vsftpd(very secure FTP daemon)是Linux下的一款小巧轻快、安全易用的FTP服务器软件。本教程介绍如何在Linux实例上安装并配置vsftpd。
背景信息
FTP(File Transfer Protocol)是一种文件传输协议,基于客户端/服务器架构,支持以下两种工作模式:
- 主动模式:客户端向FTP服务器发送端口信息,由服务器主动连接该端口。
- 被动模式:FTP服务器开启并发送端口信息给客户端,由客户端连接该端口,服务器被动接受连接。
说明 大多数FTP客户端都在局域网中,没有独立的公网IP地址,且有防火墙阻拦,主动模式下FTP服务器成功连接到客户端比较困难。因此,如无特殊需求,建议您将FTP服务器配置为被动模式。
FTP支持以下三种认证模式:
- 匿名用户模式:任何人无需密码验证就可以直接登录到FTP服务器。这种模式最不安全,一般只用来保存不重要的公开文件,不推荐在生产环境中使用。
- 本地用户模式:通过Linux系统本地账号进行验证的模式,相较于匿名用户模式更安全。
- 虚拟用户模式:FTP服务器的专有用户。虚拟用户只能访问Linux系统为其提供的FTP服务,而不能访问Linux系统的其它资源,进一步增强了FTP服务器的安全性。
本教程中主要介绍的FTP服务器被动模式下,匿名用户及本地用户的配置方法。
本教程示例步骤使用以下资源版本:
- 实例规格:ecs.g6.large
- 操作系统:CentOS 8.2 64位
- vsftpd:3.0.3
- 浏览器:Google Chrome
当您使用不同软件版本时,可能需要根据实际情况调整命令和参数配置。
步骤一:安装vsftpd
步骤二:配置vsftpd
本示例提供两种方式配置vsftpd:匿名用户模式或本地用户模式。请根据您的需求选择其中一种方式进行配置。
方式一:配置匿名用户上传文件权限。
方式二:配置本地用户访问FTP服务器。
步骤三:设置安全组
搭建好FTP站点后,在实例安全组的入方向添加规则并放行下列FTP端口。具体步骤,请参见添加安全组规则。
说明 大多数客户端位于局域网中,IP地址是经过转换的,因此ipconfig或ifconfig命令返回的IP不一定是客户端的真实公网IP地址。若后续客户端无法登录FTP服务器,请重新确认其公网IP地址。
FTP被动模式需要开放端口,配置详情如下表所示。
规则方向 | 授权策略 | 协议类型 | 端口范围 | 授权对象 |
---|---|---|---|---|
入方向 | 允许 | 自定义TCP | 21/21 | 所有要访问FTP服务器的客户端公网IP地址,多个地址之间用逗号隔开。
允许所有客户端访问时,授权对象为0.0.0.0/0。 |
入方向 | 允许 | 自定义TCP | 不同模式的开放端口范围如下:
|
所有要访问FTP服务器的客户端公网IP地址,多个地址之间用逗号隔开。
允许所有客户端访问时,授权对象为0.0.0.0/0。 |
步骤四:客户端测试
FTP客户端、Windows命令行工具或浏览器均可用来测试FTP服务器。本教程以Google Chrome浏览器为例,介绍FTP服务器的访问步骤。
说明 使用浏览器访问FTP服务器出错时,建议您清除浏览器缓存后再尝试。
vsftp配置文件及参数说明
/etc/vsftpd目录下文件说明如下:
- /etc/vsftpd/vsftpd.conf是vsftpd的核心配置文件。
- /etc/vsftpd/ftpusers是黑名单文件,此文件中的用户不允许访问FTP服务器。
- /etc/vsftpd/user_list是白名单文件,此文件中的用户允许访问FTP服务器。
配置文件vsftpd.conf参数说明如下:
- 工作模式说明如下表所示。
参数 说明 pasv_enable=YES 开启被动模式 pasv_enable=NO 开启主动模式 不设置该参数 配置文件中默认不设置该参数,表示使用被动模式 说明 当您需要开启主动模式时,ECS实例的安全组规则需要放行20与21端口。 - 用户登录控制参数说明如下表所示。
参数 说明 anonymous_enable=YES 接受匿名用户 no_anon_password=YES 匿名用户login时不询问口令 anon_root=(none) 匿名用户主目录 local_enable=YES 接受本地用户 local_root=(none) 本地用户主目录 - 用户权限控制参数说明如下表所示。
参数 说明 write_enable=YES 可以上传文件(全局控制) local_umask=022 本地用户上传的文件权限 file_open_mode=0666 上传文件的权限配合umask使用 anon_upload_enable=NO 匿名用户可以上传文件 anon_mkdir_write_enable=NO 匿名用户可以建目录 anon_other_write_enable=NO 匿名用户修改删除 chown_username=lightwiter 匿名上传文件所属用户名