SaltStack 自动化运维技术文档-配置Proftpd提供软件仓库服务

1、10键入文档标题 作者配置Proftpd提供软件仓库服务刘西洋前言在服务器区域配置FTP服务，主要用来对内网Linux系统提供软件安装源，以满足诸多服务器的软件安装和更新服务。配置CentOS系统平台上的FTP服务可以选择使用vsftpd和proftpd两个软件包中的一个。如果仅仅提供软件仓库服务，使用哪一个软件包都可以。如果还提供基于账户的用户文件存储则使用proftpd较方便一些。配置中发现，出于安全原因，vsftpd不允许用户建立相对于用户根目录的一级目录。最终选择哪一个还是根据实际情况决定。接下来只讲述proftpd的配置过程。因为vsftpd涉及到了一些selinux相关的操作，暂时

2、只能用脚本来实现。这点儿感觉不太爽。理论描述Proftpd软件包采用了epel软件仓库中的软件包。其配置文件使用的是可以正常的配置。所以其saltstack服务状态描述中的内容并没有多少技术含量。只需要将特定的软件包安装后，建立相关目录，同步配置文件到被管端，然后运行服务即可。预配置的proftpd配置文件启用了21端口的ftps服务。另外，被动模式的FTP服务需要用到防火墙的ip_conntrack_ftp模块，所以需要修改/etc/sysconfig/iptable-config文件。如果需要配置http服务，以便于用户通过http下载软件仓库的话，还需要将匿名用户访问的软件仓库文件目录树

3、的selinux标记设置为httpd可以访问的httpd_sys_content_t。自建软件仓库需要向上级节点同步软件包，需要安装rsync客户端。并且设置定期同步脚本。操作步骤配置Proftpd服务通过虚拟接口的形式，在服务器上增加两个网络地址，复制ifcfg-p4p1（或ifcfg-eth0）并修改如下所示rootSSHGateway # more /srv/salt/service/proftpd.sls ftppool-pub: file.directory: - name: /ftp_pool/pub - user: ftp - group: ftp - dir_mode: 755

4、 - file_mode: 644 - recurse: - user - group - mode#确保存在匿名用户使用的pub目录ftppool-home: file.directory: - name: /ftp_pool/home - mode: 755 - user: nobody - group: nobody - dir_mode: 755 - file_mode: 644 - recurse: - user - group - mode#确保存在正常用户根目录proftpd-pem: file.managed: - name: /etc/proftpd/proftpd.pem

5、- source: salt:/conf/proftpd/proftpd.pem - makedirs: Trueproftpd-ca: file.managed: - name: /etc/proftpd/cacert.pem - source: salt:/conf/proftpd/cacert.pem- makedirs: True#配置FTPS用的证书和CA证书proftpd-passwd: file.managed: - name: /etc/proftpd/ftpd.passwd - source: salt:/conf/proftpd/ftpd.passwd - makedirs

6、: Trueproftpd-group: file.managed: - name: /etc/proftpd/ftpd.group - source: salt:/conf/proftpd/ftpd.group - makedirs: True#配置正常用户的用户文件和组文件proftpd-cfg: file.managed: - name: /etc/proftpd.conf - source: salt:/conf/proftpd/proftpd.conf - makedirs: True - require: - file: proftpd-pem - file: proftpd-ca

7、 - file: proftpd-passwd - file: proftpd-group#同步proftpd主配置文件iptables-config: file.managed: - name: /etc/sysconfig/iptables-config - source: salt:/conf/sysconfig/iptables-config#修改iptables属性配置文件，启用ip_conntrack_ftp模块iptables: service: - running - watch: - file: iptables-config#确保iptables运行proftpd: pkg

8、: - installed service: - running - enable: True - require: - pkg: proftpd - watch: - file: proftpd-cfg - file: proftpd-passwd - file: proftpd-group iptables.append: - table: filter - family: ipv4 - chain: INPUT - jump: ACCEPT - match: state - connstate: NEW - dport: 21 - proto: tcp- save: True#安装pro

9、ftpd软件包，启用proftpd服务，开启防火墙21端口。Ftpd.passwd和ftpd.group是正常用户登录ftp时的密码口令文件。其中的用户UID一般使用系统用户nobody的UID，并且/ftp_pool/pub目录的权限也要与此对应。Proftpd.pem文件为其证书文件，一般自己生成。其中proftpd配置文件如下：rootSSHGateway # cat /srv/salt/conf/proftpd/proftpd.conf # -# main configure for# ftp.xiyang-# by locke liu# -ServerAdmin lockexiyan

10、g-ServerName Honliv Group FTP ServerServerIdent on Serv-U FTP Server v6.4 for WinSock ready.ServerType standaloneDefaultServer onUser nobodyGroup nobodyUseIPv6 offPort 21PassivePorts 60000 65535Umask 022DefaultRoot DeferWelcome offDisplayLogin welcome.msgDisplayChdir .messageTimeoutLogin 1200Timeout

