01-网络文件共享服务ftp

存储类型

存储类型分为三种

  • 直连式存储：Direct-Attached Storage，简称DAS
    • DAS存储是最常见的一种存储方式，尤其是在中小企业应用中。PC中的硬盘或只有一个外部SCSI接口的JBOD都属于DAS架构。DAS是指存储设备直接连接到服务器总线上，存储设备只与一台独立的主机连接，其他主机不能使用这个存储设备。DAS存储设备与服务器主机之间的连接通道通常采用SCSI连接，DAS存储设备主要是磁盘阵列RAID:、磁盘簇JBOD等
  • 存储区域网络：Storage Area Network，简称SAN
    • 存储区域网络，这个是通过光纤通道或以太网交换机连接存储阵列和服务器主机，最后成为一个专用的存储网络。SAN解决方案通常会采取以下两种形式：光纤信道以及iSCSI或者基于IP的SAN，也就是FC SAN和IP SAN存储区域网络：Storage Area Network，简称SAN
  • 网络附加存储：Network-Attached Storage，简称NAS
    • NAS存储就是存储设备通过标准的网络拓扑结构(比如以太网)添加到一群计算机上。与DAS以及SAN不同，NAS是文件级的存储方法。采用NAS较多的功能是用来进行文件共享。

三种存储比较

FTP 文件传输协议

  • 文件传输协议：File Transfer Protocol 早期的三个应用级协议之一，基于C/S结构
  • 数据传输格式：二进制（默认）和文本
  • 双通道协议：命令和数据连接
  • 两种模式：从服务器角度
    • 主动(PORT style)：服务器主动连接
      • 命令（控制）：客户端：随机port ---> 服务器：21/tcp
      • 数据：客户端：随机port <---服务器：20/tcp
    • 被动(PASV style)：客户端主动连接
      • 命令（控制）：客户端：随机port ---> 服务器：21/tcp
      • 数据：客户端：随机port ---> 服务器：随机port /tcp
  • 范例：服务器被动模式数据端口


ftp> literal pasv


227 Entering Passive Mode (172,16,0,1,224,59)


服务器数据端口为：224*256+59




FTP服务状态码：




1XX：信息      125：数据连接打开
2XX：成功类状态 200：命令OK     230：登录成功
3XX：补充类    331：用户名OK
4XX：客户端错误 425：不能打开数据连接
5XX：服务器错误 530：不能登录




用户认证：


    

  • 匿名用户：ftp,anonymous,对应Linux用户ftp
    • 

  • 系统用户：Linux用户,用户/etc/passwd,密码/etc/shadow
    • 

  • 虚拟用户：特定服务的专用用户，独立的用户/密码文件
    • 



常见 FTP 相关软件 


    

  • 服务端：vsftpd，CentOS 默认FTP服务器
    • 

  • 客户端：ftp，lftp，lftpget，wget，curl 
    • 



vsftpd 软件介绍


    

  • 由 vsftpd 包提供，不再由xinetd管理
    • 

  • 用户认证配置文件：/etc/pam.d/vsftpd
    • 





#启动服务相关文件
/usr/lib/systemd/system/vsftpd.service
/etc/rc.d/init.d/vsftpd

#配置文件：
/etc/vsftpd/vsftpd.conf
配置文件格式：option=value
注意：= 前后不要有空格
#用户和其共享目录
匿名用户（映射为系统用户ftp ）共享文件位置：/var/ftp
系统用户共享文件位置：用户家目录
虚拟用户共享文件位置：专用于FTP服务的用户帐号, 为其映射的系统用户的家目录




vsftpd服务常见配置




    

  • 命令端口：
    • 





listen_port=2121 默认值为21，
范例：lftp 192.168.56.18 -p 2121




    

  • 主动模式端口：
    • 





connect_from_port_20=YES 主动模式端口为20
ftp_data_port=20 （默认） 指定主动模式的端口 




    

  • 被动模式端口范围
    • 





linux ftp 客户端默认使用被动模式
windows ftp 客户端默认使用主动模式
pasv_min_port=6000   0为随机分配，端口范围会影响客户端的并发数
pasv_max_port=6010




    

  • 使用当地时间：
    • 





use_localtime=YES 使用当地时间（默认为NO，使用GMT）




    

