你的位置:首页 > 操作系统

[操作系统]烂泥:ubuntu下vsftpd虚拟用户配置


本文由ilanniweb提供友情赞助,首发于烂泥行天下

想要获得更多的文章,可以关注我微信ilanniweb。

以前搭建vsftpd都是在centos下,本以为在ubuntu按照以前的步骤搭建即可。可是实际情况告诉我是,我太想当然了。经过一番的折腾终于把ubuntu下vsftpd虚拟用户的配置搞定了,下面就把我的配置步骤贴出来供得为参考。

一、业务要求

现在要求创建一个FTP账号ailanni,该账号只能登录到/www目录下,不能切换到上级目录。同时处于安全考虑还要求该账号上传的文件权限为644,即上传的文件具有可读可写权限,但是没有可执行权限。

除此之外还要求该用户不能是系统用户,即使用vsftpd的虚拟用户。

要求看起来比较简单,下面我们开始进行配置。

PS:以下实验全部在ubuntu server 14.04 X64上进行。有关centos的操作可以参考这篇文章《烂泥:Vsftpd使用虚拟用户,访问FTP》。

二、vsftpd安装

在配置vsftpd之前,我们先安装vsftpd,vsftpd的安装比较简单。我们再次直接使用apt-get进行安装,如下:

sudo apt-get -y install vsftpd

clip_image002

vsftpd的安装很简单,我们现在来查看下vsftpd都安装了那些文件。如下:

dpkg -L vsftpd |tac

clip_image003

通过上图,我们可以看出vsftpd在安装时,生成了很多文件,其中/etc/init/vsftpd.conf、/etc/vsftpd.conf比较重要。

/etc/init/vsftpd.conf是vsftpd的初始化文件,而/etc/vsftpd.conf是vsftpd的配置文件。

现在我们来查看下/etc/init/vsftpd.conf文件。如下:

cat /etc/init/vsftpd.conf

clip_image004

通过上图,我们可以很明显的看出vsftpd初始化时使用的配置文件就是/etc/vsftpd.conf文件。

为什么在此我要指出这一点呢?是因为我原以为ubuntu下vsftpd和centos下的一样,可以把vsftpd的配置文件存放到/etc/vsftpd/目录下。这一点是和centos不同的。

除此之外,还有一点不同,就是vsftpd的启动、停止、重启脚本。

在ubuntu下要启动、停止、重启vsftpd,我们必须使用以下命令:

sudo service vsftpd stop

sudo service vsftpd start

sudo service vsftpd restart

而在centos下,我们可以使用以下命令:

service vsftpd stop

/etc/init.d/vsftpd stop

最后,我们再来查看下vsftpd的服务脚本。如下:

cat /lib/systemd/system/vsftpd.service

clip_image005

三、vsftpd配置

vsftpd安装完毕后,我们现在开始配置vsftpd,不过在正式配置之前,我们还有几步工作要做。

3.1 用户相关配置

因为是使用vsftpd的虚拟用户,所以我们需要先在系统中创建一个用户,并且该用户对/www目录具有可读可写可执行权限。

创建用户,如下:

sudo useradd -m -s /bin/bash ftpilanni

cat /etc/passwd |grep ftpilanni

clip_image006

注意:创建的用户ftpilanni现在是无法登录到系统的,因为没有给该用户设置密码。在此,我们也无需ftpilanni登录到系统,这样相对来说比较安全。

用户创建完毕后,我们来创建对应的目录并修改其所属用户,如下:

sudo mkdir /www

sudo chown -R ftpilanni:ftpilanni /www/

clip_image007

有关用户相关配置结束后,我们开始设置登录vsftp的用户与密码文件login.txt。如下:

sudo mkdir /etc/vsftpd/

sudo vim /etc/vsftpd/login.txt

ailanni

ailannipassword

clip_image008

login.txt为登录vsftpd的用户与密码文件。

login.txt设置完毕后,我们要使用db_load进行加密。而db_load需要db-util这个软件。所以需要我们现在安装db-util,如下:

sudo apt-get -y install db-util

clip_image009

db-util安装完毕后,现在开始使用db_load对loginx.txt进行加密。如下:

sudo db_load -T -t hash -f /etc/vsftpd/login.txt /etc/vsftpd/login.db

clip_image010

loginx.txt加密完成后,我们现在开始配置vsftpd的PAM验证。

3.2 PAM验证配置

vsftpd的PAM验证,在此我没有使用vsftpd安装时所生成的/etc/pam.d/vsftpd文件。

因为经过我多次的测试,发现如果使用该文件进行验证的话,无法验证通过。不知道为什么,猜想很有可能是vsftpd的一个BUG。

创建验证文件,如下:

