linux之FTP服务vsftpd和pure-ftpd常用配置
vsftpd
vsftpd介绍部分参考自 vsftpd 操作手册 - 完整版 - HOsystem - 博客园 (cnblogs.com)
vsftpd 认证模式
- 匿名开放模式：是最不安全的一种认证模式，任何人都可以无须密码验证而直接登录到FTP服务器。
- 本地用户模式：是通过Linux系统本地的账户密码信息进行认证的模式，相较于匿名开放模式更安全，而且配置起来也很简单。但是如果黑客破解了账户的信息，就可以畅通无阻地登录FTP服务器，从而完全控制整台服务器。
- 虚拟用户模式：更安全的一种认证模式，它需要为FTP服务单独建立用户数据库文件，虚拟出用来进行密码验证的账户信息，而这些账户信息在服务器系统中实际上是不存在的，仅供FTP服务程序进行认证使用。这样，即使黑客破解了账户信息也无法登录服务器，从而有效降低了破坏范围和影响。
配置文件及目录：
- /etc/vsftpd/vsftpd.conf 核心配置文件
- /etc/vsftpd/ftpusers PAM 模块 (/etc/pam.d/vsftpd) 所指定的无法登入的用户配置文件，不受任何配制项的影响，总是有效，列表中的用户不能访问FTP
- /etc/vsftpd/user_list 和核心配置文件中userlist_enable 和 userlist_deny 两个配置相关，userlist_enable=no时userlist_deny和user_list配置不生效，userlist_enable=yes userlist_deny=yes时user_list作为黑名单使用，user_list文件中的用户都被拒绝登录FTP；userlist_enable=yes userlist_deny=no时 user_list作为白名单使用，只有user_list文件中的用户都被允许登录FTP
- /etc/vsftpd/chroot_list 限制某些用户只能使用指定目录
- /etc/pam.d/vsftpd vsftpd 使用 PAM 模块时的相关配置文件
- /usr/sbin/vsftpd 执行程序目录
- /var/ftp/ 预设匿名者登入的根目录
/etc/vsftpd/vsftpd.conf
- 与服务器环境较相关的设定值
| 参数设定值 | 默认值 | 作用 |
|---|---|---|
| connect_from_port_20=YES|NO | YES | 指定FTP使用20端口进行数据传输 |
| listen_port=21 | 21 | 设置FTP服务器建立连接所监听的端口 |
| dirmessage_enable=YES|NO | YES | 如果启动选项，第一次进入目录时，若有.message这个档案，则会出现此档案的内容，通常这个档案会放置欢迎话语，或是对该目录的说明； |
| message_file=.message | .message | 设置目录消息文件，可将要显示的信息写入该文件。默认值为.message |
| listen=YES|NO | YES | 设置vsftpd服务器是否以standalone模式运行 |
| pasv_enable=YES|NO | YES | 是否使用PASV工作模式（被动模式） |
| use_localtime=YES|NO | NO | vsftpd使用本机时间作为vsftpd时间；默认为显示格林威治时间（GMT）； |
| write_enable=YES|NO | YES | 允许登陆用户有写权限；属于全局设置，默认值为YES。 |
| connect_timeout=60 | 60 | PORT 方式下建立数据连接的超时时间，单位为秒 |
| accept_timeout=60 | 60 | 建立FTP连接的超时时间，单位为秒 |
| data_connection_timeout=120 | 300 | 建立FTP数据连接的超时时间，单位为秒 |
| idle_session_timeout=300 | 300 | 多长时间不对FTP服务器进行任何操作，则断开该FTP连接，单位为秒 |
| max_clients=0 | 0 | vsftpd允许的最大连接数，默认值为0，表示不受限制 |
| max_per_ip=0 | 0 | 设置每个IP允许与FTP服务器同时建立连接的数目，默认值为0，表示不受限制 |
| pasv_min_port=0, pasv_max_port=0 | pasv_min_port:0 pasv_max_port:0 |
在PASV工作模式下，数据连接可以使用的端口范围的最小端口，0 表示任意端口； 在PASV工作模式下，数据连接可以使用的端口范围的最大端口，0 表示任意端口； |
| ftpd_banner=文字说明 | NULL | 用来定义欢迎话语的字符串，而ftpd_banner 则是字符串的形式 |
| banner_file=/path/file | NULL | 用来定义欢迎话语的字符串，banner_file是档案的形式 |
- 与实体用户较相关的设定值
| 参数设定值 | 默认值 | 作用 |
|---|---|---|
| guest_enable=YES|NO | NO | 启用虚拟用户 |
| guest_username=ftp | ftp | 用来映射虚拟用户 |
| local_enable=YES|NO | YES | 控制是否允许本地用户登入，YES 为允许本地用户登入，NO为不允许 |
| local_max_rate=0 | 0 | 本地用户使用的最大传输速度，单位为B/s，0 表示不限制速度 |