  • 

    匿名用户登录
    

    • 









anonymous_enable=YES 支持匿名用户，CentOS8 默认不允许匿名
no_anon_password=YES 匿名用户略过口令检查 , 默认NO






    

  • 匿名用户上传
    • 









anon_upload_enable=YES 匿名上传，注意:文件系统权限
anon_mkdir_write_enable=YES 匿名建目录
setfacl -m u:ftp:rwx /var/ftp/pub






    

  • 注意：还需要开启文件系统访问的权限，不能给FTP根目录写权限，只能给子目录写权限，否则报如下错误
    • 







[root@centos6 ~]#ftp 192.168.56.18
Connected to 192.168.56.18(192.168.56.18).
220 (vsFTPd 3.0.3)
Name (192.168.56.18:root): ftp
331 Please specify the password.
Password:
500 OOPS: vsftpd: refusing to run with writable root inside chroot()
Login failed.
421 Service not available, remote server has closed connection






anon_world_readable_only=NO 只能下载全部读的文件, 默认YES
anon_umask=0333 指定匿名上传文件的umask，默认077，注意：0333中的0不能省略
anon_other_write_enable=YES 可删除和修改上传的文件，默认NO






    

  • 指定匿名用户的上传文件的默认的所有者和权限
    • 







chown_uploads=YES        #默认NO
chown_username=wang
chown_upload_mode=0644






    

  • Linux系统用户
    • 







local_enable=YES 是否允许linux用户登录
write_enable=YES 允许linux用户上传文件
local_umask=022 指定系统用户上传文件的默认权限对应umask






    

  • 将所有系统用户映射为指定的guest用户
    • 







guest_enable=YES 所有系统用户都映射成guest用户
guest_username=ftp   配合上面选项才生效，指定guest用户
local_root=/ftproot 指定guest用户登录所在目录,但不影响匿名用户的登录目录
user_config_dir=/etc/vsftpd/conf.d/ 每个用户独立的配置文件目录






    

  • 范例: 让所有的系统用户映射指定guest用户,并且每个用户目录的不同的
    • 







[root@centos8 ~]#useradd ftpuser
[root@centos8 ~]#vim /etc/vsftpd/vsftpd.conf
guest_enable=YES 
guest_username=ftpuser   
user_config_dir=/etc/vsftpd/conf.d/  #每个用户独立的配置文件目录
[root@centos8 ~]#systemctl restart vsftpd
[root@centos8 ~]#mkdir /etc/vsftpd/conf.d/
[root@centos8 ~]#cat /etc/vsftpd/conf.d/wang
local_root=/ftproot_wang
[root@centos8 ~]#cat /etc/vsftpd/conf.d/mage
local_root=/ftproot_mage
[root@centos8 ~]#mkdir /ftproot_wang
[root@centos8 ~]#mkdir /ftproot_mage




禁锢系统用户 




    

  • 禁锢所有系统用户在家目录中
    • 







chroot_local_user=YES #禁锢系统用户，默认NO，即不禁锢






    

  • 禁锢或不禁锢特定的系统用户在家目录中，与上面设置功能相反 
    • 







chroot_list_enable=YES     #默认是NO
chroot_list_file=/etc/vsftpd/chroot_list   #默认值
当chroot_local_user=YES和chroot_list_enable=YES时，则chroot_list中用户不禁锢，即白名单
当chroot_local_user=NO和chroot_list_enable=YES时， 则chroot_list中用户禁锢，即黑名单






    

  • 日志
    • 







#wu-ftp 日志：默认启用
xferlog_enable=YES #启用记录上传下载日志，此为默认值
xferlog_std_format=YES #使用wu-ftp日志格式，此为默认值
xferlog_file=/var/log/xferlog #可自动生成， 此为默认值
#vsftpd日志：默认不启用
dual_log_enable=YES 使用vsftpd日志格式，默认不启用
vsftpd_log_file=/var/log/vsftpd.log 可自动生成， 此为默认值




提示信息




    

  • 登录前提示信息 
    • 







ftpd_banner="welcome to mage ftp server"
banner_file=/etc/vsftpd/ftpbanner.txt






    

