FTP

簡介

ftp（file transfer protocol，文件傳輸協(xié)議）是 Internet 上仍常用的最老的網(wǎng)絡(luò)協(xié)議之一 , 它為系統(tǒng)提供了通過網(wǎng)絡(luò)與遠程服務(wù)器進行傳輸?shù)暮唵畏椒ā?/span>FTP是一個客戶機/服務(wù)器系統(tǒng)

ftp是文件共享服務(wù)。工作在應(yīng)用層。

linux中三種常用的文件服務(wù)：

（1）ftp：工作在應(yīng)用層的文件共享協(xié)議，在client端和server端的通信是通過tcp/ip協(xié)議的上層服務(wù)來實現(xiàn)的。

（2）nfs（Netwok File System網(wǎng)絡(luò)文件系統(tǒng)）：基于rpc（remote Procedure Call遠程過程調(diào)用）的文件共享服務(wù)。rpc：讓兩臺主機間的進程直接依賴于二進制協(xié)議完成通信。如hadoop

（3）samba：基于CIFS（通用文件系統(tǒng)）/SMB文件共享。實現(xiàn)文件跨平臺傳輸。讓linux支持cifs協(xié)議。讓linux出現(xiàn)在windows的網(wǎng)上鄰居中

linux實現(xiàn)ftp協(xié)議的軟件:

服務(wù)器端的程序（紅帽中）：

Vsftpd（Very Secure File Transfer Protocol Damon）注重安全

客戶端程序：

命令行格式（CLI）：ftp，lftp

FTP有兩個連接：

命令連接(控制連接):接收用戶發(fā)來的命令并檢查文件發(fā)來的命令；一直在線。服務(wù)端端口21/tcp

數(shù)據(jù)連接：進行傳輸文件；按需打開，按需關(guān)閉。

按數(shù)據(jù)傳輸?shù)恼埱笥烧l發(fā)起分為主動模式和被動模式。主動、被動模式是站在服務(wù)器端的角度。

主動模式：當客戶端請求數(shù)據(jù)傳輸時，服務(wù)器打開20/tcp端口主動向客戶端發(fā)送數(shù)據(jù)。此時服務(wù)器端的端口是20/tcp。如果客戶端有防火墻則不能進行數(shù)據(jù)傳輸。因為主動連接時，服務(wù)器端主動連接客戶端的請求會被客戶端的防火墻擋掉，所以連接不上。

被動模式：當客戶端請求數(shù)據(jù)傳輸時，服務(wù)器端通過命令連接給客戶端發(fā)送一個報文，告訴客戶端自己已經(jīng)打開了一個端口，讓客戶端主動連接這個端口，從而進行傳輸數(shù)據(jù)。此時服務(wù)器端口隨機。

主動模式：

Server

Client

2121221

---

---

0222

---

---

被動模式：

Server

Client

---

---

---

---

---

防火墻：“擋掉進來的連接”。當主機接入互聯(lián)網(wǎng)，防火墻將屏蔽“不請自來的請求和連接。關(guān)閉不需要的端口。端口就相當于“門”

防火墻的“連接追蹤”功能：自行判斷連接和連接的關(guān)系。

追蹤來回請求的特征

客戶端發(fā)起的新建立的連接請求：new

建立連接的響應(yīng)：established

每一個數(shù)據(jù)連接和每一個命令連接有關(guān)系：related（相關(guān)聯(lián)的會放行）

兩種模式的比較：

???????共同點：都是通過21/tcp端口進行用戶驗證及管理

???????不同點：傳輸數(shù)據(jù)的方式不同

關(guān)于端口：tcp/ip協(xié)議中，Tcp 65535個端口，Udp 65535多個端口

???????一般用到的端口是1~65535。

???????1~1023為系統(tǒng)端口（BSD保留端口），只有系統(tǒng)特許的進程才能使用；

1024~65535為用戶端口；

???????1024~5000為BSD臨時端口，一般的應(yīng)用程序使用1024~4999來進行通信；

5001~65535為BSD服務(wù)器（非特權(quán)）端口，用戶自定義端口

Vsftpd

vsftpd（Very Secure FTP Deamon）:非常安全的ftp后臺服務(wù)。

21/tcp(/etc/services查看端口號)

配置文件目錄：/etc/vsftpd(rpm包)

服務(wù)腳本：/etc/init.d/vsftpd

主程序：/usr/sbin/vsftpd

匿名用戶文件根目錄（ftp用戶的家目錄）：/var/ftp（不允許除了root外用戶其他用戶有對此目錄的寫權(quán)限,包括ftp用戶）。不能允許運行這個服務(wù)的用戶擁有寫權(quán)限，所以在/var/ftp/下建立子目錄放置上傳的文件。setfacl -m u:ftp:rwx /var/ftp/upload?

