NFS服务：

常见文件服务：

nfs：network files system，常常专用于linux同平台的文件共享，当然也可以使用samba来完成。

samba：基于smb（协议）实现跨平台共享，在linux 实现cifs（windows）。

将linux加入到域内需要winbind来完成。

ftp：应用层协议，可以跨越平台。所有应用层协议都是跨平台的协议。

nfs和samba是工作在第五层，是通过rpc来实现的（remote procedure call，远程过程调用，过程就是函数。）

运行的前提条件：

1、rpcbind，为nfs提供远程过程调用服务，

        nfs本身由多个程序组成，在启用nfs服务的过程中会调用多个程序，就要涉及到端口，除了2049端口是固定的其它端口都是随机的小于1024的端口，所有需要rpc来协调。

        nfs启动的前提是rpcbind需要先启动，并且如果rpcbind重启了，那么nfs也需要重新启动，因为随机端口需要重新再rpc上注册。

2、nfs-utils，包含nfsd及nfs-daemons服务的软件包。

            nfs验证用户是通过用户的uid和gid来进行验证身份的。

文件共享权限由两部分组成：

文件共享权限和文件权限（和windows的权限类似）

nfs的认证

认证主机，不是认证用户。

服务脚本：/etc/rc.d/init.d/nfs

配置文件：/etc/exports

nfsd监控端口： 2049/tcp 2049/udp。

rpc服务监听端口：随机

一般情况下是在内网通讯的，如果要跨防火墙的话，要使用固定端口配置/etc/sysconfig/nfs文件，将mount_port、rquotad_port、lockd_tcpport、lockd_udpport修改为指定端口。

rpcbind为rpc提供服务，端口为111。所以111端口必须启动，如果没有启动nfs也不可能提供服务。

配置文件/etc/exports格式

export host（options，options，options） host（options）

/data 192.168.1.9(rw) 

/data 本地共享的文件名

ip：可以访问的主机或者网络号 主机号（192.168.1.0/24     sut??.com.cn     *.inno.com） 主机名的方式要求必须可以被解析，通过dns、hosts。

rw：权限。

共享选项：

rw：读写

ro：只读

secure：限制用户只能使用小于1024端口的访问请求，默认开启，关闭使用insecure。

sync：同步写入，立即写入到服务端，性能差，可靠性高，。

async：异步写入，完成后写入服务端，性能好，可靠性差，建议async

wdelay：写入延迟，no_wdelay，不延迟。

nohide：不隐藏服务端挂载的其它nfs目录。

root_squash：压缩root权限，root变为最小权限。

no_root_squash：不压缩

all_squash:y压缩所有用户权限

anonuid:以某一个用户身份执行

anonuid=nfsuser

默认情况下nfs里面root的权限是最小的，

NFS软件结构：

客户端查询服务器端共享资源的命令：showmount

showmount 

-d：显示当前主机所共享的NFS文件系统中，有哪些已经被客户端挂载。

-e ipaddr：显示指定ip可以挂载 的nfs文件系统。

-a：显示当前系统主机的nfs文件系统中，每个挂载链接。（服务器端）

客户端显示的文件权限均为nobody。

服务器端nfs文件系统维护命令：exportfs

exportfs：避免重新启动nfs服务。

-r：重新挂载exports里面的共享目录

-a：挂载所有共享目录

-u：卸载共享目录

日志文件：/var/lib/nfs/*tab

etab：主要记录NFS共享文件系统的权限设置值。

xtab：记录曾经链接到此服务器的客户端信息。

理解NFS文件系统权限问题：

1、服务端的nfs文件共享出来权限是收到两部分影响的，配置文件/etc/exports的选项权限，第二就是nfs共享文件本身的权限。

2、客户端访问使用的用户账户在nfs端是不被验证的，实际验证的是用户的id号码，也就是说，客户端用户的id如果是501，那么在服务端对应的501账户就应该有文件访问权限（这个账户可能和客户端账户不同，不必考虑），所有要求设置服务端对应的ID号具有文件相应的读写权限。

client gongbing id：501------>>server zhang id:501----->>setfacl -m zhang:rwx /data。

