烂泥：ubuntu下vsftpd虚拟用户配置

缺乏、安全感 2021-09-19 08:42 272阅读 0赞

**本文由****ilanniweb****提供友情赞助，首发于[烂泥行天下][Link 1]**

**想要获得更多的文章，可以关注我微信ilanniweb。**

以前搭建vsftpd都是在centos下，本以为在ubuntu按照以前的步骤搭建即可。可是实际情况告诉我是，我太想当然了。经过一番的折腾终于把ubuntu下vsftpd虚拟用户的配置搞定了，下面就把我的配置步骤贴出来供得为参考。

一、业务要求

现在要求创建一个FTP账号ailanni，该账号只能登录到/www目录下，不能切换到上级目录。同时处于安全考虑还要求该账号上传的文件权限为644，即上传的文件具有可读可写权限，但是没有可执行权限。

除此之外还要求该用户不能是系统用户，即使用vsftpd的虚拟用户。

要求看起来比较简单，下面我们开始进行配置。

**PS：以下实验全部在ubuntu server 14.04 X64上进行。有关centos的操作可以参考这篇文章《**[**烂泥：Vsftpd使用虚拟用户，访问FTP**][Vsftpd_FTP]**》。**

二、vsftpd安装

在配置vsftpd之前，我们先安装vsftpd，vsftpd的安装比较简单。我们再次直接使用apt-get进行安装，如下：

sudo apt-get -y install vsftpd

[![clip\_image002][clip_image002]][clip_image002_clip_image002]

vsftpd的安装很简单，我们现在来查看下vsftpd都安装了那些文件。如下：

dpkg -L vsftpd |tac

[![clip\_image003][clip_image003]][clip_image003_clip_image003]

通过上图，我们可以看出vsftpd在安装时，生成了很多文件，其中/etc/init/vsftpd.conf、/etc/vsftpd.conf比较重要。

/etc/init/vsftpd.conf是vsftpd的初始化文件，而/etc/vsftpd.conf是vsftpd的配置文件。

现在我们来查看下/etc/init/vsftpd.conf文件。如下：

cat /etc/init/vsftpd.conf

[![clip\_image004][clip_image004]][clip_image004_clip_image004]

通过上图，我们可以很明显的看出vsftpd初始化时使用的配置文件就是/etc/vsftpd.conf文件。

为什么在此我要指出这一点呢？是因为我原以为ubuntu下vsftpd和centos下的一样，可以把vsftpd的配置文件存放到/etc/vsftpd/目录下。这一点是和centos不同的。

除此之外，还有一点不同，就是vsftpd的启动、停止、重启脚本。

在ubuntu下要启动、停止、重启vsftpd，我们必须使用以下命令：

sudo service vsftpd stop

sudo service vsftpd start

sudo service vsftpd restart

而在centos下，我们可以使用以下命令：

service vsftpd stop

/etc/init.d/vsftpd stop

最后，我们再来查看下vsftpd的服务脚本。如下：

cat /lib/systemd/system/vsftpd.service

[![clip\_image005][clip_image005]][clip_image005_clip_image005]

三、vsftpd配置

vsftpd安装完毕后，我们现在开始配置vsftpd，不过在正式配置之前，我们还有几步工作要做。

**3.1 ****用户相关配置**

因为是使用vsftpd的虚拟用户，所以我们需要先在系统中创建一个用户，并且该用户对/www目录具有可读可写可执行权限。

创建用户，如下：

sudo useradd -m -s /bin/bash ftpilanni

cat /etc/passwd |grep ftpilanni

[![clip\_image006][clip_image006]][clip_image006_clip_image006]

注意：创建的用户ftpilanni现在是无法登录到系统的，因为没有给该用户设置密码。在此，我们也无需ftpilanni登录到系统，这样相对来说比较安全。

用户创建完毕后，我们来创建对应的目录并修改其所属用户，如下：

sudo mkdir /www

sudo chown -R ftpilanni:ftpilanni /www/

[![clip\_image007][clip_image007]][clip_image007_clip_image007]

有关用户相关配置结束后，我们开始设置登录vsftp的用户与密码文件login.txt。如下：

sudo mkdir /etc/vsftpd/

sudo vim /etc/vsftpd/login.txt

ailanni

ailannipassword

[![clip\_image008][clip_image008]][clip_image008_clip_image008]

sudo apt-get -y install db-util

[![clip\_image009][clip_image009]][clip_image009_clip_image009]

db-util安装完毕后，现在开始使用db\_load对loginx.txt进行加密。如下：

sudo db\_load -T -t hash -f /etc/vsftpd/login.txt /etc/vsftpd/login.db

[![clip\_image010][clip_image010]][clip_image010_clip_image010]

loginx.txt加密完成后，我们现在开始配置vsftpd的PAM验证。

**3.2 PAM****验证配置**

vsftpd的PAM验证，在此我没有使用vsftpd安装时所生成的/etc/pam.d/vsftpd文件。

因为经过我多次的测试，发现如果使用该文件进行验证的话，无法验证通过。不知道为什么，猜想很有可能是vsftpd的一个BUG。

创建验证文件，如下：

sudo vim /etc/pam.d/vsftpd.virtual

auth required pam\_userdb.so db=/etc/vsftpd/login

account required pam\_userdb.so db=/etc/vsftpd/login

[![clip\_image011][clip_image011]][clip_image011_clip_image011]

vsftpd.virtual文件的内容，也可以根据OS的版本进行调整。我现在使用的是ubuntu x64，所以也可以填写为：

auth required /lib/x86\_64-linux-gnu/security/pam\_userdb.so db=/etc/vsftpd/login

account required /lib/x86\_64-linux-gnu/security/pam\_userdb.so db=/etc/vsftpd/login