  • 目录访问提示信息 
    • 







dirmessage_enable=YES #此为默认值
message_file=.message #信息存放在指定目录下.message ，此为默认值,只支持单行说明




    

  • PAM模块实现用户访问控制
    • 





pam_service_name=vsftpd
#pam配置文件:/etc/pam.d/vsftpd
/etc/vsftpd/ftpusers 默认文件中用户拒绝登录，默认是黑名单，但也可以是白名单
#范例
[root@centos8 ~]#ldd /usr/sbin/vsftpd |grep pam
       libpam.so.0 => /lib64/libpam.so.0 (0x00007fb286c34000)
#修改PAM配置，使ftpusers成为白名单
[root@centos8 ~]#vim /etc/pam.d/vsftpd
#%PAM-1.0
session   optional     pam_keyinit.so   force revoke
#将sense=deny 修改为 sense=allow
auth       required     pam_listfile.so item=user sense=allow 
file=/etc/vsftpd/ftpusers onerr=succeed
auth       required     pam_shells.so
auth       include     password-auth
account   include     password-auth
session   required     pam_loginuid.so
session   include     password-auth




    

  • 是否启用控制用户登录的列表文件
    • 



 




userlist_enable=YES   此为默认值
userlist_deny=YES(默认值) 黑名单,不提示口令，NO为白名单
userlist_file=/etc/vsftpd/user_list 此为默认值






    

  • vsftpd服务指定用户身份运行
    • 







nopriv_user=nobody   此为默认值






    

  • 连接数限制 
    • 







max_clients=0 #最大并发连接数
如果超出连接，会报如下提示：

max_per_ip=0 #每个IP同时发起的最大连接数
如果超出连接，会报如下提示：






    

  • 传输速率，单位：字节/秒
    • 







anon_max_rate=0 匿名用户的最大传输速率,以字节为单位,比如:1024000表示1MB/s
local_max_rate=0 本地用户的最大传输速率




实验：ftp限速




[root@centos8 ~]#vim /etc/vsftpd/vsftpd.conf
anon_max_rate=1024000
local_max_rate=10240000
[root@centos8 ~]#systemctl restart vsftpd
#生成测试文件
[root@centos8 ~]#dd if=/dev/zero of=/var/ftp/pub/bigfile bs=1M count=100
[root@centos8 ~]#dd if=/dev/zero of=/home/wang/bigfile bs=1M count=100
#测试匿名下载速度
[root@centos7 ~]#wget ftp://192.168.56.18/pub/bigfile
#测试本地用户下载速度
[root@centos7 ~]#wget ftp://chengzi:chengziorg@10.0.0.8/bigfile






    

  • 以文本方式传输

      

    • 以文本方式传输文件时,会自动对文件进行格式转换,比如转换成windows的文本格式
      • 

    

    • 







#启用此选项可使服务器在ASCII模式下实际对文件进行ASCII处理。
#默认是禁用,禁用后，服务器将假装允许ASCII模式，但实际上会忽略激活它的请求
ascii_upload_enable=YES
ascii_download_enable=YES
说明：不建议使用文本方式，因为可能导致二进制文件内容被破坏




vsftpd 虚拟用户 




    

  • 虚拟用户：给特定服务使用的用户帐号

      

    • 所有虚拟用户会统一映射为一个指定的系统帐号：访问共享位置，即为此系统帐号的家目录
      • 

    • 各虚拟用户可被赋予不同的访问权限，通过匿名用户的权限控制参数进行指定
      • 

    

    • 

  • 虚拟用户帐号的存储方式：

      

    • 文件：创建文本文件，奇数行为用户名，偶数行为密码,再被编码为hash 格式Berkeley DB  database文件
      • 

    

    • 







db_load -T -t hash -f vusers.txt vusers.db




    

  • 关系型数据库中的表中：实时查询数据库完成用户认证

      

    • vsftpd 支持mysql库：pam要依赖于pam-mysql
      • 

    

    • 





/lib64/security/pam_mysql.so
/usr/share/doc/pam_mysql-0.7/README




实战：实现基于文件验证的vsftpd虚拟用户


创建用户数据库文件




[root@centos8 ~]#rpm -qf `which db_load`
libdb-utils-5.3.28-37.el8.x86_64
[root@centos8 ~]#vim /etc/vsftpd/vusers.txt
ftp_wang
wangpass
ftp_mage
magepass
[root@centos8 ~]#db_load -T -t hash -f /etc/vsftpd/vusers.txt 
/etc/vsftpd/vusers.db
[root@centos8 ~]#chmod 600 /etc/vsftpd/vusers.*




