RedHat65搭建FTP服务完整安装步骤.docx
《RedHat65搭建FTP服务完整安装步骤.docx》由会员分享，可在线阅读，更多相关《RedHat65搭建FTP服务完整安装步骤.docx（13页珍藏版）》请在冰豆网上搜索。
RedHat65搭建FTP服务完整安装步骤
先说明，在网上找的一个"我见过的最好的vsftpd"的配置，按照他的步骤安装，基本正确，唯一是在64位机器中的一个pam验证的路径问题导致登录不上。
具体安装步骤：
一.安装：
1.安装Vsftpd服务相关部件：
[root@KcentOS5~]#yum-yinstallvsftpd*
2.确认安装PAM服务相关部件：
[root@KcentOS5~]#yum-yinstallpam*
开发包，其实不装也没有关系，主要的目的是确认PAM。
3.安装DB4部件包：
这里要特别安装一个db4的包，用来支持文件数据库。
[root@KcentOS5~]#yum-yinstalldb4*
二.系统帐户
1.建立Vsftpd服务的宿主用户：
[root@KcentOS5~]#useraddvsftpd-s/sbin/nologin
默认的Vsftpd的服务宿主用户是root，但是这不符合安全性的需要。
这里建立名字为vsftpd的用户，用他来作为支持Vsftpd的服务宿主用户。
由于该用户仅用来支持Vsftpd服务用，因此没有许可他登陆系统的必要，并设定他为不能登陆系统的用户。
2.建立Vsftpd虚拟宿主用户：
[root@KcentOS5nowhere]#useraddoverlord-s/sbin/nologin
本篇主要是介绍Vsftp的虚拟用户，虚拟用户并不是系统用户，也就是说这些FTP的用户在系统中是不存在的。
他们的总体权限其实是集中寄托在一个在系统中的某一个用户身上的，所谓Vsftpd的虚拟宿主用户，就是这样一个支持着所有虚拟用户的宿主用户。
由于他支撑了FTP的所有虚拟的用户，那么他本身的权限将会影响着这些虚拟的用户，因此，处于安全性的考虑，也要非分注意对该用户的权限的控制，该用户也绝对没有登陆系统的必要，这里也设定他为不能登陆系统的用户。
（这里插一句：
原本在建立上面两个用户的时候，想连用户主路径也不打算给的。
本来想加上-d/home/nowhere的，据manuseradd手册上讲述：
“ -d,--homeHOME_DIR
ThenewuserwillbecreatedusingHOME_DIRasthevalueforthe
user鈙logindirectory.ThedefaultistoappendtheLOGINnameto
BASE_DIRandusethatasthelogindirectoryname.Thedirectory
HOME_DIRdoesnothavetoexistbutwillnotbecreatedifitis
missing.
使用-d参数指定用户的主目录，用户主目录并不是必须存在的。
如果没有存在指定的目录的话，那么它将不会被建立”。
三.调整Vsftpd的配置文件：
1.编辑配置文件前先备份
[root@KcentOS5~]#cp/etc/vsftpd/vsftpd.conf/etc/vsftpd/vsftpd.conf.backup
2.编辑主配置文件Vsftpd.conf
[root@KcentOS5~]#vi/etc/vsftpd/vsftpd.conf
这里我将原配置文件的修改完全记录，凡是修改的地方我都会保留注释原来的配置。
其中加入我对每条配置项的认识，对于一些比较关键的配置项这里我做了我的观点，并且原本英语的说明我也不删除，供参考对比用。
------------------------------------------------------------------------------
#AllowanonymousFTP?
（Beware-allowedbydefaultifyoucommentthisout）.
