vsftpd完整配置手冊(cè).doc

vsftpd配置選項(xiàng) 1、vsftpd配置參數(shù)詳細(xì)整理 #接受匿名用戶 anonymous_enable=YES #匿名用戶login時(shí)不詢問口令 no_anon_password=YES #匿名用戶主目錄 anon_root=(none) #接受本地用戶 local_enable=YES #本地用戶主目錄 local_root=(none) #如果匿名用戶需要密碼,那么使用banned_email_file里面的電子郵件地址的用戶不能登錄 deny_email_enable=YES #僅在沒有pam驗(yàn)證版本時(shí)有用,是否檢查用戶有一個(gè)有效的shell來登錄 check_shell=YES #若啟用此選項(xiàng),userlist_deny選項(xiàng)才被啟動(dòng) userlist_enable=YES #若為YES,則userlist_file中的用戶將不能登錄,為NO則只有userlist_file的用戶可以登錄 userlist_deny=NO #如果和chroot_local_user一起開啟,那么用戶鎖定的目錄來自/etc/passwd每個(gè)用戶指定的目錄(這個(gè)不是很清楚,很哪位熟悉的指點(diǎn)一下) passwd_chroot_enable=NO #定義匿名登入的使用者名稱。默認(rèn)值為ftp。 ftp_username=FTP #用戶權(quán)限控制# #可以上傳(全局控制). write_enable=YES #本地用戶上傳文件的umask local_umask=022 #上傳文件的權(quán)限配合umask使用 #file_open_mode=0666 #匿名用戶可以上傳 anon_upload_enable=NO #匿名用戶可以建目錄 anon_mkdir_write_enable=NO 匿名用戶其它的寫權(quán)利(更改權(quán)限?) anon_other_write_enable=NO 如果設(shè)為YES，匿名登入者會(huì)被允許下載可閱讀的檔案。默認(rèn)值為YES。 anon_world_readable_only=YES #如果開啟,那么所有非匿名登陸的用戶名都會(huì)被切換成guest_username指定的用戶名 #guest_enable=NO 所有匿名上傳的文件的所屬用戶將會(huì)被更改成chown_username chown_uploads=YES 匿名上傳文件所屬用戶名 chown_username=lightwiter #如果啟動(dòng)這項(xiàng)功能，則所有列在chroot_list_file之中的使用者不能更改根目錄 chroot_list_enable=YES #允許使用async ABOR命令,一般不用,容易出問題 async_abor_enable=YES 管控是否可用ASCII 模式上傳。默認(rèn)值為NO。 ascii_upload_enable=YES #管控是否可用ASCII 模式下載。默認(rèn)值為NO。 ascii_download_enable=YES #這個(gè)選項(xiàng)必須指定一個(gè)空的數(shù)據(jù)夾且任何登入者都不能有寫入的權(quán)限，當(dāng)vsftpd 不需要file system 的權(quán)限時(shí)，就會(huì)將使用者限制在此數(shù)據(jù)夾中。默認(rèn)值為/usr/share/empty secure_chroot_dir=/usr/share/empty #超時(shí)設(shè)置# #空閑連接超時(shí) idle_session_timeout=600 #數(shù)據(jù)傳輸超時(shí) data_connection_timeout=120 #PAVS請(qǐng)求超時(shí) ACCEPT_TIMEOUT=60 #PROT模式連接超時(shí) connect_timeout=60 #服務(wù)器功能選項(xiàng)# #開啟日記功能 xferlog_enable=YES #使用標(biāo)準(zhǔn)格式 xferlog_std_format=YES #當(dāng)xferlog_std_format關(guān)閉且本選項(xiàng)開啟時(shí),記錄所有ftp請(qǐng)求和回復(fù),當(dāng)調(diào)試比較有用. #log_ftp_protocol=NO #允許使用pasv模式 pasv_enable=YES #關(guān)閉安全檢查,小心呀. #pasv_promiscuous+NO #允許使用port模式 #port_enable=YES #關(guān)閉安全檢查 #prot_promiscuous #開啟tcp_wrappers支持 tcp_wrappers=YES #定義PAM 所使用的名稱，預(yù)設(shè)為vsftpd。 