Linux - vsftpd 使用小结

FTP

介绍

FTP(File transfer protocol)在TCP/IP协议族中属于应用层协议运行于TCP协议之上是一种可靠的传输协议，主要功能用于实现用户间文件分发共享，以及网络管理者在进行设备版本升级、日志下载和配置保存等业务操作时，均会使用到FTP功能。

FTP不同于其他服务的是它使用了两个端口，一个数据端口（通常为20端口），一个命令端口，也称控制端口（通常为21端口）

传输模式

FTP协议有两种工作方式：PORT方式和PASV方式，中文意思为主动模式和被动模式。其中是否主动是站在FTP服务端来讨论的，而选择使用哪种传输方式的选择权则是在FTP客户端。

主动模式

主动模式下，FTP客户端从任意的非特殊端口（N>1023）连入到FTP服务器的21命令端口，然后客户端在（N+1）端口监听，并且通过N+1端口发送PORT命令将N+1端口告知服务器，然后服务器会主动从自己的20数据端口发起到客户端告知的N+1端口的连接。连接成功后，开始传输数据。

被动模式

被动模式对应命令为 PASV（全称Passive）。在被动模式中，命令连接和数据连接都由客户端发起。当开启FTP连接时，客户端打开任意两个非特权端口（N>1023和N+1）。第一个端口连接服务器的21端口，并发送PASV命令告知服务器启动被动模式，服务端接收到PASV命令后，开启一个任意非特权端口（P>1024），并发送PORT P命令给客户端，然后由客户端主动从本地N+1到服务器的P端口的连接

区别

简单说 主动模式就是服务器 主动连接 到客户端的端口，而被动模式就是客户端主动连接服务器的端口，服务器负责开放端口后进行监听，等待客户端连接。

使用场景

当client端和server端同处一个局域网使用两种模式都不会存在问题，

但现实环境中无论是Client端还是Server端都是在防火墙后面，在主动模式下VSFTP会链接Client端的随机+1号端口，Client端显然不会将防火墙上所有随机端口开放；而在被动下问题同样的问题仍然会摆在Server端的防火墙面前，这就需要Server端的防火墙开启连接追踪功能，即放行与21号端口有关联的端口访问请求，这也就是为什么大部分情况下VSFTP是以被动模式工作。

---

Vsftpd

介绍

vsftpd(Very Secure FTP Daemon)，是一个以安全为主的FTP服务器

安装

[root@suhw ~]# yum install -y vsftpd

启动

# 启动 vsftpd
[root@suhw ~]# systemctl start vsftpd
# 查看状态
[root@suhw ~]# systemctl status vsftpd
● vsftpd.service - Vsftpd ftp daemon
   Loaded: loaded (/usr/lib/systemd/system/vsftpd.service; disabled; vendor preset: disabled)
   Active: active (running) since Wed 2020-06-17 20:12:50 CST; 6s ago
  Process: 17277 ExecStart=/usr/sbin/vsftpd /etc/vsftpd/vsftpd.conf (code=exited, status=0/SUCCESS)
 Main PID: 17278 (vsftpd)
    Tasks: 1
   Memory: 648.0K
   CGroup: /system.slice/vsftpd.service
           └─17278 /usr/sbin/vsftpd /etc/vsftpd/vsftpd.conf

Jun 17 20:12:47 suhw systemd[1]: Starting Vsftpd ftp daemon...
Jun 17 20:12:50 suhw systemd[1]: Started Vsftpd ftp daemon.

配置文件

文件地址	作用
/etc/vsftpd/vsftpd.conf	vsftpd 配置文件
/etc/pam.d/vsftpd	vsftpd 使用 pam 时的相关破欸之
/etc/vsftpd/ftpusers	记录着 拒绝登录ftp 的账号
/etc/vsftpd/user_list	记录需要管理的 vsftpd 用户账号 ，与 vsftpd.conf 中的 userlist_anle，userlist_deny 有关，控制列表中的用户是否可登录 vsftpd 账号
/etc/vsftpd/chroot_list	将指定用户 chroot 在对应的家目录下，与vsftpd.conf 中的 chroot_list_enable 和 chroot_list_file 有关
/var/ftp	vsftpd 预设匿名者登录的根目录

参数介绍

下面只列举/etc/vsftpd/vsftpd.conf中部分参数介绍，详细介绍参考man 5 vsftpd.conf

参数	作用
anonymous_enable=NO	是否允许匿名帐户登录 FTP 服务器
local_enable=YES	是否允许本地账户登录 FTP 服务器
write_enable =YES	是否开启目录上次权限
local_umask=022	本地用户上传文件的权限掩码
目录消息
dirmessage_enable=YES	用户第一次进入目录时，vsftpd会查看.message文件，并将其内容显示给用户
message_file	指定文件路径，而非默认的.message
数据传输日志
xferlog_enable=YES	是否开启日志功能
xferlog_file=/var/log/vsftpd.log	日志的存放路径
xferlog_std_format=No	日志的格式
数据传输模式
connect_from_port_20=YES	是否启用PORT模式
chroot_local_user=YES
修改匿名用户上传的文件的属主
chown_uploads	是否修改
chown_username	启用chown_uploads指令时，将文件属主修改为此指令指定的用户，默认为root
chown_upload_mode	设置匿名用户上传文件的权限，默认600
设定会话超时时长
idle_session_timeout	空闲会话超时时长
connect_timeout	prot模式下，服务器连接客户端的超时时长
data_connection_timeout	数据传输的超时时长
与主机相关的设定值
listen_port	默认为21
listen	若设定为YES 表示 vsftpd 以standalone 方式启动，默认为No
设定连接及传输速率
local_max_rate	本地用户的最大传输速率
anon_max_rate	匿名用户的最大传输速率
max_clients	最大并发连接数
max_per_ip	每个ip所允许发起的最大连接数
禁锢本地用户
chroot_local_user	是否禁锢所有本地用户
chroot_list_enable
用户访问控制
userlist_enable	若置为开启，vsftpd将加载由userlist_file指令指定的用户列表文件，此文件中的用户是否能访问vsftpd服务取决于userlist_deny指令；
userlist_deny	表示此列表是否为黑名单(YES表示为黑名单，反之为白名单)
pasv_enable	值为 YES 表示启动被动模式
pasv_min_port=0 pasv_max_port=0	设定被动模式所用的端口号，0代表随机取用
pasv_address	设置ftp服务器返回的pasv地址

被动模式配置

上面介绍了两种传输模式的区别以及各自应用场景，实际开发过程中被动模式十分常见，相关的配置可参考如下：

# 启用被动模式
pasv_enable=YES

# 随机端口所用的端口号范围
pasv_min_port=6000
pasv_max_port=7000

#指定被动模式回传的服务器IP地址
pasv_address=10.44.192.126

# 指定vsftpd侦听的地址为非IPv6格式
listen_ipv6=NO

# 以 standalone 方式启动
listen=YES

参考

• http://linux.vbird.org/linux_server/0410vsftpd.php
• https://yq.aliyun.com/articles/545714
• http://blog.sina.com.cn/s/blog_946cb2b70100x4zc.html