1. ftp概述
網絡文件共享服務主流的主要有三種,分別是ftp、nfs、samba。
FTP是File Transfer Protocol(文件傳輸協議)的簡稱,用於internet上的控制文件的雙向傳輸。
FTP也是一個應用程序,基於不同的操作系統有不同的FTP應用程序,而所有這些應用程序都遵守同一種協議以傳輸文件。
在FTP的使用當中,用戶經常遇到兩種概念:下載和上傳
下載(Download) | 上傳(Upload) |
---|---|
從遠程主機拷貝文件至自己的計算機上 | 將文件從自己的計算機上拷貝至遠程主機上 |
2. ftp架構
FTP工作於應用層,監聽於tcp的21號端口,是一種C/S架構的應用程序。其有多種客戶端和服務端的應用程序,下面來簡單介紹一下
客戶端工具 | 服務端軟件 |
---|---|
ftp lftp,lftpget wget,curl filezilla gftp(Linux GUI) 商業軟件(flashfxp,cuteftp) |
wu-ftpd proftpd(提供web接口的一種ftp服務端程序) pureftp vsftpd(Very Secure) ServU(windows平臺的一種強大ftp服務端程序) |
3. ftp數據連接模式
ftp有2種數據連接模式:命令連接和數據連接
- 命令連接:是指文件管理類命令,始終在線的持久性連接,直到用戶退出登錄爲止
- 數據連接:是指數據傳輸,按需創建及關閉的連接
其中數據連接需要關注的有2點,一是數據傳輸格式,二是數據傳輸模式
數據傳輸格式有以下兩種:
- 文件傳輸
- 二進制傳輸
數據傳輸模式也有2種:
- 主動模式:由服務器端創建數據連接
- 被動模式:由客戶端創建數據連接
兩種數據傳輸模式的建立過程:
傳輸模式 | 建立過程 |
---|---|
主動模式 | 命令連接: Client(1025)–> Server(21) 客戶端以一個隨機端口(大於1023)來連服務器端的21號端口 數據連接: Server(20/tcp) --> Client(1025+1) 服務器端以自己的20號端口去連客戶端創建命令連接時使用的隨機端口+1的端口號 |
被動模式 | 命令連接: Client(1110) --> Server(21) 客戶端以一個隨機端口來連成服務器端的21號端口 數據連接: Client(1110+1) --> Server(隨機端口) 客戶端以創建命令連接的端口 +1的端口號去連服務器端通過命令連接告知自己的一個隨機端口號來創建數據連接 |
主動模式有個弊端,因爲客戶端的端口是隨機的,客戶端如果開了防火牆,
則服務器端去連客戶端創建數據連接時可能會被拒絕
4. 用戶認證
5. vsftpd
此處我們要說的ftp應用程序是vsftpd,這也是在公司中用得最多的一款ftp軟件。
[root@node01-linux ~]# systemctl enable --now vsftpd #//設置vsftpd服務開機自動啓動
[root@node01-linux ~]# systemctl status vsftpd #查看vsftpd服務的狀態
[root@node01-linux ~]# systemctl status firewalld #檢查防火牆是否關閉
[root@node01-linux ~]# getenforce #查看SELinux是否關閉
Disabled
5.1 vsftpd安裝
[root@node01-linux ~]# yum -y install vsftpd #安裝vsftpd包
···
Total download size: 172 k
Installed size: 353 k
Downloading packages:
vsftpd-3.0.2-27.el7.x86_64.rpm | 172 kB 00:00
Running transaction check
Running transaction test
Transaction test succeeded
Running transaction
Installing : vsftpd-3.0.2-27.el7.x86_64 1/1
Verifying : vsftpd-3.0.2-27.el7.x86_64 1/1
Installed:
vsftpd.x86_64 0:3.0.2-27.el7
Complete!