pam_service_name=vsftpd #當(dāng)服務(wù)器運(yùn)行于最底層時(shí)使用的用戶名 nopriv_user=nobody #使vsftpd在pasv命令回復(fù)時(shí)跳轉(zhuǎn)到指定的IP地址.(服務(wù)器聯(lián)接跳轉(zhuǎn)?) pasv_address=(none) #服務(wù)器性能選項(xiàng)# #是否能使用ls -R命令以防止浪費(fèi)大量的服務(wù)器資源 #ls_recurse_enable=YES #是否使用單進(jìn)程模式 #one_process_model #綁定到listen_port指定的端口,既然都綁定了也就是每時(shí)都開著的,就是那個(gè)什么standalone模式 listen=YES #當(dāng)使用者登入后使用ls -al 之類的指令查詢?cè)摍n案的管理權(quán)時(shí)，預(yù)設(shè)會(huì)出現(xiàn)擁有者的UID，而不是該檔案擁有者的名稱。若是希望出現(xiàn)擁有者的名稱，則將此功能開啟。 text_userdb_names=NO #顯示目錄清單時(shí)是用本地時(shí)間還是GMT時(shí)間,可以通過mdtm命令來達(dá)到一樣的效果 use_localtime=NO #測試平臺(tái)優(yōu)化 #use_sendfile=YES #信息類設(shè)置# #login時(shí)顯示歡迎信息.如果設(shè)置了banner_file則此設(shè)置無效 ftpd_banner=歡迎來到湖南三辰Fake-Ta FTP 網(wǎng)站. #允許為目錄配置顯示信息,顯示每個(gè)目錄下面的message_file文件的內(nèi)容 dirmessage_enable=YES #顯示會(huì)話狀態(tài)信息,關(guān)! #setproctitle_enable=YES # 文件定義 # #定義不能更改用戶主目錄的文件 chroot_list_file=/etc/vsftpd/vsftpd.chroot_list #定義限制/允許用戶登錄的文件 userlist_file=/etc/vsftpd/vsftpd.user_list #定義登錄信息文件的位置 banner_file=/etc/vsftpd/banner #禁止使用的匿名用戶登陸時(shí)作為密碼的電子郵件地址 banned_email_file=/etc/vsftpd.banned_emails #日志文件位置 xferlog_file=/var/log/vsftpd.log #目錄信息文件 message_file=.message # 目錄定義 # #定義用戶配置文件的目錄 user_config_dir=/etc/vsftpd/userconf #定義本地用戶登陸的根目錄,注意定義根目錄可以是相對(duì)路徑也可以是絕對(duì)路徑.相對(duì)路徑是針對(duì)用戶家目錄來說的. local_root=webdisk #此項(xiàng)設(shè)置每個(gè)用戶登陸后其根目錄為/home/username/webdisk #匿名用戶登陸后的根目錄 anon_root=/var/ftp #用戶連接選項(xiàng)# #可接受的最大client數(shù)目 max_clients=100 #每個(gè)ip的最大client數(shù)目 max_per_ip=5 #使用標(biāo)準(zhǔn)的20端口來連接ftp connect_from_port_20=YES #綁定到某個(gè)IP,其它IP不能訪問 listen_address= #綁定到某個(gè)端口 #listen_port=2121 #數(shù)據(jù)傳輸端口 #ftp_data_port=2020 #pasv連接模式時(shí)可以使用port 范圍的上界，0 表示任意。默認(rèn)值為0。 pasv_max_port=0 #pasv連接模式時(shí)可以使用port 范圍的下界，0 表示任意。默認(rèn)值為0。 pasv_min_port=0 #數(shù)據(jù)傳輸選項(xiàng)# #匿名用戶的傳輸比率(b/s) anon_max_rate=51200 #本地用戶的傳輸比率(b/s) local_max_rate=5120000 # 別外,如果要對(duì)每個(gè)用戶進(jìn)行單獨(dú)的控制,只需要在user_config_dir中建立username文件,內(nèi)容為數(shù)據(jù)傳輸和用戶權(quán)利里面設(shè)置個(gè)人的合適的選項(xiàng),用戶自定義文件同樣適合用pam支持的虛擬用戶 附: FTP 數(shù)字代碼的意義 110 重新啟動(dòng)標(biāo)記應(yīng)答。 