zoukankan      html  css  js  c++  java
  • Vsftpd服务 和 TFTP协议

    FTP 文件传输协议 (File Transfer Protocol)

    FTP是一种在互联网中进行文件传输的协议,基于客户端/服务器模式,默认使用20、21号端口,其中端口20(数据端口)用于进行数据传输,端口21(命令端口)用于接受客户端发出的相关FTP命令与参数。

    FTP服务器是按照FTP协议在互联网上提供文件存储和访问服务的主机,FTP客户端则是向服务器发送连接请求,以建立数据传输链路的主机。FTP协议有下面两种工作模式。

    主动模式:FTP服务器主动向客户端发起连接请求。
    被动模式:FTP服务器等待客户端发起连接请求(FTP的默认工作模式)。
    

    vsftpd(very secure ftp daemon,非常安全的FTP守护进程)是一款运行在Linux操作系统上的FTP服务程序。

    [root@zhangjh ~]# yum install vsftpd -y

    iptables防火墙管理工具默认禁止了FTP传输协议的端口号,因此在正式配置vsftpd服务程序之前,为了避免这些默认的防火墙策略“捣乱”,还需要清空iptables防火墙的默认策略

    [root@zhangjh ~]# iptables -F
    [root@zhangjh ~]# service iptables save
    iptables: Saving firewall rules to /etc/sysconfig/iptables:[  OK  ]
    

    通过在grep命令后面添加-v参数,过滤并反选出没有包含井号(#)的参数行(即过滤掉所有的注释信息),然后将过滤后的参数行通过输出重定向符写回原始的主配置文件中

    [root@zhangjh ~]# mv /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf_bak
    [root@zhangjh ~]# grep -v "#" /etc/vsftpd/vsftpd.conf_bak > /etc/vsftpd/vsftpd.conf
    [root@zhangjh ~]# cat /etc/vsftpd/vsftpd.conf
    anonymous_enable=YES
    local_enable=YES
    write_enable=YES
    local_umask=022
    dirmessage_enable=YES
    xferlog_enable=YES
    connect_from_port_20=YES
    xferlog_std_format=YES
    listen=NO
    listen_ipv6=YES
    pam_service_name=vsftpd
    userlist_enable=YES
    tcp_wrappers=YES
    

      vsftpd服务程序常用的参数以及作用:

    参数 作用
    listen=[YES|NO] 是否以独立运行的方式监听服务
    listen_address=IP地址 设置要监听的IP地址
    listen_port=21 设置FTP服务的监听端口
    download_enable=[YES|NO] 是否允许下载文件
    userlist_enable=[YES|NO]
    userlist_deny=[YES|NO]
    设置用户列表为“允许”还是“禁止”操作
    max_clients=0 最大客户端连接数,0为不限制
    max_per_ip=0 同一IP地址的最大连接数,0为不限制
    anonymous_enable=[YES|NO] 是否允许匿名用户访问
    anon_upload_enable=[YES|NO] 是否允许匿名用户上传文件
    anon_umask=022 匿名用户上传文件的umask值
    anon_root=/var/ftp 匿名用户的FTP根目录
    anon_mkdir_write_enable=[YES|NO] 是否允许匿名用户创建目录
    anon_other_write_enable=[YES|NO] 是否开放匿名用户的其他写入权限(包括重命名、删除等操作权限)
    anon_max_rate=0 匿名用户的最大传输速率(字节/秒),0为不限制
    local_enable=[YES|NO] 是否允许本地用户登录FTP
    local_umask=022 本地用户上传文件的umask值
    local_root=/var/ftp 本地用户的FTP根目录
    chroot_local_user=[YES|NO] 是否将用户权限禁锢在FTP目录,以确保安全
    local_max_rate=0 本地用户最大传输速率(字节/秒),0为不限制