5.2 vsftpd配置
/etc/pam.d/vsftpd //vsftpd用戶認證配置文件
/etc/vsftpd/ //配置文件目錄
/etc/vsftpd/vsftpd.conf //主配置文件
//匿名用戶(映射爲ftp用戶)的共享資源位置是/var/ftp
//系統用戶通過ftp訪問的資源位置爲用戶的家目錄
//虛擬用戶通過ftp訪問的資源位置爲給虛擬用戶指定的映射成爲的系統用戶的家目錄
vsftpd常見的配置參數:
參數 | 作用 |
---|---|
anonymous_enable=YES | 啓用匿名用戶登錄 |
anon_upload_enable=YES | 允許匿名用戶上傳 |
anon_mkdir_write_enable=YES | 允許匿名用戶創建目錄,但是不能刪除 |
anon_other_write_enable=YES | 允許匿名用戶創建和刪除目錄 |
local_enable=YES | 啓用本地用戶登錄 |
write_enable=YES | 允許本地用戶有寫權限 |
local_umask=022 | 通過ftp上傳文件的默認遮罩碼 |
chroot_local_user=YES | 禁錮所有的ftp本地用戶於其家目錄中 |
chroot_list_enable=YES(不常用) |
開啓禁錮文件列表 需要與chroot_list_file參數一起使用 |
chroot_list_file=/etc/vsftpd/chroot_list(不常用) |
指定禁錮列表文件路徑 在此文件裏面的用戶將被禁錮在其家目錄中 |
allow_writeable_chroot=YES | 允許被禁錮的用戶家目錄有寫權限 |
xferlog_enable=YES(不常用保持默認) |
是否啓用傳輸日誌,記錄ftp傳輸過程 |
xferlog_std_format=YES(不常用保持默認) |
傳輸日誌是否使用標準格式 |
xferlog_file=/var/log/xferlog(不常用保持默認) |
指定傳輸日誌存儲的位置 |
chown_uploads=YES | 是否啓用改變上傳文件屬主的功能 |
chown_username=whoever | 指定要將上傳的文件的屬主改爲哪個用戶 此用戶必須在系統中存在 |
pam_service_name=vsftpd | 指定vsftpd使用/etc/pam.d下的 哪個pam配置文件進行用戶認證 |
userlist_enable=YES | 是否啓用控制用戶登錄的列表文件: 默認爲/etc/vsftpd/user_list文件 |
userlist_deny=YES | 是否拒絕userlist指定的列表文件中存在的用戶登錄ftp |
max_clients=# | 最大併發連接數 |
max_per_ip=# | 每個IP可同時發起的併發請求數 |
anon_max_rate | 匿名用戶的最大傳輸速率,單位是“字節/秒” |
local_max_rate | 本地用戶的最大傳輸速率,單位是“字節/秒” |
dirmessage_enable=YES | 啓用某目錄下的.message描述信息 假定有一個目錄爲/upload,在其下創建一個文件名爲.message, 在文件內寫入一些描述信息, 則當用戶切換至/upload目錄下時會自動顯示.message文件中的內容 |
message_file | 設置訪問一個目錄時獲得的目錄信息文件的文件名,默認是.message |
idle_session_timeout=600 | 設置默認的斷開不活躍session的時間 |
data_connection_timeout=120 | 設置數據傳輸超時時間 |
ftpd_banner=“Welcome to chenlf FTP service.” | 定製歡迎信息,登錄ftp時自動顯示 |
ftp
`//安裝ftp`
[root@node01-linux ~]# yum provides *bin/ftp #獲取和安裝所有可用的依賴軟件包
[root@node01-linux ~]# yum -y install ftp #安裝ftp
[root@node01-linux ~]# ftp 192.168.67.131
Connected to 192.168.67.131 (192.168.67.131).
220 (vsFTPd 3.0.2)
Name (192.168.67.131:root): ftp
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
227 Entering Passive Mode (192,168,67,131,80,72).
150 Here comes the directory listing.
drwxr-xr-x 2 0 0 6 Apr 01 04:55 pub
226 Directory send OK.
ftp> quit
221 Goodbye.
[root@node01-linux ~]# ls /var/
adm crash empty games kerberos local log nis preserve spool yp
cache db ftp gopher lib lock mail opt run tmp
[root@node01-linux ~]# cd /var/ftp/
[root@node01-linux ftp]# ls
pub
`//ftp下載`
[root@node01-linux opt]# ls
abc
ftp> lcd /opt/
Local directory now /opt
ftp> get hello.txt
local: hello.txt remote: hello.txt
227 Entering Passive Mode (192,168,67,131,113,225).
150 Opening BINARY mode data connection for hello.txt (12 bytes).
226 Transfer complete.
12 bytes received in 2e-05 secs (600.00 Kbytes/sec)
[root@node01-linux opt]# ls
abc hello.txt
`//ftp上傳`
[root@node01-linux ~]# echo 'redhat'|passwd --stdin jerry
Changing password for user jerry.
passwd: all authentication tokens updated successfully.
