配置Vsftpd下的虚拟用户-阿里云开发者社区

开发者社区> 数据库> 正文

配置Vsftpd下的虚拟用户

简介:

VSFTP介绍

VSFTP(Very Secure FTP)是一种在Unix/Linux中非常安全且快速稳定的FTP服务器,目前已经被许多大型站点所采用,如ftp.redhat.com,ftp.gnome.org等。

在vsftpd服务器中支持3类用户,分别是匿名用户,本地用户,和虚拟账户。用途及区别如下。

1)、匿名用户:名为anonymous 或ftp 的FTP 用户,匿名FTP 用户登录后将FTP 服务器中的/var/ftp 作为FTP 根目录。匿名用户通常用于提供公共文件的下载,如架设公共软件下载的FTP 服务器,所有人都可以使用匿名用户进行软件下载。

2)、本地用户:账号是系统用户账号(/etc/passwd),使用FTP 本地用户账号登录FTP 服务器后,登录目录为本地用户的宿主目录。本地FTP用户账号通常和Web 服务器一起提供虚拟主机服务,作为网页虚拟主机更新网页的途径。

3)、虚拟用户:账号是为了保证FTP 服务器的安全性,由vsftpd 服务器提供的非系统用户账号,相对于FTP的本地用户来说,虚拟用户只是FTP服务器的专有用户,虚拟用户只能访问FTP服务器所提供的资源。虚拟用户FTP 登录后将把指定的目录作为FTP 根目录。虚拟用户与本地用户具有类似的功能,由于虚拟用户账号具有较高的安全性,可以替代本地用户账号使用。


下面将介绍在测试环境中vsftpd虚拟用户应用的配置过程,下面介绍两种方式。

实现基于DB文件验证的vsftpd虚拟用户  yum install vsftpd

1 创建虚拟用户列表文件,将文本文件转化成特定格式的文本文件,添加虚拟用户口令文件

[root@centos vsftpd]#vim  /etc/vsftpd/ftpvusers.txt

ftp1   #用户名

123456  #密码

ftp2

centos

2 生成虚拟用户口令认证文件

[root@centos vsftpd]# db_load -T -t hash -f ftpvusers.txt vuser.db

1240

chmod 600 vuser.db  #为了安全,使密码不可见

3 创建操作系统的用户和FTP访问目录

useradd -d  /var/ftpsite -s /sbin/nologin vuser   # 创建ftp访问目录,vuser是系统真是存在用户,以后虚拟用户都映射成vuser,/var/ftpsite自动生成家目录

chmod 555 /var/ftpsite/ # 使vuser用户有读写权限,给目录权限

1240

setfacl -d /var/ftpsite        #删除权限

4 创建pam配置文件

1240

systemctl restart vsftpd

4 指定vsftp.conf配置文件

vim /etc/vsftpd/vsftpd.conf

1240

systemctl restart vsftpd  #重启服务

5 配置各自虚拟用户的配置文件

mdkir /etc/vsftpd/vusers.d/ # 创建配置文件存放的路径

cd /etc/vsftpd/vusers.d/ # 进入此目录创建各用户自已的配置文件

1240

出现错误:500 OOPS: bad bool value in config file for: anon_upload_enable  Login failed.

421 Service not available, remote server has closed connection

解决方法:ftp1的配置文件末尾出现空格

 准备ftp2的目录

mkdir -p /app/ftp2/upload      #创建子文件

chown vuser /app/ftp2/upload  #给用户vuser权限

1240

测试虚拟用户登录FTP

1240

修改ftp2的权限,使其能够创建文件,进行测试。

1240

注意:实验前关闭防火墙和selinux。


基于数据库MYSQL验证vsftpd虚拟用户

Centos7和Centos6的不同:

Centos6: epel源里放了pam_mysql模块,可以yum install pam_mysql

Centos7:需要手动编译pam_mysql模块

1 实验准备

两台虚拟机,一台a主机作为ftp服务器;一台b主机作为mysql数据库服务器。

2 安装MySQL

①直接yum安装mysql-server(centos 6)或者 mariadb-server(centos 7)

centos7:systemctl start mariadb.service # 启动服务

systemctl enable mariadb # 设置为开机启动

centos6:service mysqld restart  # 启动服务

chkconfig enable mysqld  # 设置为开机启动

②b主机数据库配置:

1) 创建存储虚拟用户的数据库和连接数据库用户

1240

注:在这里我用这种方法添加的虚拟用户密码都是经过MySQL加密的,加密后的密码pam-mysql不能识别(MySQL和pam-mysql兼容性有些问题),因此本次实验使用明文保存密码。

select * from users;    #查看用户信息

FLUSH PRIVILEGES;   #刷新数据库

2) 验证b主机数据库配置是否成功

1240

1240

3 a主机 ftp服务器配置vsftpd服务

1)安装开发包组和服务包

yum  install mariadb vsftpd mariadb-devel pam-devel openssl-devel mariadb vsftpd  

yum  groupinstall "Development Tools" 

注意:yum安装时,出现You could try using --skip-broken to work around the problem.You could try running: rpm -Va --nofiles --nodigest问题。