11、Idle 600TimeoutNoTransfer 900TimeoutStalled 3600MaxInstances 20MaxLoginAttempts 3UseReverseDNS offAllowOverwrite yesIdentLookups offDelayEngine offUseSendfile offAuthUserFile /etc/proftpd/ftpd.passwdAuthGroupFile /etc/proftpd/ftpd.group# homedir /ftp_pool/home/# userid nobody# groupid nobodyLogForma

12、t default %h %l %u %t %r %s %bLogFormat auth %v %P %h %t %r %sLogFormat write %h %l %u %t %r %s %bSystemLog /var/log/proftpd/proftpd.log TransferLog /var/log/proftpd/transfer.logExtendedLog /var/log/proftpd/access.log WRITE,READ writeExtendedLog /var/log/proftpd/auth.log AUTH auth# Dynamic Shared Ob

13、ject (DSO) loadingLoadModule mod_quotatab.cLoadModule mod_quotatab_file.cLoadModule mod_ctrls_admin.cLoadModule mod_facl.cLoadModule mod_rewrite.cLoadModule mod_tls_shmcache.cLoadModule mod_wrap.cLoadModule mod_wrap2.cLoadModule mod_ifsession.c LangEngine on LangDefault en_US UseEncoding on LangPath

14、 /usr/share/locale/ FactsAdvertise off DenyAll User ftp Group ftp UserAlias anonymous ftp DirFakeUser on ftp DirFakeGroup on ftp RequireValidShell no AccessGrantMsg Anonymous login ok, restrictions apply. MaxClients 50 Sorry, max %m users - try again later WtmpLog off Order Allow,Deny Allow

15、/8 Allow /12 Allow /16 Deny ALL Order Allow,Deny Allow /24 Deny ALL DenyAll TLSEngine on TLSProtocol SSLv3 TLSv1 TLSLog /var/log/proftpd/tls.log TLSRSACertificateFile /etc/proftpd/proftpd.pem TLSRSACertificateKeyFile /etc/proftpd/proftpd.pem TLSCACertificateFile /etc/pro

16、ftpd/cacert.pem TLSRequired off TLSVerifyClient off TLSRenegotiate none QuotaEngine on QuotaDisplayUnits Mb QuotaOptions ScanOnLogin QuotaShowQuotas on QuotaLimitTable file:/var/run/proftpd/ftpquota.limittab QuotaTallyTable file:/var/run/proftpd/ftpquota.tallytab QuotaLog /var/log/proftpd/ftpquota.l

17、og MaxLoginAttempts 3 BanLog /var/log/proftpd/ban.log BanTable /var/run/proftpd/ban.tab BanOnEvent ClientConnectRate 30/00:01:00 01:00:00 Stop connecting frequently BanOnEvent MaxLoginAttempts 5/00:01:00 01:00:00 max login attempts ,retry 1 hour later BanControlsACLs all allow user root From 10.1.1.

18、50 BanEngine off BanEngine on 配置httpd服务为ftp服务同时添加http访问，则只需安装httpd服务即可。其状态描述文件如下：rootSSHGateway # cat /srv/salt/service/proftpd-http.sls include: - package.httpdproftpd-httpd-cfg: file.managed: - name: /etc/httpd/conf/httpd.conf- source: salt:/conf/proftpd/proftpd-httpd.confhttpd: service: - running

19、 - enable: True - watch: - file: proftpd-httpd-cfg iptables.append: - table: filter - family: ipv4 - chain: INPUT - jump: ACCEPT - match: state - connstate: NEW - dport: 80 - proto: tcp- save: True上述文件中，直接引用了预先定义的httpd的软件包定义，其文件内容如下：rootSSHGateway # cat /srv/salt/package/httpd.sls httpd-pkg: pkg: -

20、installed - pkgs: - httpd - mod_ssl - crypto-utils 其中，httpd配置文件仅需修改网站目录，并启用indexes选项即可。/srv/salt/conf/proftpd/proftpd-httpd.conf文件修改部分如下：DocumentRoot /ftp_pool/pub/ Options FollowSymLinks AllowOverride None Options Indexes FollowSymLinks AllowOverride None Order allow,deny Allow from all配置rsync客户端配置

21、rsync客户端，主要操作为安装rsync软件包，将获取软件仓库脚本同步到被管端，然后安排好crontab定期同步即可。其状态描述文件如下：rootSSHGateway # cat /srv/salt/service/rsync/rsync-get-repo.slsrsync: pkg: - installedrsync-cmd-get-repo: file.managed: - name: /var/sysmgmt/rsync-get-repo.sh - source: salt:/conf/rsync/rsync-get-repo.sh- mode: 744rsync-crond-get-repo: cron.present: - name: /var/sysmgmt/rsync-get-repo.sh - user: root - minute: 0 - h