LNS_PPT_CHAP2_V1.2

1、Page 1/37第第1章内容回顾章内容回顾v通过通过DHCP服务器可以对局域网中的主机进行服务器可以对局域网中的主机进行IP地址的集中管理地址的集中管理 vLinux主机作为主机作为DHCP客户机，需要在网络接口配客户机，需要在网络接口配置文件中进行设置置文件中进行设置v使用使用NIS服务器可以实现服务器可以实现Linux系统中用户帐号等系统中用户帐号等系统信息的集中管理系统信息的集中管理 vNIS服务器主机中需要运行服务器主机中需要运行portmap和和ypserv服服务程序务程序 vNIS客户主机中，需要运行客户主机中，需要运行ypbind服务程序服务程序FTPFTPFTP服务器服务器服

2、务器服务器服务器服务器第第2章章Page 3/37本章目标本章目标v了解了解FTP服务的基本概念服务的基本概念v了解常用的了解常用的FTP服务器和服务器和FTP客户端软件客户端软件v掌握掌握vsftpd服务器的配置和管理服务器的配置和管理v掌握使用掌握使用ftp命令对命令对FTP服务器进行测试服务器进行测试Page 4/37本章结构本章结构FTP服务器服务器FTP服务概述服务概述FTP服务的安装服务的安装和简单配置和简单配置 FTP服务器及基本原理服务器及基本原理 ftp命令与命令与FTP客户端软件客户端软件 安装安装vsftpd vsftpd服务器的配置基本服务器的配置基本 vsftpd服务

3、的启动和关闭服务的启动和关闭 配置配置FTP服务器的虚拟用户服务器的虚拟用户 典型典型FTP服务器设置服务器设置 FTP服务应用服务应用举例举例 Page 5/37FTP服务器及基本原理服务器及基本原理 vFTP服务的基本概念服务的基本概念 FTP是用于进行文件传输的网络协议是用于进行文件传输的网络协议 FTP服务中分为服务器和客户机两个角色服务中分为服务器和客户机两个角色vFTP服务器的传输模式服务器的传输模式 主动模式：由服务器主动连接客户机建立数据链路主动模式：由服务器主动连接客户机建立数据链路 被动模式：被动模式：FTP服务器等待客户机建立数据链路服务器等待客户机建立数据链路vFTP服

4、务器使用的端口服务器使用的端口 21端口用于与客户机建立命令链路端口用于与客户机建立命令链路 在主动模式下服务器使用在主动模式下服务器使用20端口向客户机建立数据链端口向客户机建立数据链路路Page 6/37主动模式的连接过程主动模式的连接过程1：FTP客户机由大于客户机由大于1024的的N端口向端口向FTP服务器的服务器的21端口发端口发出请求建立命令链路出请求建立命令链路2：FTP服务器由服务器由21端口向端口向FTP客户机的客户机的N端口回应，确认建立端口回应，确认建立命令链路命令链路3：FTP服务器由服务器由20端口向端口向FTP客户机的客户机的N+1端口主动建立数据端口主动建立数据链

5、路连接链路连接4：FTP客户机由客户机由N+1端口向端口向FTP服务器的服务器的20端口回应，确端口回应，确认数据链路的建立认数据链路的建立Page 7/37被动模式的连接过程被动模式的连接过程1：FTP客户机由大于客户机由大于1024的的N端口向端口向FTP服务器的服务器的21端口发端口发出请求建立命令链路出请求建立命令链路2：FTP服务器由服务器由21端口向端口向FTP客户机的客户机的N端口回应，确认建立端口回应，确认建立命令链路命令链路3：FTP服务器会通过已建立的服务器会通过已建立的数据链路通知客户机自己已经数据链路通知客户机自己已经打开了大于打开了大于1024的端口的端口M，用，用于

6、建路数据链路；当需要传输于建路数据链路；当需要传输数据时，数据时，FTP客户机会通过客户机会通过N+1端口向端口向FTP服务器的服务器的M端口请求端口请求建立数据链路建立数据链路4：FTP服务器在服务器在M端口监听到端口监听到FTP客户机的连接请求后，将从客户机的连接请求后，将从M端口向端口向FTP客户机的客户机的N+1端口端口确认数据链路的建立确认数据链路的建立Page 8/37常用常用FTP服务器软件服务器软件 vWindows下常用的下常用的FTP服务器软件服务器软件 IIS具有具有FTP服务器的功能服务器的功能 Serv-U是流行的是流行的FTP服务器软件服务器软件vLinux下的下的