创建用户和访问FTP目录




[root@centos8 ~]#useradd -d /data/ftproot -s /sbin/nologin -r vuser
[root@centos8 ~]#mkdir -pv /data/ftproot/upload 
[root@centos8 ~]#setfacl -m u:vuser:rwx /data/ftproot/upload
#chmod a=rx /data/ftproot/ 如果自动创建家目录，需修改权限




创建pam配置文件 




[root@centos8 ~]#vim /etc/pam.d/vsftpd.db
auth required pam_userdb.so db=/etc/vsftpd/vusers
account required pam_userdb.so db=/etc/vsftpd/




指定pam配置文件




[root@centos8 ~]#vim /etc/vsftpd/vsftpd.conf
guest_enable=YES
guest_username=vuser
pam_service_name=vsftpd.db




虚拟用户建立独立的配置文件 




#指定各个用户配置文件存放的路径
[root@centos8 ~]#vim /etc/vsftpd/vsftpd.conf
user_config_dir=/etc/vsftpd/conf.d/
#创建各个用户配置文件存放的路径
[root@centos8 ~]#mkdir /etc/vsftpd/conf.d/ 
#创建各用户自已的配置文件,允许wang用户可读写，其它用户只读
[root@centos8 ~]#vim /etc/vsftpd/conf.d/ftp_wang   
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_other_write_enable=YES
#创建各用户自已的配置文件
[root@centos8 ~]#vim /etc/vsftpd/conf.d/ftp_mage  
#登录目录改变至指定的目录
local_root=/data/ftproot2  
#针对ftp_mage用户建立对应的数据目录
[root@centos8 ~]#mkdir /data/ftproot2/




实现基于MYSQL验证的vsftpd虚拟用户




    

  • 利用 pam_mysql 模块可以实现基于MySQL的FTP虚拟用户功能
    • 

  • 

    项目网站：
    

    • 







http://pam-mysql.sourceforge.net/
https://sourceforge.net/projects/pam-mysql/
http://sf.net/projects/pam-mysql






    

  • 本实验在两台主机上实现

      

    • 一台做为FTP服务器CentOS 7
      • 

    • 一台做 Mariadb 数据库服务器
      • 

    

    • 



在数据库服务器上安装mysql数据库




#注意：MySQL8.0由于取消了PASSWORD()函数不支持,因此选择Mariadb
yum -y install mariadb-server
systemctl enable --now mariadb.service




在数据库服务上配置数据库支持vsftpd服务 




#建立存储虚拟用户数据库和表
mysql -u root -p -S /data/mysql3306/mysql.socket -P 3306
CREATE DATABASE vsftpd;
USE vsftpd;
CREATE TABLE users (
id INT AUTO_INCREMENT NOT NULL PRIMARY KEY,
name CHAR(50) BINARY NOT NULL,
password CHAR(48) BINARY NOT NULL
);#添加虚拟用户，为了安全应该使用PASSWORD函数加密其密码后存储
INSERT INTO users(name,password) values('ftp_wang',password('chengzi'));
INSERT INTO users(name,password) values('ftp_mage',password('chengzi'));
select * from users;
#创建连接的数据库用户
GRANT SELECT ON vsftpd.* TO vsftpd@'10.0.0.%' IDENTIFIED BY 'magedu';
FLUSH PRIVILEGES;