默認配置文件讓匿名用戶（anonymous）只能下載位于CHROOT（/var/ftp）目錄中的內(nèi)容。意為遠程FTP客戶端能以用戶anonymous或ftp身份連接到服務(wù)器（不需要密碼），并從/var/ftp目錄下載文件（其本地ftp用戶可以讀取這些文件）。getent passwd ftp? ##查看ftp用戶的家目錄

支持上傳和下載

下載風(fēng)險小

上傳風(fēng)險大

基于PAM（可插入式認證模塊）實現(xiàn)用戶認證：

/etc/pam.d/*

/lib/security/*? 模塊文件

ftp本身信息傳輸是明文的，包括認證機制都是明文的。抓包分析后就能得到用戶名和密碼

數(shù)據(jù)傳輸模式（自動）：兩種傳輸都支持（遵循傳輸文件本身的模式）

二進制傳輸：

文本傳輸：

ftp的用戶：

匿名用戶anonymous（最終會映射為系統(tǒng)用戶）：ftp?

虛擬用戶（最終會映射為系統(tǒng)用戶）:

系統(tǒng)用戶

（1）安裝vsftpd：yum install vsftpd? 大小140k

安裝生成的文件：rpm –ql vsftpd

開啟服務(wù)

/etc/init.d/vsftpd start

（3）基本配置

文件服務(wù)權(quán)限：文件系統(tǒng)權(quán)限*文件共享權(quán)限

默認：匿名用戶可以登錄、可以下載；本地用戶可以登錄、上傳

【幾個常見報錯】

550：表示服務(wù)本身禁止使用某項功能

530：登錄系統(tǒng)時輸錯密碼，登錄失敗

553：本地文件的權(quán)限

【匿名用戶】

匿名用戶登錄：anonymous_enable=YES | NO? ##默認情況下

匿名用戶上傳：

1.配置文件

write_enable=YES

??????????????anon_upload_enable=YES

2.上傳目錄權(quán)限：

??????????????Chgrp ftp /var/ftp/pub

??????????????Chmod 770 /var/ftp/pub或

??????????????Mkdir /var/ftp/upload

??????????????Chgrp ftp /var/ftp/upload

??????????????Chmod 770 /var/ftp/upload

3.selinux相關(guān)設(shè)置

??????????????setsebool -P allow_ftpd_anon_write on

??????????????setenforce 0

匿名用戶上傳文件權(quán)限修改：anon_umask=022 ##將文件權(quán)限改為644

匿名用戶家目錄修改（注意家目錄除root用戶外，其他用戶不能有寫權(quán)限）

anon_root=/dir

匿名用戶建立目錄：anon_mkdir_write_enable=YES

匿名用戶刪除、重命名：anon_other_wtite_enable=YES

匿名用戶下載：anon_world_readable _only =NO（對于權(quán)限為600的文件默認無法下載，必須使用此參數(shù)）

匿名用戶上傳身份的修改：不能為root，不能為系統(tǒng)不存在的用戶

???????Chown_uploads=YES

???????Chown_username=student

匿名用戶上傳限速（單位為字節(jié)）：anon_max_rate=102400

【本地用戶】注意此處selinux關(guān)閉或者設(shè)置相應(yīng)規(guī)則

本地用戶登錄：新建用戶tom，并給tom一個密碼：本地用戶即能在/etc/passwd中找到的用戶。

??????????????# echo 'cyl&647308' |passwd --stdin tom

local_enable=YES

??????????????pam_service_name=vsftpd，這是本地用戶默認的認證模塊

本地用戶可寫：write_enable=YES

本地用戶上傳文件權(quán)限：local_umask=077

本地用戶家目錄更改：local_root=/dir

將所有本地用戶鎖在家目錄中：chroot_local_user=YES(注意本地用戶目錄權(quán)限小于755)