7、FTP服务器服务器 Wu-ftpd出现较早，运行稳定，安全性稍差出现较早，运行稳定，安全性稍差 Proftpd在配置文件和安全性方面有很大改进在配置文件和安全性方面有很大改进 vsftpd着重强调服务的安全性，运行效率也很高着重强调服务的安全性，运行效率也很高vvsftpd服务器是本章学习的重点服务器是本章学习的重点Page 9/37ftp命令作为命令作为FTP客户端客户端vftp命令是最基本的命令是最基本的FTP客户端软件客户端软件 在在Linux和和Windows系统中都默认提供系统中都默认提供ftp命令命令 ftp命令的交互环境中使用命令对命令的交互环境中使用命令对FTP服务器进行操作服

8、务器进行操作 ftp中很多命令与中很多命令与Bash中的命令类似中的命令类似 binary设置传输二进制文件，设置传输二进制文件，ascii设置传输文本文件设置传输文本文件 get命令用于下载文件，命令用于下载文件，put命令用于上传文件命令用于上传文件 mget和和mput用于一次下载或上传多个文件用于一次下载或上传多个文件 bye命令可退出命令可退出ftp命令交互环境命令交互环境Page 10/37FTP客户端软件客户端软件 vFTP客户端软件的特点客户端软件的特点 运行在图形环境下的窗口程序运行在图形环境下的窗口程序 可使用鼠标和通过菜单进行操作可使用鼠标和通过菜单进行操作 用户界面友好

9、，操作方便用户界面友好，操作方便v常用常用FTP客户端软件客户端软件 CuteFTP是是Windows下流行的商业软件下流行的商业软件 Filezilla是是Windows下运行的开源软件下运行的开源软件 gftp是是Linux中中GNOME桌面环境中运行的桌面环境中运行的FTP客户端客户端软件，是软件，是GNOME的重要组成部分的重要组成部分Page 11/37安装安装vsftpd vvsftpd的安装需要注意以下几点的安装需要注意以下几点 RHEL4系统中默认没有安装系统中默认没有安装vsftpd服务器服务器 vsftpd服务器的安装文件位于第服务器的安装文件位于第1张安装光盘中张安装光盘

10、中 安装文件名称是安装文件名称是vsftpd-2.0.1-5.i386.rpm 使用使用rpm命名可顺利安装该软件包命名可顺利安装该软件包# rpm -ivh vsftpd-2.0.1-5.i386.rpm Page 12/37vsftpd.conf配置文件配置文件 vvsftpd.conf是是vsftpd服务器的主配置文件服务器的主配置文件/etc/vsftpd/vsftpd.conf v配置文件中所有的配置项都有相同的格式配置文件中所有的配置项都有相同的格式anonymous_enable=YESv配置文件中的注释行以配置文件中的注释行以“#”开始开始v配置文件的详细帮助信息可查询手册页配

11、置文件的详细帮助信息可查询手册页# man vsftpd.confPage 13/37vsftpd服务器的缺省配置服务器的缺省配置 vvsftpd.conf文件中的缺省配置为：文件中的缺省配置为：anonymous_enable=YESlocal_enable=YESwrite_enable=YESlocal_umask=022dirmessage_enable=YESxferlog_enable=YESconnect_from_port_20=YESxferlog_std_format=YESpam_service_name=vsftpduserlist_enable=YESlisten=Y

12、EStcp_wrappers=YESanonymous_enable设置为设置为“YES”时时FTP服务器允许匿名登录服务器允许匿名登录local_enable设置为设置为“YES”时允许时允许本地用户登录本地用户登录 write_enable设置为设置为“YES”时时FTP服服务器开放对本地用户的写权限务器开放对本地用户的写权限local_umask设置项设置本地用户的设置项设置本地用户的文件生成掩码文件生成掩码dirmessage_enable设置为设置为“YES”时当切换到时当切换到FTP服务器中的某个目录服务器中的某个目录时，将显示该目录下的时，将显示该目录下的.message隐隐含文