解决方法:yum remove httpd-tools

yum clean all -->yum update

2)编译安装pam_mysql(centos7) 或yum install pam_mysql(centos6)

tar xvf pam_mysql-0.7RC1.tar.gz

1240

make && make install  #编译安装

3)编译MySQL的PAM认证模块

vim /etc/pam.d/vsftp.mysql # 为了方便管理并和以前的pam进行区分,我们创建自己的pam认证配置文件

1240

注意:参考README文档,选择正确的加密方式crypt是加密方式,0表示不加密,1表示crypt(3)加密,2表示使用mysql password()函数加密,3表示md5加密,4表示sha1加密auth 表示认证

pam_mysql.so模块是默认的相对路径,是相对/lib64/security/路径而言,也可以写绝对路径;后面为给此模块传递的参数

user=vsftpd 为登录mysql的用户

passwd=magedu 登录mysql的的密码

host=mysqlserver mysql服务器的主机名或ip地址

db=vsftpd 指定连接msyql的数据库名称

table=users 指定连接数据库中的表名

usercolumn=name 当做用户名的字段

passwdcolumn=password 当做用户名字段的密码

crypt=2 密码的加密方式为mysql password()函数加密

account 验证账号密码正常使用

required 表示认证要通过

建立本地映射用户并设置宿主目录权限

# 建立虚拟用户映射的系统用户及对应的目录

useradd -s /sbin/nologin -d /app/ftpsite  ftvuser  #创建操作系统账号

# 去除ftp根目录的写权限,否者用户登录将受到文件系统权限的限制;

chmod 555 /app/ftpsite/

mkdir /app/ftpsite/upload

setfacl –m u:ftvuser:rwx /app/ftpsite/upload #为了使得用户能上传文件,我们以acl方式对相关目录设置权限,方便单个管理

在MySQL中建立用户口令数据库

# 确保/etc/vsftpd.conf中已经启用了以下选项:

vim /etc/vsftpd/vsftpd.conf

anonymous_enable=YES   # 添加用户映射的选项

guest_enable=YES

guest_username=ftvuser  #将普通用户映射ftvuser

pam_service_name=vsftp.mysql  # 修改下面一项,原系统用户无法登录;而是基于数据验证登录用户

user_config_dir=/etc/vsftpd/vusers_config  # 创建所需要目录,并为虚拟用户提供配置文件

1240

systemctl start vsftpd  #重启服务

6 在FTP服务器上配置虚拟用户且具有不同的访问权限

# 说明:vsftpd可以在配置文件目录中为每个用户提供单独的配置文件以定义其ftp服务访问权限,每个虚拟用户的配置文件名同虚拟用户的用户名。

配置文件目录可以是任意未使用目录,只需要在vsftpd.conf指定其路径及名称即可

1240

# 配置虚拟用户的访问权限

虚拟用户对vsftpd服务的访问权限是通过匿名用户的相关指令进行的。如果需要让用户user1具有上传文件的权限,可以修改/etc/vsftpd/vusers_config/user1文件。

vim /etc/vsftpd/vusers_config/user1 # 在里面添加如下选项并设置为YES即可,只读则设为NO

anon_upload_enable=YES    #打开匿名上传文件

anon_mkdir_write_enable=YES  #打开创建目录的权限

anon_other_write_enable=YES  #打开删除和重命名的权限

7 测试

1240

vim /etc/vsftpd/vusers_config/user2

anon_upload_enable=YES  #打开匿名上传文件

local_root=/app/ftpsite2/  # 指定user2的目录;user2用户登录上来访问的目录

mkdir /app/ftpsite2/upload  # 方便检验

chown ftpvuser /app/ftpsite2/upload  #可以让子目录有权限,但家目录不能有权限

注意:需确保对应的映射用户对于文件系统有写权限

1240


测试虚拟用户登录FTP

1.virtual_use_local_privs参数

当virtual_use_local_privs=YES时,虚拟用户和本地用户有相同的权限;

当virtual_use_local_privs=NO时,虚拟用户和匿名用户有相同的权限,默认是NO。

当virtual_use_local_privs=YES,write_enable=YES时,虚拟用户具有写权限(上传、下载、删除、重命名)。

当virtual_use_local_privs=NO,write_enable=YES,anon_world_readable_only=YES,

anon_upload_enable=YES时,虚拟用户不能浏览目录,只能上传文件,无其他权限。

当virtual_use_local_privs=NO,write_enable=YES,anon_world_readable_only=NO,

anon_upload_enable=NO时,虚拟用户只能下载文件,无其他权限。

当virtual_use_local_privs=NO,write_enable=YES,anon_world_readable_only=NO,

anon_upload_enable=YES时,虚拟用户只能上传和下载文件,无其他权限。

当virtual_use_local_privs=NO,write_enable=YES,anon_world_readable_only=NO,

anon_mkdir_write_enable=YES时,虚拟用户只能下载文件和创建文件夹,无其他权限。

当virtual_use_local_privs=NO,write_enable=YES,anon_world_readable_only=NO,

anon_other_write_enable=YES时,虚拟用户只能下载、删除和重命名文件,无其他权限。

2.建立各个虚拟用户自身的配置文件

[root@CentOS7 /]#vi /etc/vsftpd/vsftpd.conf

添加:user_config_dir=/etc/vsftpd/vsftpd_user_conf

[root@CentOS7 /]#mkdir /etc/vsftpd/vsftpd_user_conf

编辑user1的配置文件

[root@CentOS7 /]#vi /etc/vsftpd/vsftpd_user_conf/user1

添加:anon_world_readable_only=NO #开放bobyuan的下载权限(只能下载)。注意这个地方千万不能写成YES,否则user1将不能列出文件和目录。

编辑user2的配置文件

[root@CentOS7 /]#vi /etc/vsftpd/vsftpd_user_conf/user2

添加:

write_enable=YES #打开写权限

anon_world_readable_only=NO #打开下载权限

anon_upload_enable=YES #打开上传权限

anon_mkdir_write_enable=YES #打开创建目录的权限

anon_other_write_enable=YES #打开删除和重命名的权限


本文转自 优果馥思 51CTO博客,原文链接:http://blog.51cto.com/youguofusi/1976956


版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
数据库
使用钉钉扫一扫加入圈子
+ 订阅

分享数据库前沿,解构实战干货,推动数据库技术变革

其他文章