120 服務(wù)在多久時(shí)間內(nèi)ready。 125 數(shù)據(jù)鏈路埠開啟，準(zhǔn)備傳送。 150 文件狀態(tài)正常，開啟數(shù)據(jù)連接端口。 200 命令執(zhí)行成功。 202 命令執(zhí)行失敗。 211 系統(tǒng)狀態(tài)或是系統(tǒng)求助響應(yīng)。 212 目錄的狀態(tài)。 213 文件的狀態(tài)。 214 求助的訊息。 215 名稱系統(tǒng)類型。 220 新的聯(lián)機(jī)服務(wù)ready。 221 服務(wù)的控制連接埠關(guān)閉，可以注銷。 225 數(shù)據(jù)連結(jié)開啟，但無傳輸動(dòng)作。 226 關(guān)閉數(shù)據(jù)連接端口，請(qǐng)求的文件操作成功。 227 進(jìn)入passive mode。 230 使用者登入。 250 請(qǐng)求的文件操作完成。 257 顯示目前的路徑名稱。 331 用戶名稱正確，需要密碼。 332 登入時(shí)需要賬號(hào)信息。 350 請(qǐng)求的操作需要進(jìn)一部的命令。 421 無法提供服務(wù)，關(guān)閉控制連結(jié)。 425 無法開啟數(shù)據(jù)鏈路。 426 關(guān)閉聯(lián)機(jī)，終止傳輸。 450 請(qǐng)求的操作未執(zhí)行。 451 命令終止：有本地的錯(cuò)誤。 452 未執(zhí)行命令：磁盤空間不足。 500 格式錯(cuò)誤，無法識(shí)別命令。 501 參數(shù)語法錯(cuò)誤。 502 命令執(zhí)行失敗。 503 命令順序錯(cuò)誤。 504 命令所接的參數(shù)不正確。 530 未登入。 532 儲(chǔ)存文件需要賬戶登入。 550 未執(zhí)行請(qǐng)求的操作。 551 請(qǐng)求的命令終止，類型未知。 552 請(qǐng)求的文件終止，儲(chǔ)存位溢出。 553 未執(zhí)行請(qǐng)求的的命令，名稱不正確。 2、VSFTPD官方資料翻譯版（不完整版）-摘自中國Linux公社 翻譯了部分VSFTPD的官方資料。 有些知道是什么意思，但難于翻譯。有些涉及專業(yè)的知識(shí)，我自己也不懂，只好按字面翻譯。有些我自己看不懂，只好盡量翻譯。 如果看了其中一部分覺得糊涂，請(qǐng)參閱官方文擋。 安裝篇 = 這個(gè)文件詳細(xì)介紹了如何從VSFTPD的.tar.gz分發(fā)包開始，建立和安裝并運(yùn)行VSFTPD。 1）建立VSFTPD 先進(jìn)入解壓.tar.gz文件后產(chǎn)生的目錄內(nèi)。如下： cd vsftpd-2.0.1 編輯builddefs.h以操作compile-time設(shè)定。（tcp_wrappers build,等） 輸入make,回車（如果它不工作請(qǐng)發(fā)郵件通知我 . 這將產(chǎn)生一個(gè)二進(jìn)制文件，你可以驗(yàn)證一下。如下： chrislocalhost vsftpd$ ls -l vsftpd -rwxrwxr-x 1 chris chris 61748 Sep 27 00:26 vsftpd 2）滿足VSFTPD安裝所需的一些條件 VSFTPD默認(rèn)設(shè)置需要一個(gè)nobody用戶，如果這個(gè)用戶不存在，那么添加它。如下： rootlocalhost root# useradd nobody useradd: user nobody exists VSFTPD默認(rèn)設(shè)置需要一個(gè)空目錄：/usr/share/empty.增加這個(gè)目錄，如果它還不存在的話。如下： rootlocalhost root# mkdir /usr/share/empty/ mkdir: cannot create directory /usr/share/empty: File exists 如果容許匿名用戶（anonymous)，那么你將需要一個(gè)ftp用戶和其home目錄（這個(gè)home目錄不屬于“ftp”用戶，而且“ftp用戶也對(duì)其沒有寫權(quán)限）在你的系統(tǒng)中存在。 以下命令用來創(chuàng)建一個(gè)ftp用戶，如果它還不存在的話。 rootlocalhost root# mkdir /var/ftp/ rootlocalhost root# useradd -d /var/ftp ftp （即使你的ftp用戶已經(jīng)存在，完成以下這兩步也是很有好處的：） rootlocalhost root# chown root.root /var/ftp rootlocalhost root# chmod og-w /var/ftp 3）安裝VSFTPD的配置、執(zhí)行和幫助文件。 