[root@node01-linux ~]# ftp 192.168.67.131
Connected to 192.168.67.131 (192.168.67.131).
220 (vsFTPd 3.0.2)
Name (192.168.67.131:root): jerry
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
227 Entering Passive Mode (192,168,67,131,101,78).
150 Here comes the directory listing.
226 Directory send OK.
ftp> lcd /opt/
Local directory now /opt
ftp> put hello.txt
local: hello.txt remote: hello.txt
227 Entering Passive Mode (192,168,67,131,155,244).
150 Ok to send data.
226 Transfer complete.
12 bytes sent in 1.7e-05 secs (705.88 Kbytes/sec)
ftp> ls
227 Entering Passive Mode (192,168,67,131,35,226).
150 Here comes the directory listing.
-rw-r--r-- 1 1000 1000 12 May 17 14:01 hello.txt
226 Directory send OK.
[root@node01-linux ~]# ls /home/jerry/
hello.txt
lftp系統用戶認證
(不推薦)
`//安裝lftp`
[root@node01-linux ~]# yum -y install lftp
···
Total download size: 752 k
Installed size: 2.4 M
Downloading packages:
lftp-4.4.8-12.el7_8.1.x86_64.rpm | 752 kB 00:00
Running transaction check
Running transaction test
Transaction test succeeded
Running transaction
Installing : lftp-4.4.8-12.el7_8.1.x86_64 1/1
Verifying : lftp-4.4.8-12.el7_8.1.x86_64 1/1
Installed:
lftp.x86_64 0:4.4.8-12.el7_8.1
Complete!
[root@node01-linux ~]# lftp -u jerry,redhat 192.168.67.131
lftp [email protected]:~> ls
-rw-r--r-- 1 1000 1000 12 May 17 14:01 hello.txt
lftp [email protected]:~> exit
`//lftp別名`
[root@node01-linux ~]# alias dl='lftp -u jerry,redhat 192.168.67.131'
[root@node01-linux ~]# dl
lftp [email protected]:~> exit
5.3 vsftpd虛擬用戶配置
匿名用戶認證
`//啓用匿名用戶登錄`
[root@node01-linux ~]# vim /etc/vsftpd/vsftpd.conf
···
anonymous_enable=YES
···
[root@node01-linux ~]# lftp 192.168.67.131
lftp 192.168.67.131:~> ls
drwxrwxr-x 2 0 0 23 May 17 13:21 pub
`//允許匿名用戶上傳`
[root@node01-linux ~]# vim /etc/vsftpd/vsftpd.conf
···
anon_upload_enable=YES
···
[root@node01-linux opt]# ls
hello.txt
lftp 192.168.67.131:/pub/abc> ls
lftp 192.168.67.131:/pub/abc> lcd /opt/
lcd ok, local cwd=/opt
lftp 192.168.67.131:/pub/abc> put hello.txt
12 bytes transferred
[root@node01-linux abc]# ls
hello.txt
`//允許匿名用戶創建目錄,但是不能刪除`
[root@node01-linux ~]# vim /etc/vsftpd/vsftpd.conf
···
anon_mkdir_write_enable=YES
···
lftp 192.168.67.131:/pub> ls
drwx------ 3 14 50 34 May 18 07:54 abc
lftp 192.168.67.131:/pub> mkdir hello
mkdir ok, `hello' created
lftp 192.168.67.131:/pub> ls
drwxrwx--- 2 14 50 23 May 18 07:59 abc
drwx------ 2 14 50 6 May 18 08:03 hello
lftp 192.168.67.131:/pub> rm -rf hello
lftp 192.168.67.131:/pub> ls
drwxrwx--- 2 14 50 23 May 18 07:59 abc
drwx------ 2 14 50 6 May 18 08:03 hello
//允許匿名用戶創建和刪除目錄
[root@node01-linux ~]# vim /etc/vsftpd/vsftpd.conf
···
anon_mkdir_write_enable=YES
anon_other_write_enable=YES
···
lftp 192.168.67.131:/pub> ls
drwxrwx--- 2 14 50 23 May 18 07:59 abc
drwx------ 2 14 50 6 May 18 08:03 hello
lftp 192.168.67.131:/pub> mkdir world
mkdir ok, `world' created
lftp 192.168.67.131:/pub> ls
drwxrwx--- 2 14 50 23 May 18 07:59 abc
drwx------ 2 14 50 6 May 18 08:03 hello
drwx------ 2 14 50 6 May 18 08:06 world
lftp 192.168.67.131:/pub> rm -rf world
rm ok, `world' removed
lftp 192.168.67.131:/pub> ls
drwxrwx--- 2 14 50 23 May 18 07:59 abc
drwx------ 2 14 50 6 May 18 08:03 hello
`//指定vsftpd使用/etc/pam.d下的哪個pam配置文件進行用戶認證`
[root@node01-linux opt]# vim /etc/vsftpd/vsftpd.conf
pam_service_name=vsftpd
[root@node01-linux opt]# ls /etc/pam.d/vsftpd
/etc/pam.d/vsftpd
`//設置默認的斷開不活躍session的時間`
[root@node01-linux /]# vim /etc/vsftpd/vsftpd.conf
···
idle_session_timeout=1200
···
`//設置數據傳輸超時時間`
[root@node01-linux /]# vim /etc/vsftpd/vsftpd.conf
···
data_connection_timeout=240
···
`//定製歡迎信息,登錄ftp時自動顯示`
[root@node01-linux /]# vim /etc/vsftpd/vsftpd.conf
···
ftpd_banner=Welcome to blah FTP service.
···
[root@node01-linux ~]# ftp 192.168.67.131
Connected to 192.168.67.131 (192.168.67.131).
220 Welcome to blah FTP service.
Name (192.168.67.131:root): ftp
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp>
`//設置匿名用戶ftp家目錄` #anon_root 匿名用戶的ftp根目錄無法直接寫入,必須在根目錄中創建一個新目錄,並且此新目錄必須要設置ftp賬戶對其有讀寫執行權限,並且設置配置文件:anon_upload_enable=YES
//設置本地用戶的ftp家目錄 #local_root
[root@node01-linux ~]# vim /etc/vsftpd/vsftpd.conf
anon_root=/opt/data #設置匿名用戶ftp家目錄
[root@node01-linux opt]# mkdir data
[root@node01-linux data]# ll -d
drwxr-xr-x 2 ftp ftp 21 May 18 17:10 .