在FTP服务器上安装vsftpd 和 pam_mysql包 




yum -y install vsftpd
yum install pam_mysql
#对于 centos 6：pam_mysql由EPEL的源中提供
#对于 centos7 和 8：无对应rpm包，需手动编译安装
#注意: 当前版本的源码不支持 CentOS 8,使用中会提示下面错误
[root@centos8 ~]#tail -f /var/log/secure
Jan  2 10:20:31 centos8 vsftpd[15519]: PAM unable to
dlopen(/usr/lib64/security/pam_mysql.so): /usr/lib64/security/pam_mysql.so: 
undefined symbol: make_scrambled_password




pam-mysql 源码进行编译




#安装相关包
yum -y install vsftpd gcc gcc-c++ make mariadb-devel pam-devel #下载pam-mysql源码进行编译
wget http://prdownloads.sourceforge.net/pam-mysql/pam_mysql-0.7RC1.tar.gz
#https://github.com/NigelCunningham/pam-MySQL/archive/v0.8.1.tar.gz
tar zxf pam_mysql-0.7RC1.tar.gz
pam_mysql-0.7RC1/ && ./configure --with-pam-mods-dir=/lib64/security
#如果上面命令不指定 --with-pam-mods-dir=/lib64/security 会报以下错误
#checking if the second argument of pam_conv.conv() takes const pointer... no
configure: error: Your system doesn't appear to be configured to use PAM. 
Perhaps you need to specify the correct location where the PAM modules reside.

make installll /lib64/security/pam_mysql*




在FTP服务器上建立pam认证所需文件




[root@centos7 ~]#vi /etc/pam.d/vsftpd.mysql 
#添加如下两行
auth required pam_mysql.so user=vsftpd passwd=magedu host=mysqlserver db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2
account required pam_mysql.so user=vsftpd passwd=magedu host=mysqlserver db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2

#注意：以上参考 README文档
crypt 加密方式：
0表示不加密
1表示crypt(3)加密
2表示使用mysql password()函数加密
3表示md5加密
4表示sha1加密

#配置字段说明
auth 表示认证
account 验证账号密码正常使用
required 表示认证要通过
pam_mysql.so模块是默认的相对路径，是相对/lib64/security/路径而言，也可以写绝对路径；后面为给此模块传递的参数
user=vsftpd为登录mysql的用户
passwd=magedu 登录mysql的的密码
host=mysqlserver mysql服务器的主机名或ip地址
db=vsftpd 指定连接msyql的数据库名称
table=users 指定连接数据库中的表名
usercolumn=name 当做用户名的字段
passwdcolumn=password 当做用户名字段的密码
crypt=2 密码的加密方式为mysql password()函数加密




建立相应用户和修改vsftpd配置文件




#建立虚拟用户映射的系统用户及对应的目录
useradd -s /sbin/nologin -d /data/ftproot -r vuser
#centos7 需除去ftp根目录的写权限
mkdir -p /data/ftproot/upload
setfacl -m u:vuser:rwx /data/ftproot/upload
#确保/etc/vsftpd/vsftpd.conf中已经启用了以下选项
[root@centos7 ~]#vim /etc/vsftpd/vsftpd.conf
#添加下面两项
guest_enable=YES
guest_username=vuser
#修改下面一项，原系统用户无法登录
pam_service_name=vsftpd.mysql
启动vsftpd服务
systemctl enable --now vsftpd




在FTP服务器上配置虚拟用户具有不同的访问权限


    

  • vsftpd可以在配置文件目录中为每个用户提供单独的配置文件以定义其ftp服务访问权限，每个虚拟用户的配置文件名同虚拟用户的用户名。
    • 

  • 配置文件目录可以是任意未使用目录，只需要在vsftpd.conf指定其路径及名称即可 
    • 





#配置vsftpd为虚拟用户使用配置文件目录
vim /etc/vsftpd/vsftpd.conf
#添加如下选项
user_config_dir=/etc/vsftpd/conf.d/
#创建所需要目录，并为虚拟用户提供配置文件
mkdir /etc/vsftpd/conf.d/
#配置虚拟用户的访问权限
#虚拟用户对vsftpd服务的访问权限是通过匿名用户的相关指令进行的。如要让用户wang具有上传文件的权限，可修改/etc/vsftpd/vusers.d/wang文件，在里面添加如下选项并设置为YES即可,只读则设为NO
#注意：需确保对应的映射用户对于文件系统有写权限
vim /etc/vsftpd/conf.d/ftp_wang
anon_upload_enable={YES|NO}
anon_mkdir_write_enable={YES|NO}
anon_other_write_enable={YES|NO}
#登录目录改变至指定的目录
local_root=/data/ftproot2




 






            

            
posted @ 
2022-09-10 20:37 
西瓜的春天 
阅读(310) 
评论(0) 
 
收藏 
举报