| chroot_local_user=YES|NO | NO | 用于指定用户列表文件中的用户是否允许切换到上级目录 |
| chroot_list_enable=YES|NO | NO | 设置是否启用chroot_list_file配置项指定的用户列表文件 |
| chroot_list_file=/etc/vsftpd.chroot_list | 用于指定用户列表文件, 该文件用于控制用户可以切换到用户家目录的上级目录 | |
| userlist_enable=YES|NO | NO | 是否启用vsftpd.user_list文件 |
| userlist_deny=YES|NO | YES | 决定vsftpd.user_list文件中的用户是否能够访问FTP服务器； 设置为YES，则vsftpd.user_list文件中的用户不允许访问FTP； 若设置为NO，则只有vsftpd.user_list文件中的用户才能访问FTP； |
| userlist_file=/etc/vsftpd/user_list | NO | 控制用户访问FTP的文件，里面写着用户名称。一个用户名称一行 |
- 与匿名用户登录相关的设定值
| 参数设定值 | 默认值 | 作用 |
|---|---|---|
| anonymous_enable=YES|NO | YES | 控制是否允许匿名用户登入，YES 为允许匿名登入，NO 为不允许 |
| anon_world_readable_only=YES|NO | YES | 如果设为YES，则允许匿名登入者下载可阅读的文件 |
| anon_other_write_enable=YES|NO | NO | 允许匿名登入者拥有上传或者建立目录之外的权限；如，删除或者重命名； anon_upload_enable=NO，则匿名用户不能上传文件，但可删除或重命名已经存在的文件； anon_mkdir_write_enable=NO，则匿名用户不能上传或者新建文件夹，但可以删除或者重命名已经存在的文件夹； |
| anon_mkdir_write_enable=YES|NO | NO | 允许匿名登入者有新增目录的权限，只有在write_enable=YES时，此项才有效； 匿名用户必须要有对上层目录的写入权； |
| anon_upload_enable=YES|NO | NO | 允许匿名登入者有上传文件（非目录）的权限，只有在write_enable=YES时，此项才有效； 匿名用户必须要有对上层目录的写入权； |
| deny_email_enable=YES|NO | NO | 启动这项功能，则必须提供一个档案/etc/vsftpd/banner_emails，内容为email address； 若是使用匿名登入，则会要求输入email address； 若输入的email address 在此档案内，则不允许进入； |
| banned_email_file=/etc/vsftpd/banned_emails | /etc/vsftpd.banned_emails | 用来输入email address，只有在deny_email_enable=YES时，才会使用到此文件； 若是使用匿名登入，则会要求输入email address，若输入的email address 在此档案内，则不允许进入； |
| no_anon_password=YES|NO | NO | 启动这项功能，则使用匿名登入时，不会询问密码 |
| anon_max_rate=0 | 0 | 设置匿名登入者使用的最大传输速度，单位为B/s，0 表示不限制速度 |
| anon_umask=077 | 077 | 设置匿名登入者新增或上传档案时的umask 值 |
- 与 vsftpd 系统安全相关的设定值
| 参数设定值 | 默认值 | 作用 |
|---|---|---|
| ascii_download_enable=YES|NO | NO | 设置是否启用ASCII 模式下载数据 |
| ascii_upload_enable=YES|NO | NO | 设置是否启用ASCII 模式上传数据 |
| one_process_model=YES|NO | YES | |
| tcp_wrappers=YES|NO | YES | 设置vsftpd是否与tcp wrapper相结合来进行主机的访问控制； 启用，则vsftpd会检查 /etc/hosts.allow 和/etc/hosts.deny 中的配置，来决定请求连接的主机，是否允许访问该FTP服务器； |
| xferlog_enable=YES|NO | YES | 是否启用上传/下载日志记录； 启用，则上传与下载的信息将被完整纪录在xferlog_file 所定义的文件中； |
| xferlog_file=/var/log/xferlog | /var/log/vsftpd.log | 设置日志文件名和路径 |
| xferlog_std_format=YES|NO | NO | 启用，则日志文件将会写成xferlog的标准格式，如同wu-ftpd 一般 |
| dual_log_enable=YES|NO, vsftpd_log_file=/var/log/vsftpd.log | /var/log/vsftpd.log | 编写vsftpd样式日志文件的文件的名称； 仅当 设置了选项xferlog_enable并且未设置xferlog_std_format时， 才会写入此日志； 或，如果已设置选项dual_log_enable，则会写入； 如果设置了 syslog_enable，则不会写入此文件，而是将输出发送到系统日志； |