    Vsftpd服务程序:

    vsftpd作为更加安全的文件传输的服务程序,允许用户以三种认证模式登录到FTP服务器上。

    匿名开放模式:是一种最不安全的认证模式,任何人都可以无需密码验证而直接登录到FTP服务器。
    本地用户模式:是通过Linux系统本地的账户密码信息进行认证的模式,相较于匿名开放模式更安全。
    虚拟用户模式:是这三种模式中最安全的一种认证模式,它需要为FTP服务单独建立用户数据库文件,虚拟出用来进行口令验证的账户信息,
           而这些账户信息在服务器系统中实际上是不存在的,仅供FTP服务程序进行认证使用。这样,即使黑客破解了账户信息也无法登录服务器,从而有效降低了破坏范围和影响。
    

    ftp是Linux系统中以命令行界面的方式来管理FTP传输服务的客户端工具。  

    [root@zhangjh ~]# yum install ftp -y
    
    • 匿名访问模式

      匿名用户开放的权限参数以及作用:

    参数 作用
    anonymous_enable=YES 允许匿名访问模式
    anon_umask=022 匿名用户上传文件的umask值
    anon_upload_enable=YES 允许匿名用户上传文件
    anon_mkdir_write_enable=YES 允许匿名用户创建目录
    anon_other_write_enable=YES 允许匿名用户修改目录名称或删除目录
    [root@zhangjh ~]# vim /etc/vsftpd/vsftpd.conf
    anonymous_enable=YES
    anon_umask=022
    anon_upload_enable=YES
    anon_mkdir_write_enable=YES
    anon_other_write_enable=YES
    local_enable=YES
    write_enable=YES
    local_umask=022
    dirmessage_enable=YES
    xferlog_enable=YES
    connect_from_port_20=YES
    xferlog_std_format=YES
    listen=NO
    listen_ipv6=YES
    pam_service_name=vsftpd
    userlist_enable=YES
    tcp_wrappers=YES
    

    在vsftpd服务程序的主配置文件中正确填写参数,然后保存并退出。还需要重启vsftpd服务程序,让新的配置参数生效;

    生产环境一定要把配置过的服务程序加入到开机启动项中,以保证服务器在重启后依然能够正常提供传输服务:  

    [root@zhangjh ~]# systemctl restart vsftpd
    [root@zhangjh ~]# systemctl enable vsftpd
    ln -s '/usr/lib/systemd/system/vsftpd.service' '/etc/systemd/system/multi-user.target.wants/vsftpd.service'
    

    现在就可以在客户端执行ftp命令连接到远程的FTP服务器了。在vsftpd服务程序的匿名开放认证模式下,其账户统一为anonymous,密码为空。

    而且在连接到FTP服务器后,默认访问的是/var/ftp目录。我们可以切换到该目录下的pub目录中,然后尝试创建一个新的目录文件,以检验是否拥有写入权限:

    在vsftpd服务程序的匿名开放认证模式下,默认访问的是/var/ftp目录。查看该目录的权限得知,只有root管理员才有写入权限。所以将目录的所有者身份改成系统账户ftp即可

    [root@zhangjh ~]# chown -Rf ftp /var/ftp/pub
    [root@zhangjh ~]# ftp 192.168.38.251
    Connected to 192.168.38.251 (192.168.38.251).
    220 (vsFTPd 3.0.2)
    Name (192.168.38.251:root): anonymous
    331 Please specify the password.
    Password:
    230 Login successful.
    Remote system type is UNIX.
    Using binary mode to transfer files.
    ftp> cd pub
    250 Directory successfully changed.
    ftp> mkdir files
    257 "/pub/files" created
    ftp> rename files database
    350 Ready for RNTO.
    250 Rename successful.
    ftp> rmdir database
    250 Remove directory operation successful.
    ftp> exit
    221 Goodbye.我
    • 本地用户模式 

     本地用户模式使用的权限参数以及作用:

    参数 作用
    anonymous_enable=NO 禁止匿名访问模式
    local_enable=YES 允许本地用户模式
    write_enable=YES 设置可写权限
    local_umask=022 本地用户模式创建文件的umask值
    userlist_deny=YES 启用“禁止用户名单”,名单文件为ftpusers和user_list
    userlist_enable=YES 开启用户作用名单文件功能
    [root@zhangjh ~]# vim /etc/vsftpd/vsftpd.conf
    anonymous_enable=NO
    local_enable=YES
    write_enable=YES
    local_umask=022
    dirmessage_enable=YES
    xferlog_enable=YES
    connect_from_port_20=YES
    xferlog_std_format=YES
    listen=NO
    listen_ipv6=YES
    pam_service_name=vsftpd
    userlist_enable=YES
    tcp_wrappers=YES
    