13、件的内容含文件的内容xferlog_enable设置为设置为“YES”时时FTP服务器将启用上传和下载日志服务器将启用上传和下载日志connect_from_port_20设置为设置为“YES”时时FTP服务器将启用服务器将启用FTP数据端口的连接请数据端口的连接请求求xferlog_std_format设置为设置为“YES”时时FTP服服务器将使用标准的务器将使用标准的ftpd xferlog日志格式日志格式pam_service_name设置设置PAM认证服务认证服务的配置文件名称的配置文件名称userlist_enable设置为设置为“YES”时时FTP服务服务器将检查器将检查userl

14、ist_file设置文件中指定的用设置文件中指定的用户是否可以访问户是否可以访问vsftpd服务器服务器listen设置为设置为“YES”时时FTP服务器将服务器将处于独立启动模式处于独立启动模式 tcp_wrappers设置为设置为“YES”时时FTP服务器服务器将使用将使用tcp_wrappers作为主机访问控制方作为主机访问控制方式式 Page 14/37vsftpd.ftpusers文件文件 vvsftpd.ftpusers用于保存不允许进行用于保存不允许进行FTP登录的登录的本地用户帐号本地用户帐号# head -5 /etc/vsftpd.ftpusers# Users that

15、are not allowed to login via ftprootbindaemonadm vvsftpd.ftpusers文件中可禁止高权限本地用户登文件中可禁止高权限本地用户登录录FTP服务器，提高了系统的安全性服务器，提高了系统的安全性Page 15/37vsftpd.user_list文件文件 vvsftpd.user_list文件具有对文件具有对vsftpd服务器更灵活服务器更灵活的用户访问控制的用户访问控制/etc/vsftpd.user_list v使用使用vsftpd.user_list文件需要在主配置文件中进文件需要在主配置文件中进行设置行设置 设置禁止设置禁止vsft

16、pd.user_list文件中的用户登录文件中的用户登录userlist_enable=YESuserlist_deny=YES 设置只允许设置只允许vsftpd.user_list文件中的用户登录文件中的用户登录userlist_enable=YESuserlist_deny=NO Page 16/37匿名用户登录匿名用户登录 vvsftpd服务器提供匿名用户登录的功能服务器提供匿名用户登录的功能 匿名用户使用的登录用户名匿名用户使用的登录用户名anonymousftp 匿名匿名FTP用户登录的口令通常是使用用户的用户登录的口令通常是使用用户的E-mail地地址，在址，在vsftpd中输入任

17、何字符串或直接回车都可以登中输入任何字符串或直接回车都可以登录录 所有匿名用户都登录到相同的目录中所有匿名用户都登录到相同的目录中/var/ftp FTP服务器的匿名登录可用于构建公共的文件下载服务服务器的匿名登录可用于构建公共的文件下载服务器器Page 17/37vsftpd服务的启动和关闭服务的启动和关闭 v服务器启动脚本服务器启动脚本 启动脚本名称是启动脚本名称是vsftpd/etc/init.d/vsftpd vsftpd服务需要设置在运行级别服务需要设置在运行级别3和和5自动启动自动启动# chkconfig -level 35 vsftpd on 服务器启动服务器启动# servi

18、ce vsftpd start 服务器停止服务器停止# service vsftpd stop 服务器状态查询服务器状态查询# service vsftpd status Page 18/37使用使用ftp命令登录命令登录FTP服务器服务器vftp命令登录命令登录FTP服务器的格式服务器的格式# ftp v匿名登录匿名登录 使用用户名使用用户名anonymous或或ftp 登录的登录的FTP根目录为系统目录根目录为系统目录“/var/ftp”v本地用户登录本地用户登录 使用系统用户帐号和口令登录使用系统用户帐号和口令登录ftp服务器服务器 登录登录FTP服务器后的目录为

19、用户宿主目录，用户可转服务器后的目录为用户宿主目录，用户可转换到系统中的其他目录换到系统中的其他目录Page 19/37FTP本地用户帐号的问题本地用户帐号的问题v使用使用FTP本地用户帐号存在安全性问题本地用户帐号存在安全性问题 FTP本地用户使用本地用户使用Linux系统用户帐号，存在安全隐患系统用户帐号，存在安全隐患 使用虚拟帐号替代本地用户帐号可以增强系统的安全性使用虚拟帐号替代本地用户帐号可以增强系统的安全性 本地用户登录本地用户登录FTP目录后可从宿主目录转换到其他目目录后可从宿主目录转换到其他目录，不是很安全录，不是很安全 可以设置将本地用户禁锢在宿主目录中可以设置将本地用户禁锢