3.本地用戶登錄進去默認在自己的家目錄里，eg：/home/tom

可以進入其他目錄查看文件等，可以獲取到自己想要的資源。

4.將某個用戶鎖定在自己的家目錄中：

chroot_list_enable=YES

chroot_list_file=/etc/vsftpd/chroot_list(在此文件中寫入用戶名)

eg：vim /etc/vsftpd/chroot_list

??????? tom

5.所有寫在/etc/vsftpd/ftpusers中的用戶被拒絕訪問ftp服務(wù)器（cat /etc/pam.d/vsftpd）

???????例如：jerry在此文件中，且在/etc/vsftpd/loginusers文件中，進行了用戶驗證

（2）啟用/etc/vsftpd/userlist文件：

userlist_enable=YES

白名單userlist_deny=NO

# Cat /etc/vsftpd/user_list

Jerry

(2)黑名單 userlist_deny=YES

6.守護進程：

獨立守護進程：xinetd是一個獨立守護進程。適用于訪問量特別大，用戶在線時間比較長的。

瞬時守護進程：由超級守護進程xinetd代為管理。訪問量比較小，用戶連接時間不大長。

vsftpd配置為瞬時守護進程時，在/etc/xinetd.d/下添加一個瞬時守護進程腳本或者配置文件（格式后文再說）

【虛擬用戶】

（1）創(chuàng)建虛擬賬號：

#vim /etc/vsftpd/loginusers? //loginusers名稱任意取，注意一行用戶名一行密碼

ftpuser1

123

ftpuser2

123

#db_load -T -t hash -f /etc/vsftpd/loginusers? /etc/vsftpd/loginusers.db

-T? //指定執(zhí)行動作為transfer

-t? //轉(zhuǎn)化方式哈希加密

-f? //指定文件名

#vim /etc/pam.d/ckvsftpd

account required pam_userdb.so db=/etc/vsftpd/loginusers

auth requied pam_userdb.so db=/etc/vsftpd/loginusers

//用戶帳號 認證必須

目錄/etc/pam.d下的文件均為認證文件，認證就是一個將外來信息與系統(tǒng)文件中記錄的信息匹配的一個過程，匹配通過則通過認證，認證是一個程序，需要相關(guān)的模塊來完成，這些模塊記錄在系統(tǒng)庫文件中

（2）創(chuàng)建本地用戶到虛擬用戶的映射：（默認ftp用戶為虛擬用戶的本地用戶映射）,可以登錄到其他目錄。

Useradd ftpuser

#vim /etc/vsftpd/vsftpd.conf

guest_username=ftpuser

guest_enable=YES

（3）虛擬賬號家目錄獨立設(shè)定：

mkdir /ftpusershome

chgrp ftpuser /ftpusershome

chmod g+s /ftpusershome

mkdir /ftpuserhome/ftpuser{1,2}

#vim /etc/vsftpd/vsftpd.conf

local_root=/ftpuserhome/$USER? //指定本地用戶家目錄

user_sub_token =$USER? //指定$USER是個shell中的變量，使其生效

（4）虛擬帳號配置獨立

打開賬戶獨立功能：user_config_dir=/etc/vsftpd/userconf?

mkdir /etc/vsftpd/userconf

vim /etc/vsftpd/userconf/ftpuser1

在此文件中配置文件中的所有參數(shù)，此文件的優(yōu)先級高

在每一個目錄下創(chuàng)建隱藏文件.massage：dirmassage_enable=YES，當客戶端切換到此目錄下，會先顯示.massage文件中的內(nèi)容。

定義vsftpd的資源訪問：

Max_client=

???????Max_per_ip=

默認以文本模式上傳文件：ascii_upload_enable=YES（一般不要設(shè)置！）

默認以文本模式下載文件：ascii_download_enable=YES（一般不要設(shè)置！）

將vsftpd定義為獨立守護進程：listen=YES

安全通信方式：

（１）ftps:ftp+ssl/tls

（２）sftp:OpenSSH,SubSystem,sftp

虛擬用戶映射到匿名用戶ftp。

基于mysql中的數(shù)據(jù)庫和表中的字段驗證用戶賬號。

虛擬用戶：

本地數(shù)據(jù)文件方式
1.添加虛擬用戶口令文件
[root@CentOS5 /]#vi /etc/vsftpd/vftpuser.txt
添加虛擬用戶名和密碼，一行用戶名，一行密碼，以此類推。奇數(shù)行為用戶名，偶數(shù)行為密碼。
ftpuser1

123

ftpuser2

123

將剛添加的vftpuser.txt虛擬用戶口令文件轉(zhuǎn)換成系統(tǒng)識別的口令認證文件。
首先查看系統(tǒng)有沒有安裝生成口令認證文件所需的軟件db4-utils。