輸入make install后會(huì)將二進(jìn)制文件和幫助文件拷貝到適當(dāng)?shù)哪夸洝?你也可以手工拷貝這些文件： cp vsftpd /usr/local/sbin/vsftpd cp vsftpd.conf.5 /usr/local/man/man5 cp vsftpd.8 /usr/local/man/man8 make install不會(huì)拷貝默認(rèn)的配置文件，所以建議你手工拷貝： cp vsftpd.conf /etc daidong注：根據(jù)你系統(tǒng)版本的不同，也可能是 cp vsftpd.conf /etc/vsftpd 4)測試 （無inetd影響） VSFTPD能運(yùn)行在獨(dú)立模式（standalone)或者通過inetd(xinetd)來啟動(dòng)。 你能通過inetd來運(yùn)行vsftpd以更好地控制它。但我們?cè)谑状芜\(yùn)行時(shí)不這么做，以便檢查系統(tǒng)是否現(xiàn)在配置正常。 編輯/etc/vsftpd.conf（daidong注：也可能是/etc/vsftpd/vsftpd.conf)，并在最下面加入以下這一行： listen=YES 這將告訴VSFTPD不要從inetd啟動(dòng)。 OK，現(xiàn)在試著啟動(dòng)FTP。 以ROOT登錄。 確定你沒有運(yùn)行其他FTP服務(wù)（否則VSFTPD不能占用FTP所需的21端口）。 運(yùn)行那個(gè)二進(jìn)制文件，如下： rootlocalhost root# /usr/local/sbin/vsftpd & 1 2104 如果一切正常，那么你將連上FTP服務(wù)器，如下： chrislocalhost chris$ ftp localhost Connected to localhost (). 220 (vsFTPd 1.1.1) Name (localhost:chris): ftp 331 Please specify the password. Password: 230 Login successful. Have fun. Remote system type is UNIX. Using binary mode to transfer files. ftp ls 227 Entering Passive Mode (127,0,0,1,229,133) 150 Here comes the directory listing. d-x-x-x 2 0 0 4096 Jan 14 2002 bin d-x-x-x 2 0 0 4096 Apr 21 20:52 etc drwxr-xr-x 2 0 0 4096 Apr 21 20:52 lib drwxr-sr-x 2 0 50 4096 Jul 26 22:58 pub 226 Directory send OK. ftp 5）從inetd或者類似方式啟動(dòng)（官方推薦使用standalone方式） 你也許想通過inetd或者類似方式啟動(dòng)VSFTPD，因?yàn)檫@能給你更多的感受。例如xinetd就有很多的設(shè)置。 （注意：VSFTPD的內(nèi)在機(jī)制屏蔽了xinetd的大多數(shù)的有用的設(shè)置）。 如果使用標(biāo)準(zhǔn)的inetd,你需要編輯/etc/inetd.conf,在其中加入以下一行： ftp stream tcp nowait root /usr/sbin/tcpd /usr/local/sbin/vsftpd （確定你刪除或者注釋掉一些已存在的FTP服務(wù)配置行。如果你沒有安裝tcp_wrappers,或者不想使用它們，那么請(qǐng)去掉/usr/sbin/tcpd part). inetd需要指定并重新載入它的配置文件： kill -SIGHUP pidof inetd 如果你想使用xinetd,請(qǐng)參閱我們提供的范例 /EXAMPLE/INTERNET_SITE/README. 而其他范例文件將告訴你如何調(diào)配出更強(qiáng)大的xinetd功能。 6）為本地登錄配置PAM文件（可選） 如果你在一臺(tái)激活了PAM的設(shè)備上運(yùn)行VSFTPD，你需要提供一個(gè) /etc/pam.d/ftp 文件。否則非匿名用戶將無法登錄服務(wù)器。 （注：如果你的PAM版本比較老，那么這個(gè)文件也許是 /etc/pam.conf). 