其中/etc/vsftpd/login对应/etc/vsftpd/login.db文件

**3.3 vsftp****权限配置**

现在正式配置vsftpd，vsftpd的几乎所有配置项都在/etc/vsftpd.conf文件中进行。

根据业务要求vsftpd.conf配置内容如下：

grep -vE "^\#|^$" /etc/vsftpd.conf

listen=YES

listen\_ipv6=NO

anonymous\_enable=NO

local\_enable=YES

write\_enable=YES

local\_umask=022

dirmessage\_enable=YES

use\_localtime=YES

xferlog\_enable=YES

connect\_from\_port\_20=YES

xferlog\_file=/var/log/vsftpd.log

xferlog\_std\_format=YES

chroot\_local\_user=YES

chroot\_list\_enable=NO

allow\_writeable\_chroot=YES

secure\_chroot\_dir=/var/run/vsftpd/empty

pam\_service\_name=vsftpd

rsa\_cert\_file=/etc/ssl/certs/ssl-cert-snakeoil.pem

rsa\_private\_key\_file=/etc/ssl/private/ssl-cert-snakeoil.key

ssl\_enable=NO

guest\_enable=YES

pam\_service\_name=vsftpd.virtual

user\_config\_dir=/etc/vsftpd/vu

pasv\_enable=YES

pasv\_min\_port=30000

pasv\_max\_port=31000

[![clip\_image012][clip_image012]][clip_image012_clip_image012]

在以上配置文件中，有几点需要重点指出。

local\_enable=YES

write\_enable=YES

local\_umask=022

这两项是启用系统用户的写权限。特别是write\_enable=YES项一定要启用，否则vsftpd虚拟用户将无法登录vsftpd。

**为什么会是这样？因为虚拟用户依赖与系统用户。**

chroot\_local\_user=YES

chroot\_list\_enable=NO

allow\_writeable\_chroot=YES

这三项是配置vsftpd用户禁止切换上级目录的权限。

guest\_enable=YES

pam\_service\_name=vsftpd.virtual

user\_config\_dir=/etc/vsftpd/vu

这三项是启用vsftpd虚拟用以及虚拟用户账号配置目录。

pasv\_enable=YES

pasv\_min\_port=30000

pasv\_max\_port=31000

这三项是启用vsftpd被动模式及相关端口。

**3.4 ****虚拟用户相关配置**

vsftpd配置文件修改文件后，现在开始配置虚拟用户的相关权限。如下：

sudo mkdir /etc/vsftpd/vu

sudo vim /etc/vsftpd/vu/ailanni

guest\_username=ftpilanni

local\_root=/www/

virtual\_use\_local\_privs=YES

anon\_umask=133

[![clip\_image013][clip_image013]][clip_image013_clip_image013]

以上配置参数，其中guest\_username=ftpilanni表示的是设置FTP对应的系统用户为ftpilanni

local\_root=/www/表示使用本地用户登录到ftp时的默认目录。

virtual\_use\_local\_privs=YES虚拟用户和本地用户有相同的权限。

anon\_umask表示文件上传的默认掩码。计算方式是777减去anon\_umask就是上传文件的权限。在此我们设置的是133，也就是说上传后文件的权限是644。即上传的文件对所属用户来说只有读写权限，没有执行权限。

以上全部配置完毕后，我们来重启vsftpd，如下：

sudo service vsftpd restart

[![clip\_image014][clip_image014]][clip_image014_clip_image014]

四、测试

现在我们来使用ailanni用户登录vsftpd进行测试。

[![clip\_image015][clip_image015]][clip_image015_clip_image015]

[![clip\_image016][clip_image016]][clip_image016_clip_image016]

通过以上两张图，我们可以很明显的看到vsftpd的配置已经达到了业务的要求。

五、IPtables配置

在实际生产环境中，为了安全起见，我们一般是开启防火墙的。

在ubuntu上，我们也可以使用IPtables来进行防护。

IPtables配置如下：

sudo iptables-save >/home/ilanni/iptables.rule

[![clip\_image017][clip_image017]][clip_image017_clip_image017]

sudo iptables-restore < /home/ilanni/iptables.rule

sudo iptables -nL

[![clip\_image018][clip_image018]][clip_image018_clip_image018]

sudo vim /etc/network/interfaces

pre-up iptables-restore < /home/ilanni/iptables.rule

post-down iptables-save < /home/ilanni/iptables.rule

[![clip\_image019][clip_image019]][clip_image019_clip_image019]