AUTOFS

自动挂载远程共享文件夹，并在空闲时卸载远程文件夹。

安装程序：autofs

主配置文件：/etc/auto.master

配置文件规则：

FTP服务

ftp协议：文件传输和管理

主要功能：

1、三种不同用户身份，系统实体用户、guest、anonymous

2、命令记录和日志记录/var/log/

3、限制用户登录的目录，chroot（显示的根目录就是用户的家目录），就是说用户只能登录自己的家目录，不能随意进入linux系统目录。

命令链接：21/tcp(控制端口) 20/tcp（数据端口）

数据连接：

        主动模式：

                        1、 客户端使用随机端口连接服务器21端口，通过三次握手后建立通讯控制通道

                        2、当用户要传输数据时，通过自己的另一个随机端口申请。

                        3、服务器会使用20端口主动创建数据传输通道。

                            缺点：客户端如果是在NAT或者防火墙后面，由于是服务器发动主动请求，客户端端口是随机的，往往造成建立数据通道失败。

                            解决办法：1、通过iptables的FTP检测模块：ip_conntrack_ftp、ip_nat_ftp，需要加载在中间的防火墙或NAT上面。

                                              2、通过被动模式

        被动模式：1、客户端发起ftp请求，通过21端口建立连接

                         2、客户端想要建立数据通道，通过pasv提出申请

                         3、服务器创建一个随机端口，告知客户端，等待连接

                         4、客户端随机使用一个端口连接服务器给得端口。

服务器端

ftp软件：vsftpd proftpd filezilla

windows版本：serv-u，IIS。

客户端：ftp，lftp

转义响应码：

1**：服务器信息。

2**：正确响应信息。

3**：正常响应，但操作过程不完成，需要进一步补充。

4**：客户端错误

5**：服务器错误

vsftp的用户类型：

匿名用户：实际上是映射的一个系统用户。根目录为/var/ftp

本地用户：服务器端存在的用户，建议禁用本地用户，因为是明文传输。

如果可以登录建议设置为chroot模式。

访客用户：服务器端自动映射的一个系统用户。

                多个虚拟用户可以同时被映射为一个系统用户，但不同的虚拟用户可以有不同的权限。

配置虚拟用户的配置文件：/etc/pam.d/vsftpd

vsftpd：

服务脚本：/etc/rc.d/init.d/vsftpd

主配置文件：/etc/vsftpd/vsftpd.conf

                     /etc/pam.d/vsftpd        //用户身份验证

用户身份限制：

方法一、通过/etc/pam.d/vsftpd里面的file=/etc/vsftpd/ftpusers

来禁止file文件指定的用户登录FTP服务。

方法二、修改/etc/vsftpd/user_list文件

这个文件的生效需要在vsftpd.conf里面添加两个参数：

userlist_enable=yes   是否开启user_list文件功能

userlist_deny=yes|no   如果是yes表示user_list里面的账户都拒绝，其他允许，如果为no表示里面的都允许，其他为拒绝。

设置白名单（只有里面的用户可以登录，其他用户不可以登录）

1、在user_list里面创建用户

2、在vsftp.conf里面添加userlist_deny=NO即可。

设置黑名单（只有里面的用户不可登录，其他用户可以登录）

1、在user_list里面创建用户

2、在vsftp.conf里面添加userlist_deny=YES即可。

限制用户目录：/etc/vsftpd/chroot_list，需要创建。

此文件需要vsftpd.conf里面的两个参数：

chroot_list_enable

chroot_list_file

方法：

chroot：禁锢用户于其自己的家目录。

1、禁锢所有用户

chroot_local_user=yes   //所有本地用户都锁定在家目录。

2、禁锢指定用户 （黑名单）

chroot_list_enable=yes

chroot_list_file=/etc/vsftpd/chroot_list   //禁锢指定文件内的用户，这个chroot_list需要创建，并且里面设置用户名，一个用户名一行。