做為一個(gè)標(biāo)準(zhǔn)設(shè)置，你可以拷貝一個(gè)已提供的范例文件，如下： cp RedHat/vsftpd.pam /etc/pam.d/ftp 7）自定義你的配置文件 完成以上的配置后，建議你安裝一個(gè)配置文件。默認(rèn)的配置文件位置是/etc/vsftpd.conf. 在VSFTPD軟件分發(fā)包內(nèi)有一個(gè)范例配置文件。 你可以拷貝其為/etc/vsftpd.conf以做進(jìn)一步修改。 cp vsftpd.conf /etc （daidong注：也可能是 cp vsftpd.conf /etc/vsftpd ). 這個(gè)默認(rèn)配置即不容許本地登錄也不容許匿名用戶上傳，也許你希望更改這個(gè)配置。 其它 = 測試平臺(tái) （已通過） -流行的，功能完善的平臺(tái)都能測試通過。在以下平臺(tái)的較新版本，VSFTPD工作得很好。在其大部分較早的版本下，也運(yùn)行正常。 - RedHat Linux - RedHat Enterprise Linux - Solaris / GNU tools (Solaris 8 or newer) - SuSE Linux - Debian Linux - OpenBSD - FreeBSD - NetBSD - HP-UX / GNU tools - IRIX / GNU tools - Mac OS X (note; older versions have setgroups() problem. 10.3.4 reported OK) 虛擬用戶1 = 這個(gè)例子示范了如何為虛擬用戶設(shè)置VSFTPD/PAM。 虛擬用戶是一個(gè)在系統(tǒng)中并不作為一個(gè)登錄實(shí)體而存在的用戶。使用虛擬用戶比使用真實(shí)的用戶更安全，因?yàn)檫@個(gè)賬號(hào)只能用于FTP服務(wù)器。 虛擬用戶經(jīng)常用來提供給不大可信任的用戶訪問某些資源，而這些資源通常是其他普通用戶不能訪問的。 1）創(chuàng)建虛擬用戶數(shù)據(jù)庫 我們將使用pam_userdb來認(rèn)證虛擬用戶。這需要提供一個(gè)“db格式（一種通用數(shù)據(jù)庫格式）的用戶名/密碼文件。 創(chuàng)建一個(gè)db格式的文件，首先要?jiǎng)?chuàng)建一個(gè)標(biāo)準(zhǔn)文本文件，并把用戶名，密碼以豎直排列方式輸入。如logins.txt： tom foo fired bar 這個(gè)例子中,tom用戶的密碼是foo.fired用戶的密碼是bar. 以ROOT登錄，創(chuàng)建一個(gè)數(shù)據(jù)庫文件，如下： db_load -T -t hash -f logins.txt /etc/vsftpd_login.db （這要求berkeley db程序已經(jīng)安裝） (注：一些系統(tǒng)也許安裝了多個(gè)版本的db,所以某些情況下你可能使用db3_load才是正確的。對(duì)于一些 Debian系統(tǒng)就是這樣。 關(guān)鍵在于要讓pam_userdb相信它的登錄數(shù)據(jù)庫是哪一個(gè)db版本所產(chǎn)生（一般都是db3，盡管你的系統(tǒng)里可能安裝的是db4).） 這將創(chuàng)建/etc/vsftpd_login.db文件。顯然，你希望設(shè)定這個(gè)文件的權(quán)限： chmod 600 /etc/vsftpd_login.db 要了解更多關(guān)于維護(hù)你的登錄數(shù)據(jù)庫的信息，請(qǐng)?jiān)赽erkeley DB察看相關(guān)文檔： /docs/utility/index.html 2）用你的新數(shù)據(jù)庫創(chuàng)建一個(gè)PAM文件 請(qǐng)參考范例vsftpd.pam，它包含2行： auth required /lib/security/pam_userdb.so db=/etc/vsftpd_login account required /lib/security/pam_userdb.so db=/etc/vsftpd_login 這是告訴PAM用新的數(shù)據(jù)庫去驗(yàn)證用戶。把這個(gè)PAM文件拷貝到PAM目錄，一般是/etc/pam.d cp vsftpd.pam /etc/pam.d/ftp 3)為虛擬用戶設(shè)置home目錄 useradd -d /home/ftpsite virtual ls -ld /home/ftpsite (which should give): drwx- 3 virtual virtual 4096 Jul 30 00:39 /home/ftpsite 我們已經(jīng)創(chuàng)建了一個(gè)名叫virtual的用戶，home目錄是/home/ftpsite. 