| nopriv_user=nobody | vsftpd在完全没有特权的情况下使用的用户名； 这应该是专用用户，而不是任何人 |
|
| pam_service_name=vsftpd | /etc/pam.d/vsftpd | 设置PAM使用的名称 |
pure-ftpd
配置项详解
# 限制所有用户在其主目录中
ChrootEveryone yes
# 如果前一个指令被设置为了 "no"，下面组的成员(GID)就不受主目录的限制了。而其他的用户还是
# 会被限制在自己的主目录里。如果你不想把任何用户限制在自己的主目录里，只要注释掉 ChrootEveryone
# 和 TrustedGID 就可以了。
# TrustedGID 100
# 兼容ie等比较非正规化的ftp客户端
BrokenClientsCompatibility no
# 服务器总共允许同时连接的最大用户数
MaxClientsNumber 50
# 做为守护(doemon)进程运行(Fork in background)
Daemonize yes
# 同一IP允许同时连接的用户数（Maximum number of sim clients with the same IP address）
MaxClientsPerIP 8
# 如果你要记录所有的客户命令，设置这个指令为 "yes"
VerboseLog no
# 即使客户端没有发送 '-a' 选项也列出隐藏文件( dot-files )。
DisplayDotFiles yes
# 不允许认证用户 - 仅作为一个公共的匿名FTP。
AnonymousOnly no
# 不允许匿名连接，仅允许认证用户使用。
NoAnonymous yes
# Syslog facility (auth, authpriv, daemon, ftp, security, user, local*)
# 缺省的功能( facility )是 "ftp"。 "none" 将禁止日志。
SyslogFacility ftp
# 定制用户登陆后的显示信息（Display fortune cookies）
# FortunesFile /usr/share/fortune/zippy
# 在日志文件中不解析主机名。日志没那么详细的话，就使用更少的带宽。在一个访问量很大
# 的站点中，设置这个指令为 "yes" ，如果你没有一个能工作的DNS的话。
DontResolve yes
# 客户端允许的最大的空闲时间（分钟，缺省15分钟）
MaxIdleTime 15
# LDAP 配置文件
# LDAPConfigFile /etc/pureftpd-ldap.conf
# MySQL 配置文件
# MySQLConfigFile /etc/pureftpd-mysql.conf
# Postgres 配置文件
# PGSQLConfigFile /etc/pureftpd-pgsql.conf
# PureDB 用户数据库
# PureDB /etc/pureftpd.pdb
# pure-authd 的socket 路径
# ExtAuth /var/run/ftpd.sock
# 如果你要启用 PAM 认证方式, 去掉下面行的注释。
# PAMAuthentication yes
# 如果你要启用 简单的 Unix系统 认证方式(/etc/passwd), 去掉下面行的注释。
# UnixAuthentication yes
# 请注意，LDAPConfigFile, MySQLConfigFile, PAMAuthentication 和
# UnixAuthentication 这些指令只能被使用一次，不过，他们能被混合在一起用。例如：如果你使用了
# MySQLConfigFile 和 UnixAuthentication，那么 SQL 服务器将被访问。如果因为用户名未找
# 到而使 SQL 认证失败的话，就会在/etc/passwd 和 /etc/shadow 中尝试另外一种认证，如果因
# 为密码错误而使 SQL 认证失败的话，认证就会在此结束了。认证方式由它们被给出来的顺序而被链
# 接了起来。
# 'ls' 命令的递归限制。第一个参数给出文件显示的最大数目。第二个参数给出最大的子目录深度。
LimitRecursion 2000 8
# 是否允许匿名用户创建新目录
AnonymousCanCreateDirs no
# 如果系统被 loaded 超过下面的值，匿名用户会被禁止下载。
MaxLoad 4
# 被动连接响应的端口范围- for firewalling.
# PassivePortRange 30000 50000
# 强制一个IP地址使用被动响应
# ForcePassiveIP 192.168.0.1
# 匿名用户的上传/下载的比率。
# AnonymousRatio 1 10
# 所有用户的上传/下载的比率。
# UserRatio 1 10
# 不接受所有者为 "ftp" 的文件的下载。例如：那些匿名用户上传后未被本地管理员验证的文件。
AntiWarez yes
# 客户端登录的时候的默认编码，开启这个选项的话，windows登录时就不会显示不了中文的了
ClientCharset gbk
# 服务监听的IP 地址和端口。(缺省是所有IP地址和21端口)
# Bind 127.0.0.1,21
# 匿名用户的最大带宽（KB/s）。
# AnonymousBandwidth 8
# 所有用户的最大带宽（KB/s），包括匿名用户。
# UserBandwidth 8
# 新建目录及文件的属性掩码值。<文件掩码>;:<目录掩码>; .
Umask 133:022