#anonymous_enable=YES
anonymous_enable=NO
设定不允许匿名访问
#
#Uncommentthistoallowlocaluserstologin.
local_enable=YES
设定本地用户可以访问。
注意：
主要是为虚拟宿主用户，如果该项目设定为NO那么所有虚拟用户将无法访问。
#
#UncommentthistoenableanyformofFTPwritecommand.
write_enable=YES
设定可以进行写操作。
#
#Defaultumaskforlocalusersis077.Youmaywishtochangethisto022,
#ifyourusersexpectthat（022isusedbymostotherftpd's）
local_umask=022
设定上传后文件的权限掩码。
#
#UncommentthistoallowtheanonymousFTPusertouploadfiles.Thisonly
#hasaneffectiftheaboveglobalwriteenableisactivated.Also,youwill
#obviouslyneedtocreateadirectorywritablebytheFTPuser.
#anon_upload_enable=YES
anon_upload_enable=NO
禁止匿名用户上传。
#
#UncommentthisifyouwanttheanonymousFTPusertobeabletocreate
#newdirectories.
#anon_mkdir_write_enable=YES
anon_mkdir_write_enable=NO
禁止匿名用户建立目录。
#
#Activatedirectorymessages-messagesgiventoremoteuserswhenthey
#gointoacertaindirectory.
dirmessage_enable=YES
设定开启目录标语功能。
#
#Activateloggingofuploads/downloads.
xferlog_enable=YES
设定开启日志记录功能。
#
#MakesurePORTtransferconnectionsoriginatefromport20（ftp-data）.
connect_from_port_20=YES
设定端口20进行数据连接。
#
#Ifyouwant,youcanarrangeforuploadedanonymousfilestobeownedby
#adifferentuser.Note!
Using"root"foruploadedfilesisnot
#recommended!
#chown_uploads=YES
chown_uploads=NO
设定禁止上传文件更改宿主。
#chown_username=whoever
#
#Youmayoverridewherethelogfilegoesifyoulike.Thedefaultisshown
#below.
xferlog_file=/var/log/vsftpd.log
设定Vsftpd的服务日志保存路径。
注意，该文件默认不存在。
必须要手动touch出来，并且由于这里更改了Vsftpd的服务宿主用户为手动建立的Vsftpd。
必须注意给与该用户对日志的写入权限，否则服务将启动失败。
#
#Ifyouwant,youcanhaveyourlogfileinstandardftpdxferlogformat
xferlog_std_format=YES
设定日志使用标准的记录格式。
#
#Youmaychangethedefaultvaluefortimingoutanidlesession.
#idle_session_timeout=600
设定空闲连接超时时间，这里使用默认。
将具体数值留给每个具体用户具体指定，当然如果不指定的话，还是使用这里的默认值600，单位秒。
#
#Youmaychangethedefaultvaluefortimingoutadataconnection.
#data_connection_timeout=120
设定单次最大连续传输时间，这里使用默认。
将具体数值留给每个具体用户具体指定，当然如果不指定的话，还是使用这里的默认值120，单位秒。
#
#Itisrecommendedthatyoudefineonyoursystemauniqueuserwhichthe
#ftpservercanuseasatotallyisolatedandunprivilegeduser.
#nopriv_user=ftpsecure
nopriv_user=vsftpd
设定支撑Vsftpd服务的宿主用户为手动建立的Vsftpd用户。
注意，一旦做出更改宿主用户后，必须注意一起与该服务相关的读写文件的读写赋权问题。
比如日志文件就必须给与该用户写入权限等。
#
#EnablethisandtheserverwillrecogniseasynchronousABORrequests.Not
#recommendedforsecurity（thecodeisnon-trivial）.Notenablingit,
#however,mayconfuseolderFTPclients.
async_abor_enable=YES
设定支持异步传输功能。
#
#BydefaulttheserverwillpretendtoallowASCIImodebutinfactignore
#therequest.TurnonthebelowoptionstohavetheserveractuallydoASCII
#manglingonfileswheninASCIImode.
#BewarethatonsomeFTPservers,ASCIIsupportallowsadenialofservice
#attack（DoS）viathecommand"SIZE/big/file"inASCIImode.vsftpd
#predictedthisattackandhasalwaysbeensafe,reportingthesizeofthe
#rawfile.