我們拷貝一些東西到這個(gè)下載目錄： cp /etc/hosts /home/ftpsite chown virtual.virtual /home/ftpsite/hosts 4）創(chuàng)建你的vsftpd.conf配置文件 請(qǐng)參考這個(gè)目錄下的例子。讓我們一行行地看一看這些配置： anonymous_enable=NO local_enable=YES 安全起見，屏蔽了匿名用戶，只啟用了非匿名用戶（即虛擬用戶使用的賬號(hào)） write_enable=NO anon_upload_enable=NO anon_mkdir_write_enable=NO anon_other_write_enable=NO 為了安全請(qǐng)確認(rèn)這幾個(gè)配置，這將關(guān)閉寫的權(quán)限。 chroot_local_user=YES 這將把虛擬用戶鎖定在我們?cè)谝陨显O(shè)置的/home/ftpsite目錄內(nèi)。 guest_enable=YES guest_username=virtual guest_enable非常重要-它激活了虛擬用戶！而guest_username說明所有的虛擬用戶都對(duì)應(yīng)我們?cè)谏厦嬖O(shè)置的真實(shí)用戶：“virtual. 這同時(shí)確定了虛擬用戶在文件系統(tǒng)中的位置，也就是說，虛擬用戶的home目錄即virtual用戶的home目錄：/home/ftpsite。 listen=YES listen_port=10021 這讓VSFTPD以獨(dú)立模式(standalone)運(yùn)行，而不是從inetd方式啟動(dòng)。也就是說，你運(yùn)行VSFTPD可執(zhí)行文件就啟動(dòng)了FTP服務(wù)。 同時(shí)也讓VSFTPD啟用非標(biāo)準(zhǔn)端口10021來監(jiān)聽FTP請(qǐng)求（FTP一般使用21端口）。 pasv_min_port=30000 pasv_max_port=30999 這設(shè)定了被動(dòng)模式的FTP請(qǐng)求端口。當(dāng)你配置了一個(gè)防火墻的時(shí)候，這個(gè)配置就很好用。 拷貝范例配置文件到/etc cp vsftpd.conf /etc/ (daidong注：也可能是/etc/vsftpd) 5)啟動(dòng)VSFTPD 到VSFTPD二進(jìn)制文件所在的目錄，輸入： ./vsftpd 如果一切正常，這個(gè)命令將生效。否則，你將會(huì)看到一些錯(cuò)誤信息的反饋。 6）測試 啟動(dòng)另一個(gè)會(huì)話。（或者ctrl-z，再輸入bg,讓VSFTPD在后臺(tái)運(yùn)行）。 這是一個(gè)FTP會(huì)話的例子： ftp localhost 10021 Connected to localhost (). 220 ready, dude (vsFTPd 1.1.0: beat me, break me) Name (localhost:chris): tom 331 Please specify the password. Password: 230 Login successful. Have fun. Remote system type is UNIX. Using binary mode to transfer files. ftp pwd 257 / ftp ls 227 Entering Passive Mode (127,0,0,1,117,135) 150 Here comes the directory listing. 226 Transfer done (but failed to open directory). ftp size hosts 213 147 ftp 注釋： 密碼是foo 出現(xiàn)”failed to open directory“的話，別擔(dān)心。這是因?yàn)?home/ftpsite目錄不容許被任意瀏覽。 （我們可以更改anon_world_readable_only=NO以消除告警，但為了安全，還是保留這個(gè)配置）。 我們能通過size命令看到我們已經(jīng)訪問了被我們拷貝到這里的hosts文件。 vsftpd.conf anonymous_enable=NO local_enable=YES write_enable=NO anon_upload_enable=NO anon_mkdir_write_enable=NO anon_other_write_enable=NO chroot_local_user=YES guest_enabl