[root@node01-linux opt]# ls
data hello.txt xixi
[root@node01-linux opt]# cd data/
[root@node01-linux data]# ls
[root@node01-linux data]# touch runtime
[root@node01-linux data]# ls
runtime
ftp> ls
227 Entering Passive Mode (192,168,67,131,147,50).
150 Here comes the directory listing.
-rw-r--r-- 1 0 0 0 May 18 09:10 runtime
226 Directory send OK.
[root@node01-linux data]# mkdir test #
[root@node01-linux data]# setfacl -m u:ftp:rwx /opt/data/test
[root@node01-linux data]# getfacl /opt/data/test
getfacl: Removing leading '/' from absolute path names
# file: opt/data/test
# owner: root
# group: root
user::rwx
user:ftp:rwx
group::r-x
mask::rwx
other::r-x
[root@node01-linux ~]# lftp 192.168.67.131
lftp 192.168.67.131:~> ls
-rw-r--r-- 1 0 0 0 May 18 09:10 runtime
drwxrwxr-x 2 0 0 6 May 18 09:35 test
lftp 192.168.67.131:/> cd test/
lftp 192.168.67.131:/test> ls
lftp 192.168.67.131:/test> mkdir xixi
mkdir ok, `xixi' created
lftp 192.168.67.131:/test> ls
drwxr-xr-x 2 14 50 6 May 18 09:37 xixi
`//同步目錄下載`
[root@node01-linux ~]# lftp 192.168.67.131
lftp 192.168.67.131:~> ls
-rw-r--r-- 1 0 0 13 May 18 08:25 1.message
drwxrwxr-x 6 0 0 74 May 18 10:24 pub
lftp 192.168.67.131:/> cd pub/
lftp 192.168.67.131:/pub> ls
drwxrwx--- 2 14 50 23 May 18 08:29 abc
drwxr-xr-x 2 14 50 6 May 18 08:16 hehe
drwx------ 2 14 50 6 May 18 08:03 hello
drwxr-xr-x 2 14 50 21 May 18 10:26 runtime.text
-rw------- 1 1002 50 0 May 18 08:15 xixi
[root@node01-linux opt]# ls
data hello.txt runtime xixi
lftp 192.168.67.131:/> cd pub/
lftp 192.168.67.131:/pub> ls
drwxrwx--- 2 14 50 23 May 18 08:29 abc
drwxr-xr-x 2 14 50 6 May 18 08:16 hehe
drwx------ 2 14 50 6 May 18 08:03 hello
drwxr-xr-x 2 14 50 21 May 18 10:26 runtime.text
-rw------- 1 1002 50 0 May 18 08:15 xixi
lftp 192.168.67.131:/pub> lcd /opt/
lcd ok, local cwd=/opt
lftp 192.168.67.131:/pub> mirror runtime.text
Total: 1 directory, 1 file, 0 symlinks
New: 1 file, 0 symlinks
14 bytes transferred
lftp 192.168.67.131:/pub>
[root@node01-linux opt]# ls
data hello.txt runtime runtime.text xixi
`//同步目錄上傳`(mirror)
[root@node01-linux opt]# ls
data hello.txt runtime runtime.text xixi