20、在宿主目录中Page 20/37将将FTP本地用户禁锢在宿主目录中本地用户禁锢在宿主目录中 v在在vsftpd.conf文件中添加设置项文件中添加设置项chroot_local_user=YES v重新启动重新启动vsftpd服务服务# service vsftpd restart v使用使用ftp客户端验证客户端验证 本地用户登录本地用户登录FTP服务器后，宿主目录将作为根（服务器后，宿主目录将作为根（/）目录目录Page 21/37阶段总结阶段总结FTP是进行文件传输的网络协议是进行文件传输的网络协议FTP服务器和客户机软件在服务器和客户机软件在Linux和和Windows平平台都有多种选

21、择台都有多种选择vsftpd是以安全见长的是以安全见长的FTP服务器软件服务器软件FTP客户端可以是客户端可以是ftp命令或窗口程序命令或窗口程序vsftpd服务使用服务使用vsftpd.conf文件进行核心配置文件进行核心配置vsftpd服务器的启动脚本是服务器的启动脚本是vsftpdvsftpd默认配置支持匿名用户登录和本地用户登默认配置支持匿名用户登录和本地用户登录录Page 22/37阶段练习阶段练习J查看查看vsftpd.conf配置文件的默认设置配置文件的默认设置J使用使用ftp命令匿名登录命令匿名登录FTP服务器服务器Page 23/37vsftpd中支持的用户类型中支持的用户类

22、型 v匿名用户匿名用户 使用公共的用户帐号进行登录，通常用于提供公共文使用公共的用户帐号进行登录，通常用于提供公共文件下载服务件下载服务v本地用户本地用户 使用使用Linux系统用户帐号登录，每个用户都使用各自的系统用户帐号登录，每个用户都使用各自的宿主目录宿主目录v虚拟用户虚拟用户 使用独立的文件保存虚拟帐号，安全性较好，可替代使用独立的文件保存虚拟帐号，安全性较好，可替代本地用户本地用户Page 24/37vsftpd虚拟用户帐号的设置步骤虚拟用户帐号的设置步骤 1. 建立虚拟用户口令库文件建立虚拟用户口令库文件2. 生成生成vsftpd的认证文件的认证文件3. 建立虚拟用户所需的建立虚拟

23、用户所需的PAM配置文件配置文件4. 建立虚拟用户所要访问的目录并设置相应权限建立虚拟用户所要访问的目录并设置相应权限5. 设置设置vsftpd.conf配置文件配置文件Page 25/37vsftpd虚拟用户配置虚拟用户配置3-1v建立虚拟用户口令库文件建立虚拟用户口令库文件 口令库文件中奇数行设置用户名，偶数行设置口令口令库文件中奇数行设置用户名，偶数行设置口令 # cat logins.txt mikepwabcdjohnpw1234v生成生成vsftpd的认证文件的认证文件 使用使用db_load命令生成认证文件命令生成认证文件# db_load -T -t hash -f login

24、s.txt /etc/vsftpd/vsftpd_login.db 设置认证文件只对用户可读可写设置认证文件只对用户可读可写 # chmod 600 /etc/vsftpd/vsftpd_login.db Page 26/37vsftpd虚拟用户配置虚拟用户配置3-2v建立虚拟用户所需的建立虚拟用户所需的PAM配置文件配置文件 手工建立手工建立vsftpd.vu文件文件# cat /etc/pam.d/vsftpd.vuauth required /lib/security/pam_userdb.so db=/etc/vsftpd/vsftpd_loginaccount required /l

25、ib/security/pam_userdb.so db=/etc/vsftpd/vsftpd_login v建立虚拟用户及要访问的目录并设置相应的权限建立虚拟用户及要访问的目录并设置相应的权限 建立所有建立所有FTP虚拟用户帐号使用的系统用户帐号，并虚拟用户帐号使用的系统用户帐号，并设置该帐号宿主目录的权限设置该帐号宿主目录的权限# useradd -d /home/ftpsite virtual# chmod 700 /home/ftpsite/ Page 27/37vsftpd虚拟用户配置虚拟用户配置3-3v设置设置vsftpd.conf配置文件配置文件 在配置文件中添加虚拟用户的配置内