    在vsftpd服务程序的主配置文件中正确填写参数,然后保存并退出。还需要重启vsftpd服务程序,让新的配置参数生效。

    [root@zhangjh ~]# systemctl restart vsftpd

    尝试本地用户登录ftp

    [root@zhangjh ~]# ftp 192.168.38.251
    Connected to 192.168.38.251 (192.168.38.251).
    220 (vsFTPd 3.0.2)
    Name (192.168.38.251:root): 
    530 Permission denied.
    Login failed.
    ftp> 
    

    可见,在输入root管理员的密码之前,就已经被系统拒绝访问了。这是因为vsftpd服务程序所在的目录中默认存放着两个名为“用户名单”的文件(ftpusers和user_list)。

    vsftpd服务程序目录中的这两个文件,只要里面写有某用户的名字,就不再允许这位用户登录到FTP服务器上。

    也可以选择ftpusers和user_list文件中没有的一个普通用户尝试登录FTP服务器

    [root@zhangjh ~]# vim /etc/vsftpd/user_list 
    # vsftpd userlist
    # If userlist_deny=NO, only allow users in this file
    # If userlist_deny=YES (default), never allow users in this file, and
    # do not even prompt for a password.
    # Note that the default vsftpd pam config also checks /etc/vsftpd/ftpusers
    # for users that are denied.
    root       #把root用户删除掉
    bin
    daemon
    adm
    lp
    sync
    shutdown
    halt
    mail
    news
    uucp
    operator
    games
    nobody
    

      

    [root@zhangjh ~]# vim /etc/vsftpd/ftpusers
    # Users that are not allowed to login via ftp
    root
    bin
    daemon
    adm
    lp
    sync
    shutdown
    halt
    mail
    news
    uucp
    operator
    games
    nobody
    

      

    这样修改之后就可以用root用户来登录ftp了,也可以选择ftpusers和user_list文件中没有的一个普通用户尝试登录FTP服务器

    其他用户登录:

    [root@zhangjh ~]# ftp 192.168.38.251
    Connected to 192.168.38.251 (192.168.38.251).
    220 (vsFTPd 3.0.2)
    Name (192.168.38.251:root): jianghua
    331 Please specify the password.
    Password:
    230 Login successful.
    Remote system type is UNIX.
    Using binary mode to transfer files.
    ftp> 
    

     root用户登录:

    [root@zhangjh ~]# ftp 192.168.38.251
    Connected to 192.168.38.251 (192.168.38.251).
    220 (vsFTPd 3.0.2)
    Name (192.168.38.251:root): root
    331 Please specify the password.
    Password:
    230 Login successful.
    Remote system type is UNIX.
    Using binary mode to transfer files.
    ftp> 
    

     在采用本地用户模式登录FTP服务器后,默认访问的是该用户的家目录,也就是说,访问的是/home/jianghua目录。而且该目录的默认所有者、所属组都是该用户自己,因此不存在写入权限不足的情况。 

    • 虚拟用户模式

    最安全的一种认证模式,因为安全性较之于前面两种模式有了提升,所以配置流程也会稍微复杂一些。

    第1步:创建用于进行FTP认证的用户数据库文件,其中奇数行为账户名,偶数行为密码。例如,我们分别创建出zhangjianghua和jianghua两个用户,密码均为password

    [root@zhangjh ~]# vim /etc/vsftpd/vuser.list
    zhangjianghua
    password
    jianghua
    password
    

      但是,明文信息既不安全,也不符合让vsftpd服务程序直接加载的格式,因此需要使用db_load命令用哈希(hash)算法将原始的明文信息文件转换成数据库文件,并且降低数据库文件的权限(避免其他人看到数据库文件的内容),然后再把原始的明文信息文件删除。

    [root@zhangjh ~]# db_load -T -t hash -f /etc/vsftpd/vuser.list /etc/vsftpd/vuser.db
    [root@zhangjh ~]# file /etc/vsftpd/vuser.db 
    /etc/vsftpd/vuser.db: Berkeley DB (Hash, version 9, native byte-order)
    [root@zhangjh ~]# chmod 600 /etc/vsftpd/vuser.db 
    [root@zhangjh ~]# rm -f /etc/vsftpd/vuser.list 
    

