加密ssl vsftp、ftp隐式加密&显式加密

谁践踏了优雅 2022-08-23 13:52 638阅读 0赞

### [加密ssl vsftp、ftp隐式加密&显式加密][ssl vsftp_ftp]  ###

*  **博客分类：**
 *  [OS.Linux][]

**FTP over SSL (Implicit)隐式ssl与FTP over SSL (Explicit)显式ssl**：  
vsftp默认启动时用的是显式ssl，也可以配置启用隐式ssl，对应端口21(可修改成990)

*  显式ssl： 在与ftp服务器建立连接后，ftp客户端要以命令（"AUTH SSL" 或者 "AUTH TLS"）显式地告诉服务器端来初始化相应的安全连接。此时使用的是默认的ftp端口21。参考文档：[RFC 2228][]
 *  隐式ssl：当ftp客户端连接到服务器端时，服务器端自动建立安全连接。此时，客户端默认以990端口来安全连接服务器端，而服务器端端口可设置。

**ssl加密的vsftp(vsftp with OpenSSL)**

*  a. ftp默认的传输数据是明文，弄个抓包软件就可以通过数据包来分析到账号和密码，为了搭建一个安全性比较高ftp，可以结合SSL来解决问题
 *  b. **检查vsftp是否支持SSL**：从2.0.0版本开始，vsftpd支持命令连接和数据连接的加密传输。vsftpd服务器版本查看：rpm -qa vsftpd    输出：vsftpd-2.2.2-11.el6.i686
 *  c. **检查vsftp是否支持SSL**：ldd /usr/sbin/vsftpd | grep libssl，如果输出类似与libssl.so.10 => /usr/lib/libssl.so.10 (0x00dfb000)，那么支持。如果不支持，那么重新编译vsftp，然后再重新安装
 *  d. 用openssl生成vsftpd的证书：openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/vsftpd/vsftpd.pem -out /etc/vsftpd/vsftpd.pem
 *  e. 修改vsftpd.conf，设置强制启用sslssl\_enable=YES  
    allow\_anon\_ssl=NO  
    force\_local\_data\_ssl=YES  
    force\_local\_logins\_ssl=YES  
    ssl\_tlsv1=YES  
    ssl\_sslv2=NO  
    ssl\_sslv3=NO  
    rsa\_cert\_file=/etc/vsftpd/vsftpd.pem  
    ssl\_ciphers=HIGH
 *  f. 默认不启用隐式ssl功能，相应的服务器端隐式ssl默认端口是21（很多客户端隐式ssl连接时，设置的默认端口为990，因此如果服务器的不自定义成和客户端一致的话，会导致连接失败！）。如果启用了隐式ssl，那么ftp客户端也必须以隐式ssl的方式连接到21/990端口，ftp客户端的不加密连接、显式ssl连接都会超时。所以不建议开启该设置！

[ssl vsftp_ftp]: http://desert3.iteye.com/blog/1687355
[OS.Linux]: http://desert3.iteye.com/category/121454
[RFC 2228]: http://www.ietf.org/rfc/rfc2228.txt