#ASCIImanglingisahorriblefeatureoftheprotocol.
ascii_upload_enable=YES
ascii_download_enable=YES
设定支持ASCII模式的上传和下载功能。
#
#Youmayfullycustomisetheloginbannerstring:
ftpd_banner=ThisVsftpserversupportsvirtualusers^_^
设定Vsftpd的登陆标语。
#
#Youmayspecifyafileofdisallowedanonymouse-mailaddresses.Apparently
#usefulforcombattingcertainDoSattacks.
#deny_email_enable=YES
#（defaultfollows）
#banned_email_file=/etc/vsftpd/banned_emails
#
#Youmayspecifyanexplicitlistoflocaluserstochroot（）totheirhome
#directory.Ifchroot_local_userisYES,thenthislistbecomesalistof
#userstoNOTchroot（）.
#chroot_list_enable=YES
chroot_list_enable=NO
禁止用户登出自己的FTP主目录。
#（defaultfollows）
#chroot_list_file=/etc/vsftpd/chroot_list
#
#Youmayactivatethe"-R"optiontothebuiltinls.Thisisdisabledby
#defaulttoavoidremoteusersbeingabletocauseexcessiveI/Oonlarge
#sites.However,somebrokenFTPclientssuchas"ncftp"and"mirror"assume
#thepresenceofthe"-R"option,sothereisastrongcaseforenablingit.
#ls_recurse_enable=YES
ls_recurse_enable=NO
禁止用户登陆FTP后使用"ls-R"的命令。
该命令会对服务器性能造成巨大开销。
如果该项被允许，那么挡多用户同时使用该命令时将会对该服务器造成威胁。
#When"listen"directiveisenabled,vsftpdrunsinstandalonemodeand
#listensonIPv4sockets.Thisdirectivecannotbeusedinconjunction
#withthelisten_ipv6directive.
listen=YES
设定该Vsftpd服务工作在StandAlone模式下。
顺便展开说明一下，所谓StandAlone模式就是该服务拥有自己的守护进程支持，在ps-A命令下我们将可用看到vsftpd的守护进程名。
如果不想工作在StandAlone模式下，则可以选择SuperDaemon模式，在该模式下vsftpd将没有自己的守护进程，而是由超级守护进程Xinetd全权代理，与此同时，Vsftp服务的许多功能将得不到实现。
#
#ThisdirectiveenableslisteningonIPv6sockets.TolistenonIPv4andIPv6
#sockets,youmustruntwocopiesofvsftpdwhithtwoconfigurationfiles.
#Makesure,thatoneofthelistenoptionsiscommented!
!
#listen_ipv6=YES
pam_service_name=vsftpd
设定PAM服务下Vsftpd的验证配置文件名。
因此，PAM验证将参考/etc/pam.d/下的vsftpd文件配置。
userlist_enable=YES
设定userlist_file中的用户将不得使用FTP。
tcp_wrappers=YES
设定支持TCPWrappers。
#KC:
Thefollowingentriesareaddedforsupportingvirtualftpusers.