    第2步:创建vsftpd服务程序用于存储文件的根目录以及虚拟用户映射的系统本地用户。FTP服务用于存储文件的根目录指的是,当虚拟用户登录后所访问的默认位置。

    [root@zhangjh ~]# useradd -d /var/ftproot -s /sbin/nologin virtual
    [root@zhangjh ~]# ls -ld /var/ftproot/
    drwx------. 3 virtual virtual 74 Jun 13 15:54 /var/ftproot/
    [root@zhangjh ~]# chmod -Rf 755 /var/ftproot/
    

    第3步:建立用于支持虚拟用户的PAM文件。

    新建一个用于虚拟用户认证的PAM文件vsftpd.vu,其中PAM文件内的“db=”参数为使用db_load命令生成的账户密码数据库文件的路径,但不用写数据库文件的后缀:

    [root@zhangjh ~]# vim /etc/pam.d/vsftpd.vu
    auth       required     pam_userdb.so db=/etc/vsftpd/vuser
    account    required     pam_userdb.so db=/etc/vsftpd/vuser
    

    第4步:在vsftpd服务程序的主配置文件中通过pam_service_name参数将PAM认证文件的名称修改为vsftpd.vu,PAM作为应用程序层与鉴别模块层的连接纽带,

         可以让应用程序根据需求灵活地在自身插入所需的鉴别功能模块。当应用程序需要PAM认证时,则需要在应用程序中定义负责认证的PAM配置文件,实现所需的认证功能。

     利用PAM文件进行认证时使用的参数以及作用:

    参数 作用
    anonymous_enable=NO 禁止匿名开放模式
    local_enable=YES 允许本地用户模式
    guest_enable=YES 开启虚拟用户模式
    guest_username=virtual 指定虚拟用户账户
    pam_service_name=vsftpd.vu 指定PAM文件
    allow_writeable_chroot=YES 允许对禁锢的FTP根目录执行写入操作,而且不拒绝用户的登录请求
    [root@zhangjh ~]# vim /etc/vsftpd/vsftpd.conf
    anonymous_enable=NO
    local_enable=YES
    guest_enable=YES
    guest_username=virtual
    allow_writeable_chroot=YES
    write_enable=YES
    local_umask=022
    dirmessage_enable=YES
    xferlog_enable=YES
    connect_from_port_20=YES
    xferlog_std_format=YES
    listen=NO
    listen_ipv6=YES
    pam_service_name=vsftpd.vu    #修改为vsftpd.vu
    userlist_enable=YES
    tcp_wrappers=YES
    

    第5步:为虚拟用户设置不同的权限。

    [root@zhangjh ~]# mkdir /etc/vsftpd/vusers_dir
    [root@zhangjh ~]# cd /etc/vsftpd/vusers_dir/
    [root@zhangjh vusers_dir]# touch jianghua
    [root@zhangjh vusers_dir]# vim zhangjianghua
    anon_upload_enable=YES
    anon_mkdir_write_enable=YES
    anon_other_write_enable=YES
    

    然后再次修改vsftpd主配置文件,通过添加user_config_dir参数来定义这两个虚拟用户不同权限的配置文件所存放的路径。

    为了让修改后的参数立即生效,需要重启vsftpd服务程序并将该服务添加到开机启动项中:

    [root@zhangjh ~]# vim /etc/vsftpd/vsftpd.conf
    anonymous_enable=NO
    local_enable=YES
    guest_enable=YES
    guest_username=virtual
    allow_writeable_chroot=YES
    write_enable=YES
    local_umask=022
    dirmessage_enable=YES
    xferlog_enable=YES
    connect_from_port_20=YES
    xferlog_std_format=YES
    listen=NO
    listen_ipv6=YES
    pam_service_name=vsftpd.vu
    userlist_enable=YES
    tcp_wrappers=YES
    user_config_dir=/etc/vsftpd/vusers_dir      #在最后一行添加这一句
    
    [root@zhangjh ~]# systemctl restart vsftpd.service 

    第6步:测试

    zhangjianghua用户可以增删改查  

    [root@zhangjh ~]# ftp 192.168.38.251
    Connected to 192.168.38.251 (192.168.38.251).
    220 (vsFTPd 3.0.2)
    Name (192.168.38.251:root): zhangjianghua
    331 Please specify the password.
    Password:
    230 Login successful.
    Remote system type is UNIX.
    Using binary mode to transfer files.
    ftp> mkdir 111222
    257 "/111222" created
    ftp> rename 111222 database
    350 Ready for RNTO.
    250 Rename successful.
    ftp> rmdir database
    250 Remove directory operation successful.  

