一、vsftpd简介
FTP，File transfer protocol的缩写，中文叫文本传输协议，是用于在网络上进行文件传输的一套标准协议，属于网络传输协议的应用层。注意，它是协议，不是软件，今天搭建的vsftpd是基于FTP开发的一套程序，也是一款在Linux发行版中最受推崇的FTP服务器程序，特点是小巧轻快，安全易用。
vsftpd是“very secure TTP daemon”的缩写，是一个完全免费的、开放源代码的ftp服务器软件。
二、安装vsftpd
yum install -y vsftpd
三、firewall防火墙和selinux设置
firewall-cmd --list-services //查看防火墙允许的服务。
firewall-cmd --add-service=ftp --permanent //永久开放ftp服务
firewall-cmd --add-port=20/tcp --permanent
firewall-cmd --add-port=21/tcp --permanent //允许外网访问
firewall-cmd --reload //重新载入配置
修改selinux（Linux安全内核系统）
先查看selinux，默认是禁用了ftp访问的。
getsebool -a | grep ftp
allow_ftpd_anon_write --> off
allow_ftpd_full_access --> off
allow_ftpd_use_cifs --> off
allow_ftpd_use_nfs --> off
ftp_home_dir --> off
ftpd_connect_db --> off
ftpd_use_passive_mode --> off
httpd_enable_ftp_server --> off
tftp_anon_write --> off
修改selinux，开放ftp访问权限
setsebool -P allow_ftpd_full_access on
setsebool -P ftp_home_dir on
setsebool ftpd_full_access 1
setsebool tftp_home_dir 1
虚拟用户创建
mkdir /home/xiaosi
useradd xiaosi -d /home/xiaosi -s /sbin/nologin
chown -R xiaosi.xiaosi /home/xiaosi #-R表示遍历，把用户或者用户组赋予到/home/xiaosi这个文件夹的权限上
#chmod -R 777 /home/xiaosi #可以不需要
passwd xiaosi
vim /etc/vsftpd/vsftpd.conf
添加如下4个属性
local_root=/ftpfile #把本地账户指向创建的ftpfile文件夹
anon_root=/ftpfile #添加匿名账户访问ftpfile目录
use_localtime=YES #ftp服务器用到的是本地的时间
allow_writeable_chroot=YES #加上这行解决了无法登陆的问题
#chroot_local_user=YES #这个节点为是否锁定创建的/ftpfile为根目录,不解除注释，默认为chroot_local_user=NO，锁定创建的/ftpfile为根目录，如果解除后设置为chroot_local_user=YES，那么就没有锁定创建的/ftpfile为根目录，在命令行是可以访问到/ftpfile的上级目录，也就是系统的根目录，这是绝对不安全的。所以这个节点不用解除注释，或者解除更改为chroot_local_user=NO。
编辑该节点，解除
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list
修改
anonymous_enable=NO，不允许匿名用户登录
在该文件的末尾添加传输接口的范围，最大接口61001，最大接口62000，限定严
格的设置防火墙。
pasv_min_port=61001
pasv_max_port=62000
配置chroot_list文件
该文件目录的节点在上一步配置vsftpd.conf文件中已解除注释。
进入到/etc/vsftpd/目录下创建文件chroot_list
cd /etc/vsftpd/
vi chroot_list
将用户添加进入该新建的chroot_list文件中
vi /etc/selinux/config
修改为SELINUX=disabled
注：如果在验证的时候碰到550拒绝访问请执行：
sudo setsebool -P ftp_home_dir 1
然后重启Linux服务器，执行reboot命令。
vsftpd.conf文件的配置文件的添加或更新配置
本项目要用到的配置项：
1）local_root=/ftpfile(当本地用户登入时，将被更换到定义的目录下，默认值为各
用户的家目录)
2）anon_root=/ftpfile(使用匿名登入时，所登入的目录)
3）use_localtime=YES(默认是GMT时间，改成使用本机系统时间)
4）anonymous_enable=NO(不允许匿名用户登录)
5）local_enable=YES(允许本地用户登录)
6）write_enable=YES(本地用户可以在自己家目录中进行读写操作)
7）local_umask=022(本地用户新增档案时的umask值)
8）dirmessage_enable=YES(如果启动这个选项，那么使用者第一次进入一个目录
时，会检查该目录下是否有.message这个档案，如果有，则会出现此档案的内
容，通常这个档案会放置欢迎话语，或是对该目录的说明。默认值为开启)
9）xferlog_enable=YES(是否启用上传/下载日志记录。如果启用，则上传与下载
的信息将被完整纪录在xferlog_file 所定义的档案中。预设为开启。)
10）connect_from_port_20=YES(指定FTP使用20端口进行数据传输，默认值为
YES)
11）xferlog_std_format=YES(如果启用，则日志文件将会写成xferlog的标准格式)
12）ftpd_banner=Welcome to mmall FTP Server(这里用来定义欢迎话语的字符
串)
13）chroot_local_user=NO(用于指定用户列表文件中的用户是否允许切换到上级
目录)
14）chroot_list_enable=YES(设置是否启用chroot_list_file配置项指定的用户列表
文件)
15）chroot_list_file=/etc/vsftpd/chroot_list(用于指定用户列表文件)
16）listen=YES(设置vsftpd服务器是否以standalone模式运行，以standalone模式
运行是一种较好的方式，此时listen必须设置为YES，此为默认值。建议不要更
改，有很多与服务器运行相关的配置命令，需要在此模式下才有效，若设置为