3、如果三个选项都启用，那么chroot_list里面的用户就是没有被禁锢的。

vsftpd.conf常见设置值：

与服务器相关

1、connect_from_port_20=YES|NO 

设置主动连接工作时监听的端口号。

2、dirmessage_enable=YES|NO

设置用户进入某个目录时的显示信息， message_file=.message，在目录中创建。

3、pasv_enable=YES|NO

设置是否启动被动工作模式。

4、write_enable=YES|NO

是否允许用户上传

5、accept_timeout=60

     data_connection_timeout=300

     idle_session_timeout=300

6、max_clients=0

最大客户端连接数

7、max_per_ip=0

同一个ip最大连接数

8、pasv_min_port=1024 pasv_max_prot=1122

设置被动连接时服务器开启的pasv端口号范围

9、use_localtime=YES

设置登陆后使用本地时间显示

与系统用户相关：

1、guest_enable=YES|NO

设置访问模式是否开启，如果开启任何系统账号登陆都会变成guest账号。

2、guest_username=ftp

设置系统账号转换成的guest名称。3

3、local_enable=YES|NO

设置使用系统账号登陆，

4、local_max_rate=0

设置用户传输数率

5、chroot_local_user=YES

设置是否现在用户的chroot。

6、chroot_list_enable=YES

是否启用chroot写入列表功能

7、chroot_list_file=/etc/vsftpd/chroot_list

5/6/7配合使用，chroot_list里面的用户可以进入其他目录，不在chroot_list里的用户执行chroot限制。

与匿名用户相关：

1、anonymous_enabl=YES

所有匿名配置都依赖于他是否为YES。

与安全有关：

1、one_process_model=YES|NO

YES表示每个连接都拥有一个process来负责，缺点是消耗系统资源，建议NO。

2、tcp_wrappers=YES

3、xferlog_enable=YES   xferlog_std_format=/var/log/xferlog

设置用户行为日志记录开启功能及存储位置。

 

Linux下登陆FTP服务器报错“不能改变目录” 具体语句如下：500 OOPS：cannot change directory:/home/xxx

是由于设置了selinux，可以通过getsebool -a |grep ftp来查找，并修改过ftpd_disable_trans和ftp_home_dir为on即1，setsebool ftpd_disable_trans 1

设置ftps加密传输的方法，首先需要创建证书。然后在vsftpd.conf中添加一下内容。

ftp目录的权限设置

　　默认情况下，ftp的根目录为/var/ftp，为了安全，这个目录默认不允许设置为777权限，否则ftp将无法访问。但是我们要匿名上传文件，需要“other”用户的写权限，正确的做法：

　　在/var/ftp中建立一个upload（名子自己起吧）文件夹，将个文件夹权限设置为777（视具体需要自己设），在upload这个文件夹中，匿名用户可以上传文件、创建文件夹、删除文件等。

　　一般至此，便实现vsftpd匿名用户的上传下载了。如果还不行，就是下面的问题。

　　3、selinux的配置

　　SELinux(Security-Enhanced Linux) 是美国国家安全局（NAS）对于强制访问控制的实现，是 Linux上最杰出的新安全子系统。NSA是在Linux社区的帮助下开发了一种访问控制体系，在这种访问控制体系的限制下，进程只能访问那些在他的任务中所需要文件。SELinux 默认安装在 Fedora 和 Red Hat Enterprise Linux 上，也可以作为其他发行版上容易安装的包得到。

　　最简单的办法，关闭selinux

　　方法1：修改/etc/selinux/config文件中的SELINUX="" 为 disabled ，然后重启。

　　方法2：用命令setenforce 0，无需重启。（setenforce的格式：setenforce [ Enforcing | Permissive | 1 | 0 ]）

　　方法3：在lilo或者grub的启动参数中增加：selinux=0,也可以关闭selinux。

　　使用getenforce查看当前selinux是否正在运行。

　　不关闭selinux，就要设置selinux的ftp权限。

　　1、使用getsebool -a | grep ftp查看ftp相关设置状态，我们要将allow_ftpd_anon_write设为on。

　　2、使用setsebool -P 进行设置。例：setsebool -P allow_ftpd_anon_write=on。

　　　或使用togglesebool进行bool值取反，例如togglesebool　allow_ftpd_anon_write。

本文转自 blackstome 51CTO博客，原文链接：http://blog.51cto.com/137783/1968760，如需转载请自行联系原作者