环境，在这个环境下，有Activity、Service、BroadcastReceiver等系统组件，而这些组件不能如同一个普通的Java对象通过new就能创建实例的
线程，进程，程序，服务，看门狗，之间的关系和区别
zhc的博客
11-13 8005
简而言之,一个程序至少有一个进程,一个进程至少有一个线程. 线程是进程的一个实体,是CPU调度和分派的基本单位,它是比进程更小的能独立运行的基本单位.线程自己基本上不拥有系统资源,只拥有一点在运行中必不可少的资源(如程序计数器,一组寄存器和栈),但是它可与同属一个进程的其他的线程共享进程所拥有的全部资源. 一个线程可以创建和撤销另一个线程;同一个进程中的多个线程之间可以并发执行. 线程的引入

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值