[root@CentOS5 /]#rpm –qa |grep db4-utils
[root@CentOS5 /]#rpm –ivh db4-utils-4.3.29-9.fc6.i386.rpm
下面使用db_load命令生成虛擬用戶口令認證文件。
[root@CentOS5 /]#db_load –T –t hash –f /etc/vsftpd/vftpuser.txt /etc/vsftpd/vftpuser.db

3.編輯vsftpd的PAM認證文件
在/etc/pam.d目錄下，
[root@CentOS5 /]#vi /etc/pam.d/vsftpd
將里面其他的都注釋掉，添加下面這兩行：
auth required /lib64/security/pam_userdb.so db=/etc/vsftpd/vftpuser
account required /lib64/security/pam_userdb.so db=/etc/vsftpd/vftpuser

//64為64,32位的是/lib/…..
4.建立本地映射用戶并設(shè)置宿主目錄權(quán)限
所有的FTP虛擬用戶需要使用一個系統(tǒng)用戶，這個系統(tǒng)用戶不需要密碼。
[root@CentOS5 /]#useradd –d /home/vftpsite –s /sbin/nologin vftpuser
[root@CentOS5 /]#chmod 700 /home/vftpsite

5.配置vsftpd.conf（設(shè)置虛擬用戶配置項）
[root@CentOS5 /]#vi /etc/vsftpd/vsftpd.conf
guest_enable=YES #開啟虛擬用戶
guest_username=vftpuser #FTP虛擬用戶對應(yīng)的系統(tǒng)用戶
pam_service_name=vsftpd #PAM認證文件


6.重啟vsftpd服務(wù)
[root@CentOS5 /]#service vsftpd restart

7.測試虛擬用戶登錄FTP
C:\User\Administrator>ftp 192.168.120.240
連接到192.168.120.240。
220 Welcome to BOB FTP server
用戶(192.168.120.240(none)):ftpuser1
331 Please specify the password.
密碼:
230 Login successful.

實驗：

linux主機部署ftp服務(wù)，建立兩個ftp用戶t01,t02 屬于ftp組，不允許登陸linux系統(tǒng)，只能登陸ftp；要求能實現(xiàn)匿名用戶下載，限制同時最多連接3個用戶，FTP日志文件放在 /var/log/FTP/ftp.log

安裝vsftpd并開啟服務(wù)，火墻selinux關(guān)閉
useradd -g ftp -d /var/ftp/pub/ -s /sbin/nologin t01

useradd -g ftp -d /var/ftp/pub/ -s /sbin/nologin t02

# cat /etc/passwd

t01:x:500:50::/var/ftp/pub/:/sbin/nologin

t02:x:501:50::/var/ftp/pub/:/sbin/nologin

max_clients=3??????????????????????#允許的最大連接數(shù)3

vsftpd_log_file=/var/log/FTP/ftp.log???????????????#指定日志文件位置

[root@linux-ceshi-12 pub]# ftp localhost

Trying ::1...

ftp: connect to address ::1Connection refused

Trying 127.0.0.1...

Connected to localhost (127.0.0.1).

500 OOPS: failed to open xferlog log file:/var/log/FTP/ftp.log

ftp> quit

解決

# vim /etc/vsftpd/vsftpd.conf

vsftpd_log_file=/var/log/FTP/ftp.log

[root@linux-ceshi-12 pub]# /etc/init.d/vsftpd restart

Shutting down vsftpd: [? OK? ]

Starting vsftpd for vsftpd: [? OK? ]

[root@linux-ceshi-12 pub]# ftp localhost

Trying ::1...

ftp: connect to address ::1Connection refused

Trying 127.0.0.1...

Connected to localhost (127.0.0.1).

220 (vsFTPd 2.2.2)

Name (localhost:root): t01

331 Please specify the password.

Password:

230 Login successful.

Remote system type is UNIX.

Using binary mode to transfer files.

ftp> ls

227 Entering Passive Mode (127,0,0,1,31,70).

150 Here comes the directory listing.

-rw-r--r--??? 1 0??????? 0?????????????? 0 Aug 18 12:01 cyl

-rw-r--r--??? 1 0??????? 0?????????? 10240 Aug 19 02:43 shell.tar.gz

226 Directory send OK.

ftp> quit

221 Goodbye.

轉(zhuǎn)載于:https://blog.51cto.com/chengyanli/1846754

總結(jié)

以上是生活随笔為你收集整理的ftp详解的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。