NO，则vsftpd不是以独立的服务运行，要受到xinetd服务的管控，功能上会受到限
制)
17）pam_service_name=vsftpd(虚拟用户使用PAM认证方式，这里是设置PAM使
用的名称，默认即可，与/etc/pam.d/vsftpd对应) userlist_enable=YES(是否启用
vsftpd.user_list文件，黑名单,白名单都可以
18)pasv_min_port=61001(被动模式使用端口范围最小值)
19)pasv_max_port=62000(被动模式使用端口范围最大值)
20)pasv_enable=YES(pasv_enable=YES/NO（YES）
若设置为YES，则使用PASV工作模式；若设置为NO，则使用PORT模式。默认值
为YES，即使用PASV工作模式。
FTP协议有两种工作方式：PORT方式和PASV方式，中文意思为主动式和被动式。
一、PORT（主动）方式的连接过程是：客户端向服务器的FTP端口（默认是
21）发送连接请求，服务器接受连接，建立一条命令链路。
当需要传送数据时，客户端在命令链路上用 PORT命令告诉服务器：“我打开了
****端口，你过来连接我”。于是服务器从20端口向客户端的****端口发送连接请
求，建立一条数据链路来传送数据。
二、PASV（被动）方式的连接过程是：客户端向服务器的FTP端口（默认是
21）发送连接请求，服务器接受连接，建立一条命令链路。
当需要传送数据时，服务器在命令链路上用 PASV命令告诉客户端：“我打开了
****端口，你过来连接我”。于是客户端向服务器的****端口发送连接请求，建立一
条数据链路来传送数据。
从上面可以看出，两种方式的命令链路连接方法是一样的，而数据链路的建立方
法就完全不同。而FTP的复杂性就在于此。
反复需要验证ftp身份问题解决
在安装vsftpd的时候如果在浏览器中一直提示需要身份验证，此时在命
令行行登录会报530 Login incorrect错误。
在vsftpd的配置文件目录/etc/vsftpd下中的vsftpd.conf文件中会配置有
pam_service_name=vsftpd指定pam下的文件在该文件中内容如下：
其中可能导致登录不成功（反复需要身份验证）的问题主要在于以下两
个配置
问题配置一
在/etc/vsftpd/ftpusers这个文件中的用户是禁止登录的用户，先检查需
要登录的账户是否在该文件中，如果在，就将该账户注释或者从该文件
中去除
问题配置二：
该配置是允许用户的shell为 /etc/shells文件内的shell命令时，才能够成
功
此处多留意有的系统里面的shells中的bash会多一些，比如
所以就需要查看当前系统shells文件中的内容与创建ftp用户的时候，为
了禁止ssh登录，跟上的命令在shells中是否存在；
比如：我当前的shells文件内容为
但是我在创建ftp用户的时候的命令为
[root@localhost ~]# useradd xiaosi -d /home/xiaosi -s /sbin/nologin
所以此时创建用户后-s /sbin/nologin并不是有效的。
这时的解决方案为修改/etc/pam.d/vsftpd文件中的
auth required pam_shells.so
修改为
auth required pam_nologin.so
最后重启vsftpd
systemctl restart vsftpd
anonymous_enable=NO //设定不允许匿名访问
//允许匿名访问，默认为YES，可选值【yes,no】
local_enable=YES //设定本地用户可以访问
//本地用户允许访问，默认为YES，可选值【yes,no】
write_enable=YES //设定可以进行写操作
//设定允许进行写操作(上传、删除)，默认为YES，可选值【yes,no】
local_umask=022 //设定上传后文件的权限掩码
//设定权限掩码，默认022，对应的文件上传权限644、目录权限755
anon_upload_enable=NO //禁止匿名用户上传
//设定匿名访问情况下，允许上传
anon_mkdir_write_enable=NO //禁止匿名用户建立目录
//设定匿名访问情况下，允许创建目录
dirmessage_enable=YES //设定开启目录标语功能
xferlog_enable=YES //设定开启日志记录功能
connect_from_port_20=YES
//设定端口20进行数据连接(主动模式)
//设定端口20进行数据连接，并不是ftp链接端口.
chown_uploads=NO //设定禁止上传文件更改宿主
//是否改变上传文件的属主,如果是需要输入一个系统用户名,你可以把上传的文件都改成root属主
#chown_username=whoever //设定禁止上传文件更改宿主
xferlog_file=/var/log/xferlog //设定Vsftpd的服务日志保存路径。
xferlog_std_format=YES //设定日志使用标准的记录格式。
#idle_session_timeout=600 //设定空闲连接超时时间，单位为秒，这里默认
#data_connection_timeout=120
//设定空闲连接超时时间，这里使用默认。将具体数值留给每个具体用户具体指定，当然如果不指定的话，还是使用这里的默认值600，单位秒。
#nopriv_user=ftptest
async_abor_enable=YES //设定支持异步传输功能。
ascii_upload_enable=YES
ascii_download_enable=YES //设定支持ASCII模式的上传和下载功能。
ftpd_banner=Welcome to blah FTP service. //设定Vsftpd的登陆标语。
#deny_email_enable=YES // (default follows)
#banned_email_file=/etc/vsftpd/banned_emails
chroot_local_user=YES
chroot_list_enable=YES //禁止用户登出自己的FTP主目录。
chroot_list_file=/etc/vsftpd/chroot_list //这个文件里的用户不受限制，不限制在本目录。
ls_recurse_enable=NO //禁止用户登陆FTP后使用"ls -R"的命令。
该命令会对服务器性能造成巨大开销。
#listen=NO
#listen_ipv6=YES
userlist_enable=YES //设定userlist_file中的用户将不得使用FTP。
tcp_wrappers=YES //设定支持TCP Wrappers
allow_writeable_chroot=YES //这个可以解决chroot权限问题
遇到问题
原因：因为参数后有空格
4201
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