# 认证用户允许登陆的最小组ID（UID） 。
MinUID 100
# 仅允许认证用户进行 FXP 传输。
AllowUserFXP yes
# 对匿名用户和非匿名用户允许进行匿名 FXP 传输。
AllowAnonymousFXP no
# 用户不能删除和写点文件（文件名以 '.' 开头的文件），即使用户是文件的所有者也不行。
# 如果 TrustedGID 指令是 enabled ，文件所属组用户能够访问点文件(dot-files)。
ProhibitDotFilesWrite no
# 禁止读点文件（文件名以 '.' 开头的文件） (.history, .ssh...)
ProhibitDotFilesRead no
# 永不覆盖文件。当上传的文件，其文件名已经存在时，自动重命名，如： file.1, file.2, file.3, ...
AutoRename no
# 不接受匿名用户上传新文件( no = 允许上传)
AnonymousCantUpload no
# 仅允许来自以下IP地址的非匿名用户连接。你可以使用这个指令来打开几个公网IP来提供匿名FTP，
# 而保留一个私有的防火墙保护的IP来进行远程管理。你还可以只允许一内网地址进行认证，而在另外
# 一个IP上提供纯匿名的FTP服务。
#TrustedIP 10.1.1.1
# 如果你要为日志每一行添加 PID 去掉下面行的注释。
# LogPID yes
# 使用类似于Apache的格式创建一个额外的日志文件，如：
# fw.c9x.org - jedi [13/Dec/1975] "GET /ftp/linux.tar.bz2" 200 21809338
# 这个日志文件能被 www 流量分析器处理。
# AltLog clf:/var/log/pureftpd.log
# 使用优化过的格式为统计报告创建一个额外的日志文件。
# AltLog stats:/var/log/pureftpd.log
# 使用标准的W3C格式创建一个额外的日志文件。（与大部分的商业日志分析器兼容）
# AltLog w3c:/var/log/pureftpd.log
# 不接受 CHMOD 命令。用户不能更改他们文件的属性。
# NoChmod yes
# 允许用户恢复和上传文件，却不允许删除他们。
# KeepAllFiles yes
# 用户主目录不存在的话，自动创建。
# CreateHomeDir yes
# 启用虚拟的磁盘限额。第一个数字是最大的文件数。
# 第二个数字是最大的总的文件大小(单位：Mb)。
# 所以，1000:10 就限制每一个用户只能使用 1000 个文件，共10Mb。
# Quota 1000:10
# 如果你的 pure-ftpd 编译时加入了独立服务器( standalone )支持，你能够改变 pid 文件
# 的位置。缺省位置是 /var/run/pure-ftpd.pid 。
# PIDFile /var/run/pure-ftpd.pid
# 如果你的 pure-ftpd 编译时加入了 pure-uploadscript 支持，这个指令将会使 pure-ftpd
# 发送关于新上传的情况信息到 /var/run/pure-ftpd.upload.pipe，这样 pure-uploadscript
# 就能读然后调用一个脚本去处理新的上传。
# CallUploadScript yes
# 这个选项对允许匿名上传的服务器是有用的。当 /var/ftp 在 /var 里时，需要保留一定磁盘空间
# 来保护日志文件。当所在磁盘分区使用超过百分之 X 时，将不在接受新的上传。
MaxDiskUsage 99
# 如果你不想要你的用户重命名文件的话，就设置为 'yes' 。
# NoRename yes
# 是 'customer proof' : 工作区(workaround)反对普通的客户错误，类似于：'chmod 0 public_html' 的错误。
# 那是一个有效的命令，不过，将导致无知的客户所定他们自己的文件，将使你的技术支持忙于愚蠢的的问题中。
# 如果你确信你所有的用户都有基本的Unix知识的话，这个特性将没什么用了。不过，如果你是一个主机提供商
# 的话，启用它。
CustomerProof yes
# 每一个用户的并发限制。只有在添加了 --with-peruserlimits 编译选项进行编译后，这个指令才起
# 作用。(大部分的二进制的发布版本就是例子)
# 格式是 : <每一个用户最大允许的进程>;:<最大的匿名用户进程>;
# 例如： 3:20 意思是同一个认证用户最大可以有3个同时活动的进程。而且同时最多只能有20个匿名用户进程。
# PerUserLimits 3:20pure-ftpd常用命令
# 创建虚拟用户
pure-pw useradd joe -u ftpuser -d /home/ftpusers/joe
-u 将虚拟用户 joe 同系统用户 ftpuser 关联在一起
-d 参数使 joe 只能访问其 home 目录
# 更改一个用户
pure-pw usermod username
# 删除一个用户
pure-pw userdel username
# 改变用户口令
pure-pw passwd username
# 显示用户信息
pure-pw show username
# 提交更改,刷新数据库
pure-pw mkdb
# 查看用户列表：
pure-pw list