lftp 192.168.67.131:/pub> ls
drwxrwx--- 2 14 50 23 May 18 08:29 abc
drwxr-xr-x 2 14 50 6 May 18 08:16 hehe
drwx------ 2 14 50 6 May 18 08:03 hello
drwxr-xr-x 2 14 50 21 May 18 10:26 runtime.text
-rw------- 1 1002 50 0 May 18 08:15 xixi
lftp 192.168.67.131:/pub> lcd /opt/
lcd ok, local cwd=/opt
lftp 192.168.67.131:/pub> mirror -R runtime runtime.123 #同步目錄上傳,改名爲runtime.123,不改名則不需要跟名字
Total: 1 directory, 1 file, 0 symlinks
New: 1 file, 0 symlinks
14 bytes transferred
lftp 192.168.67.131:/pub> ls
drwxrwx--- 2 14 50 23 May 18 08:29 abc
drwxr-xr-x 2 14 50 6 May 18 08:16 hehe
drwx------ 2 14 50 6 May 18 08:03 hello
drwxr-xr-x 2 14 50 19 May 18 10:32 runtime.123
drwxr-xr-x 2 14 50 21 May 18 10:26 runtime.text
-rw------- 1 1002 50 0 May 18 08:15 xixi
虛擬用戶認證
//虛擬用戶的配置:
//所有的虛擬用戶會被統一映射爲一個指定的系統帳號,訪問的共享位置即爲此係統帳號的家目錄
//各虛擬用戶可被賦予不同的訪問權限,通過匿名用戶的權限控制參數進行指定
//虛擬用戶帳號的存儲方式:
1.文件:編輯文件,此文件需要被編碼爲hash格式。
奇數行爲用戶名
偶數行爲密碼
2.關係型數據庫的表中:
通過即時查詢數據庫完成用戶認證
mysql庫:pam要依賴於pam_mysql軟件,可以通過epel源yum安裝
`//默認安裝db_load工具`
[root@node01-linux pub]# which db_load
/usr/bin/db_load
[root@node01-linux ~]# yum -y install vsftpd
`//創建文本格式的用戶名、密碼列表,例如若要添加兩個用戶lisi、wangwu,密碼分別爲123、456`
[root@node01-linux ~]# echo 'lisi' >> /etc/vsftpd/vu.list
[root@node01-linux ~]# echo '123' >> /etc/vsftpd/vu.list
[root@node01-linux ~]# echo 'wangwu' >> /etc/vsftpd/vu.list
[root@node01-linux ~]# echo '456' >> /etc/vsftpd/vu.list
[root@node01-linux vsftpd]# cat vu.list
lisi
123
wangwu
456
`//將剛創建的文本格式用戶名、密碼文件使用db4工具轉換成數據庫文件`
[root@node01-linux vsftpd]# db_load -T -t hash -f vu.list /etc/vsftpd/vu.db
`//上面的-T表示轉換,-t表示加密方式使用hash算法加密`
`//爲提高虛擬用戶帳號文件的安全性,應將文件權限設置爲600,以避免數據外泄`
[root@node01-linux vsftpd]# chmod 600 vu.*
[root@node01-linux vsftpd]# ll vu.*
-rw------- 1 root root 12288 May 18 22:55 vu.db
-rw------- 1 root root 20 May 18 22:43 vu.list
`//添加虛擬用戶的映射賬號、創建ftp根目錄。例如要將使用的ftp根目錄設置爲/var/ftp_root`
`//映射賬號的名稱爲vftp 不允許登陸`
[root@node01-linux ~]# useradd -d /var/ftp_root -s /sbin/nologin vftp
[root@node01-linux ~]# chmod 755 /var/ftp_root
[root@node01-linux ~]# cd /var/ftp_root/
[root@node01-linux ftp_root]# ll -d
drwxr-xr-x 2 vftp vftp 62 May 18 23:17 .
