vsftpd添加用户并分配不同权限

最近有个需求，就是不同的ftp用户能操作不同的目录，这样就能防止文件被乱动。

centos6.5服务器上装的是vsftpd。

一、安装vsftpd

1.安装vsftpd组件

yum -y install vsftpd

安装完后，有/etc/vsftpd/vsftpd.conf 文件，是vsftp的配置文件。

2.防火墙开启21端口

因为ftp默认的端口为21，而centos默认是没有开启的，所以要修改iptables文件

 vim /etc/sysconfig/iptables

在行上面有22 -j ACCEPT 下面另起一行输入跟那行差不多的，只是把22换成21，然后：wq保存，重启iptables

service iptables restart

3.修改selinux

外网是可以访问上去了，可是发现没法返回目录（使用ftp的主动模式，被动模式还是无法访问），也上传不了，因为selinux作怪了。
修改selinux：

getsebool -a | grep ftp

如果上面的命令出现selinux is disabled，则先把selinux改成SELINUX=enforcing，使用下面的命令

vim /etc/selinux/config

接着再修改selinux，开启外网访问，把这两个选项都改成on

setsebool -P allow_ftpd_full_access on
setsebool -P ftp_home_dir on

二、开始操作

1.实验目标

实现在同一跟目录下对admin，upload，download三个虚拟用户的不同权限的控制。具体权限控制列表如下：

用户名	权限说明
admin	管理员，可以上传、下载、新建文件夹、删除和更改文件和文件夹名。
upload	不可以下载，可以上传、新建文件夹，但不能删除文件和文件夹，不能重命名原有文件和文件夹；
download	只能下载，不能进行其他操作。

以上三个虚拟用户均不允许登录系统，并且使用ftp时会被锁定在指定目录内不可进入系统其他目录。

2.配置vsftpd

#添加一个不能登录系统的用户，用来做虚拟用户映射
[root@localhost vsftpd] useradd -s /sbin/nologin -d /home/CodeTiger -M CodeTiger
[root@localhost vsftpd] passwd CodeTiger
#创建虚拟用户列表，分别是upload、download和admin
[root@localhost vsftpd] touch /etc/vsftpd/vu_list.txt
[root@localhost vsftpd] echo upload >>/etc/vsftpd/vu_list.txt
[root@localhost vsftpd] echo 111111 >>/etc/vsftpd/vu_list.txt
[root@localhost vsftpd] echo download >>/etc/vsftpd/vu_list.txt
[root@localhost vsftpd] echo 111111 >>/etc/vsftpd/vu_list.txt
[root@localhost vsftpd] echo admin >>/etc/vsftpd/vu_list.txt
[root@localhost vsftpd] echo 111111 >>/etc/vsftpd/vu_list.txt
#查看列表内容
[root@localhost vsftpd] cat /etc/vsftpd/vu_list.txt
upload
111111
download
111111
admin
111111
#保存虚拟帐号和密码的文本文件无法被系统帐号直接调用，需要创建用于系统认证的db文件
[root@localhost vsftpd] db_load -T -t hash -f /etc/vsftpd/vu_list.txt /etc/vsftpd/vu_list.db
#创建db文件需要db4支持，如果系统没安装请安装
[root@localhost vsftpd] yum -y install db4 db4-devel db4-utils
#修改db文件的权限，以免被非法用户修改
[root@localhost vsftpd] chmod 600 /etc/vsftpd/vu_list.db

3.配置PAM文件

由于服务器通过调用系统PAM模块来对客户端进行身份验证，因此需要修改指定的配置文件来调整认证方式。PAM模块的配置文件路径为：/etc/pam.d/,这个目录下存放只许多与用户认证有关的配置文件。

[root@localhost pam.d] ls
chfn                 login             remote             smtp          sudo-i
chsh                 newrole           run_init           smtp.postfix  su-l
config-util          other             runuser            sshd          system-auth
crond                passwd            runuser-l          ssh-keycat    system-auth-ac
fingerprint-auth     password-auth     smartcard-auth     su            vsftpd
fingerprint-auth-ac  password-auth-ac  smartcard-auth-ac  sudo

编辑vsftpd文件

32位系统添加：

auth          required     /lib/security/pam_userdb.so     db=/etc/vsftpd/vu_list
account    required     /lib/security/pam_userdb.so     db=/etc/vsftpd/vu_list

64位系统添加：

auth       required     /lib64/security/pam_userdb.so   db=/etc/vsftpd/vu_list
account    required     /lib64/security/pam_userdb.so   db=/etc/vsftpd/vu_list

把原本的内容注释掉，用上面的两行代替，不然本地使用xftp无法连接，修改完后，vsftpd文件内容如下

[root@localhost pam.d] cat vsftpd 
#%PAM-1.0
#session    optional     pam_keyinit.so    force revoke
#auth       required	pam_listfile.so item=user sense=deny file=/etc/vsftpd/ftpusers onerr=succeed
#auth       required	pam_shells.so
#auth       include	password-auth
#account    include	password-auth
#session    required     pam_loginuid.so
#session    include	password-auth
auth       required     /lib64/security/pam_userdb.so   db=/etc/vsftpd/vu_list
account    required     /lib64/security/pam_userdb.so   db=/etc/vsftpd/vu_list

创建虚拟用户配置文件

#创建conf文件夹
[root@localhost pam.d] cd /etc/vsftpd
[root@localhost vsftpd] mkdir conf
[root@localhost vsftpd] cd conf
#创建admin用户的配置文件
[root@localhost conf] cat >>admin<< EOF
> anon_world_readable_only=NO
> write_enable=YES
> anon_mkdir_write_enable=YES
> anon_other_write_enable=YES
> anon_upload_enable=YES
> local_root=/home/CodeTiger
> EOF
#创建upload用户的配置文件
[root@localhost conf] cat >>upload<< EOF
> write_enable=NO
> anon_upload_enable=YES
> anon_mkdir_write_enable=YES
> anon_world_readable_only=NO
> download_enable=NO
> local_root=/home/CodeTiger
> EOF
#创建download用户的配置文件
[root@localhost conf] cat >>download<< EOF
> anon_world_readable_only=NO
> local_root=/home/CodeTiger
> EOF

修改vsftpd.conf文件

首先备份默认的配置文件，然后把配置文件里面的内容全部删了，换成下面的内容

# Example config file /etc/vsftpd/vsftpd.conf
anonymous_enable=NO
local_enable=YES
write_enable=NO
anon_upload_enable=NO
anon_mkdir_write_enable=NO
anon_other_write_enable=NO
connect_from_port_20=YES
xferlog_file=/var/log/vsftpd.log
xferlog_enable=YES
chroot_local_user=YES
listen=YES

pam_service_name=vsftpd

guest_enable=YES
guest_username=CodeTiger
user_config_dir=/etc/vsftpd/conf

到此，就大功告成。

三、测试

首先创建目录home/CodeTiger，之后使用本地的xftp连接，不过得关闭被动模式

经测试，连接成功，各个用户的权限正常

现在测试的是多个用户操作同一目录，如果想要不同用户操作不同的目录，只需要改变虚拟用户配置文件的local_root属性即可。

四、遇到的问题

1.xftp提示用户认证失败

是因为修改pam.d/vsftpd的时候，没有把其他的内容注释掉导致的。

2.xftp能连接，但没有目录显示

关闭被动模式即可。