sudo vim /etc/pam.d/vsftpd.virtual

auth required pam_userdb.so db=/etc/vsftpd/login

account required pam_userdb.so db=/etc/vsftpd/login

clip_image011

vsftpd.virtual文件的内容,也可以根据OS的版本进行调整。我现在使用的是ubuntu x64,所以也可以填写为:

auth required /lib/x86_64-linux-gnu/security/pam_userdb.so db=/etc/vsftpd/login

account required /lib/x86_64-linux-gnu/security/pam_userdb.so db=/etc/vsftpd/login

其中/etc/vsftpd/login对应/etc/vsftpd/login.db文件

3.3 vsftp权限配置

现在正式配置vsftpd,vsftpd的几乎所有配置项都在/etc/vsftpd.conf文件中进行。

根据业务要求vsftpd.conf配置内容如下:

grep -vE "^#|^$" /etc/vsftpd.conf

listen=YES

listen_ipv6=NO

anonymous_enable=NO

local_enable=YES

write_enable=YES

local_umask=022

dirmessage_enable=YES

use_localtime=YES

xferlog_enable=YES

connect_from_port_20=YES

xferlog_file=/var/log/vsftpd.log

xferlog_std_format=YES

chroot_local_user=YES

chroot_list_enable=NO

allow_writeable_chroot=YES

secure_chroot_dir=/var/run/vsftpd/empty

pam_service_name=vsftpd

rsa_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem

rsa_private_key_file=/etc/ssl/private/ssl-cert-snakeoil.key

ssl_enable=NO

guest_enable=YES

pam_service_name=vsftpd.virtual

user_config_dir=/etc/vsftpd/vu

pasv_enable=YES

pasv_min_port=30000

pasv_max_port=31000

clip_image012

在以上配置文件中,有几点需要重点指出。

local_enable=YES

write_enable=YES

local_umask=022

这两项是启用系统用户的写权限。特别是write_enable=YES项一定要启用,否则vsftpd虚拟用户将无法登录vsftpd。

为什么会是这样?因为虚拟用户依赖与系统用户。

chroot_local_user=YES

chroot_list_enable=NO

allow_writeable_chroot=YES

这三项是配置vsftpd用户禁止切换上级目录的权限。

guest_enable=YES

pam_service_name=vsftpd.virtual

user_config_dir=/etc/vsftpd/vu

这三项是启用vsftpd虚拟用以及虚拟用户账号配置目录。

pasv_enable=YES

pasv_min_port=30000

pasv_max_port=31000

这三项是启用vsftpd被动模式及相关端口。

3.4 虚拟用户相关配置

vsftpd配置文件修改文件后,现在开始配置虚拟用户的相关权限。如下:

sudo mkdir /etc/vsftpd/vu

sudo vim /etc/vsftpd/vu/ailanni

guest_username=ftpilanni

local_root=/www/

virtual_use_local_privs=YES

anon_umask=133

clip_image013

以上配置参数,其中guest_username=ftpilanni表示的是设置FTP对应的系统用户为ftpilanni

local_root=/www/表示使用本地用户登录到ftp时的默认目录。

virtual_use_local_privs=YES虚拟用户和本地用户有相同的权限。

anon_umask表示文件上传的默认掩码。计算方式是777减去anon_umask就是上传文件的权限。在此我们设置的是133,也就是说上传后文件的权限是644。即上传的文件对所属用户来说只有读写权限,没有执行权限。

以上全部配置完毕后,我们来重启vsftpd,如下:

sudo service vsftpd restart

clip_image014

四、测试

现在我们来使用ailanni用户登录vsftpd进行测试。

clip_image015

clip_image016

通过以上两张图,我们可以很明显的看到vsftpd的配置已经达到了业务的要求。

五、IPtables配置

在实际生产环境中,为了安全起见,我们一般是开启防火墙的。

在ubuntu上,我们也可以使用IPtables来进行防护。

IPtables配置如下:

sudo iptables-save >/home/ilanni/iptables.rule

clip_image017

sudo iptables-restore < /home/ilanni/iptables.rule

sudo iptables -nL

clip_image018

sudo vim /etc/network/interfaces

pre-up iptables-restore < /home/ilanni/iptables.rule

post-down iptables-save < /home/ilanni/iptables.rule

clip_image019