      jianghua用户只有查询的权限:

    [root@zhangjh ~]# ftp 192.168.38.251
    Connected to 192.168.38.251 (192.168.38.251).
    220 (vsFTPd 3.0.2)
    Name (192.168.38.251:root): jianghua
    331 Please specify the password.
    Password:
    230 Login successful.
    Remote system type is UNIX.
    Using binary mode to transfer files.
    ftp> mkdir files
    550 Permission denied.
    

      

     

     

    TFTP简单文件传输协议(Trivial File Transfer Protocol)

    简单文件传输协议(Trivial File Transfer Protocol,TFTP)是一种基于UDP协议在客户端和服务器之间进行简单文件传输的协议。顾名思义,它提供不复杂、开销不大的文件传输服务(可将其当作FTP协议的简化版本)。

    TFTP的命令功能不如FTP服务强大,甚至不能遍历目录,在安全性方面也弱于FTP服务。而且,由于TFTP在传输文件时采用的是UDP协议,占用的端口号为69,因此文件的传输过程也不像FTP协议那样可靠。

    但是,因为TFTP不需要客户端的权限认证,也就减少了无谓的系统和网络带宽消耗,因此在传输琐碎(trivial)不大的文件时,效率更高。

    安装TFTP的软件包:

    [root@zhangjh ~]# yum install -y tftp-server tftp
    

    在RHEL 7系统中,TFTP服务是使用xinetd服务程序来管理的。xinetd服务可以用来管理多种轻量级的网络服务,而且具有强大的日志功能。

    简单来说,在安装TFTP软件包后,还需要在xinetd服务程序中将其开启,把默认的禁用(disable)参数修改为no:

    [root@zhangjh ~]# vim /etc/xinetd.d/tftp
    # default: off
    # description: The tftp server serves files using the trivial file transfer 
    #       protocol.  The tftp protocol is often used to boot diskless 
    #       workstations, download configuration files to network-aware printers, 
    #       and to start the installation process for some operating systems.
    service tftp
    {
            socket_type             = dgram
            protocol                = udp
            wait                    = yes
            user                    = root
            server                  = /usr/sbin/in.tftpd
            server_args             = -s /var/lib/tftpboot
            disable                 = no
            per_source              = 11
            cps                     = 100 2
            flags                   = IPv4
    }
    

    然后,重启xinetd服务并将它添加到系统的开机启动项中,以确保TFTP服务在系统重启后依然处于运行状态。

    [root@zhangjh ~]# systemctl restart xinetd.service 
    [root@zhangjh ~]# systemctl enable xinetd
    

    TFTP的根目录为/var/lib/tftpboot,可以使用刚安装好的tftp命令尝试访问其中的文件,亲身体验TFTP服务的文件传输过程。

    在使用tftp命令访问文件时,需要用到的参数如下:

       tftp命令中可用的参数以及作用:

    命令 作用
    ? 帮助信息
    put 上传文件
    get 下载文件
    verbose 显示详细的处理信息
    status 显示当前的状态信息
    binary 使用二进制进行传输
    ascii 使用ASCII码进行传输
    timeout 设置重传的超时时间
    quit 退出
    [root@zhangjh ~]# echo "i am gelute" > /var/lib/tftpboot/readme.txt
    [root@zhangjh ~]# tftp 192.168.38.251
    tftp> get readme.txt
    tftp> quit
    [root@zhangjh ~]# cat readme.txt 
    i am gelute
    


      

  • 相关阅读:
    吃金沙鼎火锅
    吴中路开了一家Boutique hotel(skyfortune)
    吃韩包子
    丽江
    吃成都淘海阁鲍鱼海鲜汤煲
    2007年最好笑的话剧“乱套了”
    不老药白丽格(玉芙蓉)Briglow (www.briglow.com)
    丽江趣事
    看看这个是什么菜
    这是什么动物?
  • 原文地址:https://www.cnblogs.com/zhangjianghua/p/9142805.html
Copyright © 2011-2022 走看看