以下这些是关于Vsftpd虚拟用户支持的重要配置项目。
默认Vsftpd.conf中不包含这些设定项目，需要自己手动添加配置。
guest_enable=YES
设定启用虚拟用户功能。
guest_username=overlord
指定虚拟用户的宿主用户。
virtual_use_local_privs=YES
设定虚拟用户的权限符合他们的宿主用户。
user_config_dir=/etc/vsftpd/vconf
设定虚拟用户个人Vsftp的配置文件存放路径。
也就是说，这个被指定的目录里，将存放每个Vsftp虚拟用户个性的配置文件，一个需要注意的地方就是这些配置文件名必须和虚拟用户名相同。
-------------------------------------------------------------------------
保存退出。
3.建立Vsftpd的日志文件，并更该属主为Vsftpd的服务宿主用户：
[root@KcentOS5~]#touch/var/log/vsftpd.log
[root@KcentOS5~]#chownvsftpd.vsftpd/var/log/vsftpd.log
4.建立虚拟用户配置文件存放路径：
[root@KcentOS5~]#mkdir/etc/vsftpd/vconf/
三.制作虚拟用户数据库文件
1.先建立虚拟用户名单文件：
[root@KcentOS5~]#touch/etc/vsftpd/virtusers
建立了一个虚拟用户名单文件，这个文件就是来记录vsftpd虚拟用户的用户名和口令的数据文件，我这里给它命名为virtusers。
为了避免文件的混乱，我把这个名单文件就放置在/etc/vsftpd/下。
2.编辑虚拟用户名单文件：
[root@KcentOS5~]#vi/etc/vsftpd/virtusers
----------------------------
myFtpUser#改成自己的用户名
123456
near
123456near
mello
123456mello
----------------------------
编辑这个虚拟用户名单文件，在其中加入用户的用户名和口令信息。
格式很简单：
“一行用户名，一行口令”。
3.生成虚拟用户数据文件：
[root@KcentOS5~]#db_load-T-thash-f/etc/vsftpd/virtusers/etc/vsftpd/virtusers.db
#这个命令不是一次性的，每次添加修改用户后都需要执行这个命令。
4.察看生成的虚拟用户数据文件
[root@KcentOS5~]#ll/etc/vsftpd/virtusers.db
-rw-r--r--1rootroot12288Sep1603:
51/etc/vsftpd/virtusers.db
需要特别注意的是，以后再要添加虚拟用户的时候，只需要按照“一行用户名，一行口令”的格式将新用户名和口令添加进虚拟用户名单文件。
但是光这样做还不够，不会生效的哦！
还要再执行一遍“db_load-T-thash-f虚拟用户名单文件虚拟用户数据库文件.db”的命令使其生效才可以！
四.设定PAM验证文件，并指定虚拟用户数据库文件进行读取
1.察看原来的Vsftp的PAM验证配置文件：
[root@KcentOS5~]#cat/etc/pam.d/vsftpd
----------------------------------------------------------------
#%PAM-1.0
sessionoptionalpam_keyinit.soforcerevoke
authrequiredpam_listfile.soitem=usersense=denyfile=/etc/vsftpd/ftpusersonerr=succeed
authrequiredpam_shells.so
authincludepassword-auth#这里与原来网上的不同
accountincludepassword-auth#这里与原来网上的不同
sessionrequiredpam_loginuid.so
sessionincludepassword-auth#这里与原来网上的不同
----------------------------------------------------------------
2.在编辑前做好备份：
[root@KcentOS5~]#cp/etc/pam.d/vsftpd/etc/pam.d/vsftpd.backup
3.编辑Vsftpd的PAM验证配置文件
[root@KcentOS5~]#vi/etc/pam.d/vsftpd
----------------------------------------------------------------
#%PAM-1.0
auth sufficient /lib/security/pam_userdb.so db=/etc/vsftpd/virtusers
accountsufficient /lib/security/pam_userdb.so db=/etc/vsftpd/virtusers
sessionoptionalpam_keyinit.soforcerevoke
authrequiredpam_listfile.soitem=usersense=denyfile=/etc/vsftpd/ftpusersonerr=succeed
authrequiredpam_shells.so
authincludepassword-auth#可能与以前网上的资料不同
accountincludepassword-auth#可能与以前网上的资料不同
sessionrequiredpam_loginuid.so
sessionincludepassword-auth#可能与以前网上的资料不同
##注意：
此步骤的黑体文件部分，如果按照上面这么写，会出现登录时无法登录，查看/var/log/secure日志的时候，发现
localhostvsftpd[29417]:
PAMunabletodlopen（/lib/security/pam_userdb.so）:
/lib/security/pam_userdb.so:
cannotopensharedobjectfile:
Nos
uchfileordirectory
原因是64位的操作系统中/lib/security并没有pam_userdb.so
因此，出现这种情况后，将/lib/security/去掉，不写目录。
即：
auth sufficient pam_userdb
升级会员 