26、容在配置文件中添加虚拟用户的配置内容guest_enable=YESguest_username=virtualpam_service_name=vsftpd.vu v重新启动重新启动vsftpd服务程序服务程序 对对vsftpd.conf文件修改后需要重新启动文件修改后需要重新启动vsftpd服务程服务程序序# service vsftpd restart Page 28/37测试虚拟用户帐号的测试虚拟用户帐号的FTP登录登录v使用使用ftp命令登录命令登录FTP服务器服务器 使用已配置的虚拟用户名和口令登录使用已配置的虚拟用户名和口令登录FTP服务器，如服务器，如能够正常登录说明虚拟帐号配

27、置成功能够正常登录说明虚拟帐号配置成功 为了系统的安全，缺省配置的虚拟用户只具有较低的为了系统的安全，缺省配置的虚拟用户只具有较低的用户权限用户权限 可以通过为每个虚拟用户建立独立的配置文件增加用可以通过为每个虚拟用户建立独立的配置文件增加用户的权限户的权限Page 29/37对虚拟用户设置不同的权限对虚拟用户设置不同的权限v设置主配置文件设置主配置文件 在在vsftpd.conf文件中添加用户配置文件目录设置文件中添加用户配置文件目录设置user_config_dir=/etc/vsftpd_user_conf v建立用户配置文件目录建立用户配置文件目录 使用使用mkdir命令建立用户配置文

28、件目录命令建立用户配置文件目录# mkdir /etc/vsftpd_user_conf v为虚拟用户建立单独的配置文件为虚拟用户建立单独的配置文件 用户配置文件名称与用户名相同用户配置文件名称与用户名相同/etc/vsftpd_user_conf/mike /etc/vsftpd_user_conf/johnPage 30/37虚拟用户配置文件中的配置项虚拟用户配置文件中的配置项v每个每个FTP虚拟用户都可以独立设置其权限虚拟用户都可以独立设置其权限anon_world_readable_only=NOanon_upload_enable=YESanon_mkdir_write_enable

29、=YESanon_other_write_enable=YES “anon_world_readable_only=NO”表示用户可以浏览表示用户可以浏览FTP目录和下载目录和下载文件文件 “anon_upload_enable=YES”表示表示用户可以上传文件用户可以上传文件 “anon_mkdir_write_enable=YES”表示用户具有建立和删除目录的权利表示用户具有建立和删除目录的权利 “anon_other_write_enable=YES”表示表示用户具有文件改名和删除文件的权限用户具有文件改名和删除文件的权限 Page 31/37配置配置vsftpd服务器中的资源限制服务器

30、中的资源限制vvsftpd服务器中的资源使用可以进行限制服务器中的资源使用可以进行限制max_clients=100max_per_ip=5local_max_rate=500000anon_max_rate=200000 max_clients设置项用于设置设置项用于设置FTP服务服务器所允许的最大客户端连接数，值为器所允许的最大客户端连接数，值为0时表示不限制时表示不限制 max_per_ip设置项用于设置对于同一设置项用于设置对于同一IP地址允许的最大客户端连接数，值为地址允许的最大客户端连接数，值为0时表示不限制时表示不限制 local_max_rate设置项用于设置本地设置项用于设置

31、本地用户的最大传输速率，单位为用户的最大传输速率，单位为bytes/sec，值为，值为0时表示不限制时表示不限制 anon_max_rate设置项用于设置匿名设置项用于设置匿名用户的最大传输速率，单位为用户的最大传输速率，单位为bytes/sec，值为，值为0表示不限制表示不限制 Page 32/37阶段总结阶段总结vsftpd服务器中可使用匿名用户、本地用户和虚服务器中可使用匿名用户、本地用户和虚拟用户三种用户类型拟用户三种用户类型FTP服务器中的虚拟用户与本地用户功能类似，服务器中的虚拟用户与本地用户功能类似，但更加安全但更加安全vsftpd服务器中使用虚拟用户需要维护独立的用服务器中使用虚拟用户需要维护独立的用户口令库文件户口令库文件vsftpd中的每个虚拟用户可以建立用户配置文件中的每个虚拟用户可以建立用户配置文件用于设置独立的用户权限用于设置独立的用户权限vsftpd中可以限制客户机对服务器资源的使用中可以限制客户机对服务器资源的使用Page 33/37阶