`//爲虛擬用戶建立PAM認證`
[root@node01-linux pam.d]# cp vsftpd{,-bak}
[root@node01-linux pam.d]# vim vsftpd
#%PAM-1.0
auth required pam_userdb.so db=/etc/vsftpd/vu
account required pam_userdb.so db=/etc/vsftpd/vu
`//修改vsftpd配置文件,添加虛擬用戶支持`
[root@node01-linux vsftpd]# vim vsftpd.conf
···
guest_enable=YES
guest_username=vftp
···
`//爲不同的虛擬用戶建立獨立的配置文件`
[root@node01-linux vsftpd]# mkdir vusers_dir
[root@node01-linux vsftpd]# ls
ftpusers vsftpd.conf vu.db vusers_dir
user_list vsftpd_conf_migrate.sh vu.list
[root@node01-linux vsftpd]# vim vsftpd.conf
user_config_dir=/etc/vsftpd/vusers_dir
allow_writeable_chroot=YES
`//設置lisi用戶可上傳文件、創建目錄`
[root@node01-linux vusers_dir]# vim lisi
anon_upload_enable=YES
anon_mkdir_write_enable=YES
`//設置wangwu用戶只有默認的下載權限,只需要創建一個名爲jerry的空文件即可`
[root@node01-linux vusers_dir]# touch wangwu
`//注意:虛擬用戶是通過匿名訪問的,所以必須開啓匿名訪問功能!!!`
`//重啓服務`
[root@node01-linux ~]# systemctl restart vsftpd
驗證lisi用戶
[root@node01-linux ~]# lftp -u lisi,123 192.168.67.131
lftp [email protected]:/> mkdir runtime
mkdir ok, `runtime' created
lftp [email protected]:/> ls
-rw-r--r-- 1 0 0 0 May 18 16:01 abc
drwxr-xr-x 2 1003 1003 6 May 18 16:02 runtime
[root@node01-linux ftp_root]# ll
total 0
-rw-r--r-- 1 root root 0 May 19 00:01 abc
drwxr-xr-x 2 vftp vftp 6 May 19 00:02 runtime
[root@node01-linux ftp_root]# id vftp
uid=1003(vftp) gid=1003(vftp) groups=1003(vftp)
[root@node01-linux opt]# ls
data hello.txt runtime runtime.text xixi
lftp [email protected]:/runtime> lcd /opt/
lcd ok, local cwd=/opt
lftp [email protected]:/runtime> put hello.txt
lftp [email protected]:/runtime> ls
-rw-r--r-- 1 1003 1003 0 May 18 16:14 hello.txt
驗證wangwu用戶
[root@node01-linux ~]# lftp -u wangwu,456 192.168.67.131
lftp [email protected]:~> ls
-rw-r--r-- 1 0 0 12 May 18 16:24 abc
lftp [email protected]:/> lcd /opt/
lcd ok, local cwd=/opt
lftp [email protected]:/> get abc
12 bytes transferred
[root@node01-linux opt]# ls
abc