本文转自 烂泥行天下 51CTO博客，原文链接：http://blog.51cto.com/ilanni/1690915

[Link 1]: http://www.ilanni.com/
[Vsftpd_FTP]: http://www.ilanni.com/?p=5341
[clip_image002]: http://s3.51cto.com/wyfs02/M02/72/94/wKiom1Xm7YbiAAZJAAEVR0l5sEE489.jpg
[clip_image002_clip_image002]: /images/20210726/8b86072940ea4397bfe5ecfd95cb8e8c.png
[clip_image003]: http://s3.51cto.com/wyfs02/M00/72/94/wKiom1Xm7Yfjq-1hAAHlH8C-JGw645.jpg
[clip_image003_clip_image003]: /images/20210726/07662d8af13448b3b47e15b92ab8e5a7.png
[clip_image004]: http://s3.51cto.com/wyfs02/M01/72/94/wKiom1Xm7YjSadzYAAGD6WjEYnA185.jpg
[clip_image004_clip_image004]: /images/20210726/933ce950e78842f3a52c0382e66dc409.png
[clip_image005]: http://s3.51cto.com/wyfs02/M01/72/94/wKiom1Xm7YnSzERGAAFF631GGyQ652.jpg
[clip_image005_clip_image005]: /images/20210726/b771f4d81d4c447c80c607abdd535ade.png
[clip_image006]: http://s3.51cto.com/wyfs02/M00/72/90/wKioL1Xm76yBvCBGAADq9U03Xn4679.jpg
[clip_image006_clip_image006]: /images/20210726/0e49331365a1437299ff37565dfe01ba.png
[clip_image007]: http://s3.51cto.com/wyfs02/M01/72/90/wKioL1Xm76yC6BYxAAEYWacpbMg696.jpg
[clip_image007_clip_image007]: /images/20210726/ea1616a4da56476caebea9c9a6290c9a.png
[clip_image008]: http://s3.51cto.com/wyfs02/M01/72/94/wKiom1Xm7YuQ9_a_AADOmK6qIKM372.jpg
[clip_image008_clip_image008]: /images/20210726/7021bfcd9da344078ede2c27a3095d87.png
[clip_image009]: http://s3.51cto.com/wyfs02/M02/72/94/wKiom1Xm7YyhqtlSAALI04XZda8860.jpg
[clip_image009_clip_image009]: /images/20210726/4d950180b62744d087c73717a6a90399.png
[clip_image010]: http://s3.51cto.com/wyfs02/M00/72/94/wKiom1Xm7Y3w5TizAAFLGYjMdE0039.jpg
[clip_image010_clip_image010]: /images/20210726/38d1bf55f076481ca0153f916fb84357.png
[clip_image011]: http://s3.51cto.com/wyfs02/M01/72/94/wKiom1Xm7Y3yxS1qAAD5xnKZsd8989.jpg
[clip_image011_clip_image011]: /images/20210726/59c7908834164d9984156bb5409d6533.png
[clip_image012]: http://s3.51cto.com/wyfs02/M02/72/94/wKiom1Xm7Y6zOouxAAKMlXhKkdI452.jpg
[clip_image012_clip_image012]: /images/20210726/57bf87a49faa470daaecd3fc9435cd86.png
[clip_image013]: http://s3.51cto.com/wyfs02/M00/72/94/wKiom1Xm7Y_RwCtvAADlGuh6qxI642.jpg
[clip_image013_clip_image013]: /images/20210726/b6985ee43e0b4a208c42840d93a5f6e9.png
[clip_image014]: http://s3.51cto.com/wyfs02/M02/72/94/wKiom1Xm7Y-A8ZgzAADDtFVC2M8123.jpg
[clip_image014_clip_image014]: /images/20210726/f7b8a79beed549d09892f855ae3cafda.png
[clip_image015]: http://s3.51cto.com/wyfs02/M00/72/90/wKioL1Xm77PgEUJsAAFTvJzlS_k861.jpg
[clip_image015_clip_image015]: /images/20210726/73093ca295e2483f8ecc3783fea1291a.png
[clip_image016]: http://s3.51cto.com/wyfs02/M02/72/94/wKiom1Xm7ZLQUNZwAATK_49e5bs397.jpg
[clip_image016_clip_image016]: /images/20210726/f094fc34e9bd4f4e94d4a40dd8b9ab88.png
[clip_image017]: http://s3.51cto.com/wyfs02/M00/72/94/wKiom1Xm7ZORlEnFAAGK0A7YBqM141.jpg
[clip_image017_clip_image017]: /images/20210726/8da0fd8ddbee439c8664c25435bb5750.png
[clip_image018]: http://s3.51cto.com/wyfs02/M01/72/94/wKiom1Xm7ZSA2nhFAAGdVYfu7Y4896.jpg
[clip_image018_clip_image018]: /images/20210726/08b4b9d3589f4fb3af04856304a4576c.png
[clip_image019]: http://s3.51cto.com/wyfs02/M02/72/91/wKioL1Xm77fjedtLAAF9NPUyksQ405.jpg
[clip_image019_clip_image019]: /images/20210726/83155e12b352473bbcc587ebed968db4.png