配置 vsftpd 使用 SSL 证书加密数据传输

╰+哭是因爲堅強的太久メ 2022-10-14 12:51 970阅读 0赞

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70][]

FTP 与 HTTP 一样缺省状态都是基于明文传输，希望 FTP 服务器端与客户端传输保证安全，可以为 FTP 配置 SSL

# TLS #

[安全传输层协议][Link 1]（TLS）用于在两个通信[应用程序][Link 2]之间提供保密性和[数据完整性][Link 3]。

该协议由两层组成： TLS 记录协议（TLS Record）和 TLS [握手协议][Link 4]（TLS Handshake）。

**传输层安全性协议**（英语：Transport Layer Security，[缩写][Link 5]作**TLS**），及其前身**安全套接层**（Secure Sockets Layer，缩写作**SSL**）是一种[安全协议][Link 6]，目的是为[互联网][Link 7]通信提供安全及数据[完整性][Link 8]保障。[网景][Link 9]公司（Netscape）在1994年推出首版[网页浏览器][Link 10]，[网景导航者][Link 11]时，推出[HTTPS][]协议，以SSL进行加密，这是SSL的起源。[IETF][]将SSL进行标准化，1999年公布第一版TLS标准文件。随后又公布RFC 5246 （2008年8月）与RFC 6176（2011年3月）。在[浏览器][Link 12]、[邮箱][Link 13]、[即时通信][Link 14]、[VoIP][]、[网络传真][Link 15]等应用程序中，广泛支持这个协议。主要的网站，如[Google][]、[Facebook][]等也以这个协议来创建安全连线，发送数据。目前已成为[互联网][Link 7]上保密通信的工业标准。

SSL包含记录层（Record Layer）和传输层，记录层协议确定传输层数据的封装格式。传输层安全协议使用[X.509][]认证，之后利用非对称加密演算来对通信方做身份认证，之后交换对称密钥作为会谈密钥（[Session key][]）。这个会谈密钥是用来将通信两方交换的数据做加密，保证两个应用间通信的保密性和可靠性，使客户与服务器应用之间的通信不被攻击者窃听。

TLS协议采用[主从式架构][Link 16]模型，用于在两个应用程序间透过网络创建起安全的连线，防止在交换数据时受到[窃听][Link 17]及篡改。

[TLS协议][TLS]的优势是与高层的[应用层][Link 18]协议（如[HTTP][]、[FTP][]、[Telnet][]等）无耦合。[应用层协议][Link 19]能透明地运行在TLS协议之上，由TLS协议进行创建加密通道需要的协商和认证。应用层协议传送的数据在通过TLS协议时都会被加密，从而保证通信的私密性。

TLS协议是可选的，必须配置客户端和服务器才能使用。主要有两种方式实现这一目标：一个是使用统一的TLS协议通信端口（例如：用于[HTTPS][]的端口443）；另一个是客户端请求服务器连接到TLS时使用特定的协议机制（例如：邮件、新闻协议和[STARTTLS][]）。一旦客户端和服务器都同意使用TLS协议，他们通过使用一个握手过程协商出一个有状态的连接以传输数据。通过握手，客户端和服务器协商各种参数用于创建安全连接：

*  当客户端连接到支持TLS协议的服务器要求创建安全连接并列出了受支持的密码组合（加密密码算法和加密哈希函数），握手开始。
 *  服务器从该列表中决定加密和散列函数，并通知客户端。
 *  服务器发回其数字证书，此证书通常包含服务器的名称、受信任的证书颁发机构（CA）和服务器的公钥。
 *  客户端确认其颁发的证书的有效性。
 *  为了生成会话密钥用于安全连接，客户端使用服务器的公钥加密随机生成的密钥，并将其发送到服务器，只有服务器才能使用自己的私钥解密。
 *  利用随机数，双方生成用于加密和解密的对称密钥。这就是TLS协议的握手，握手完毕后的连接是安全的，直到连接（被）关闭。如果上述任何一个步骤失败，TLS握手过程就会失败，并且断开所有的连接。

### SSL 1.0、2.0和3.0 ###

SSL（Secure Sockets Layer）是[网景][Link 9]公司（[Netscape][]）设计的主要用于Web的安全传输协议，这种协议在Web上获得了广泛的应用。

基础算法由作为网景公司的首席科学家塔希尔·盖莫尔（Taher Elgamal）编写，所以他被人称为“SSL之父”。

2014年10月，Google发布在SSL 3.0中发现设计缺陷，建议禁用此一协议。攻击者可以向TLS发送虚假错误提示，然后将安全连接强行降级到过时且不安全的SSL 3.0，然后就可以利用其中的设计漏洞窃取敏感信息。Google在自己公司相关产品中陆续禁止回溯兼容，强制使用TLS协议。[Mozilla][]也在11月25日发布的[Firefox][]34中彻底禁用了SSL 3.0。[微软][Link 20]同样发出了安全通告。

*  1.0版本从未公开过，因为存在严重的安全漏洞。
 *  2.0版本在1995年2月发布，但因为存在数个严重的安全漏洞而被3.0版本替代。
 *  3.0版本在1996年发布，是由网景工程师Paul Kocher、Phil Karlton和Alan Freier完全重新设计的。较新版本的SSL/TLS基于SSL 3.0。SSL 3.0作为历史文献[IETF][]通过RFC 6101发表。

--------------------

*  cd /etc/vsftpd
 *  使用 OpenSSL 生成自签证书  
    openssl req -new -x509 -nodes -out vsftpd.pem -keyout vsftpd.pem -days 3650
 *  OpenSSL 简单参数解释:  
    req \#是 X.509 Certificate Signing Request （CSR，证书签名请求）管理的一个命令。  
    x509 \#X.509 证书数据管理。  
    days \#定义证书的有效日期。  
    newkey \#指定证书密钥处理器。  
    keyout \#设置密钥存储文件。  
    out \#设置证书存储文件，注意证书和密钥都保存在一个相同的文件
 *  mkdir .sslkey  
    mv vsftpd.pem .sslkey/

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 1][]

![20210521152914899.png][]

*  修改配置文件，支持 SSL
 *  vim vsftpd.conf
 *  ssl\_enable=YES        \#启用 SSL 支持。  
    allow\_anon\_ssl=NO  
    force\_local\_data\_ssl=YES   
    force\_local\_logins\_ssl=YES  
    force\_anon\_logins\_ssl=YES  
    force\_anon\_data\_ssl=YES  
    \#上面四行 force 表示强制匿名用户使用加密登陆和数据传输。  
    ssl\_tlsv1=YES       \#指定 vsftpd 支持 TLS v1。  
    ssl\_sslv2=YES      \#指定 vsftpd 支持 SSL v2。  
    ssl\_sslv3=YES      \#指定 vsftpd 支持 SSL v3。  
    require\_ssl\_reuse=NO    \#不重用 SSL 会话,安全配置项 。  
    ssl\_ciphers=HIGH           \#允许用于加密 SSL 连接的 SSL 算法。这可以极大地限制那些尝试发现使用存在缺陷的特定算法的攻击者。
 *  rsa\_cert\_file=/etc/vsftpd/.sslkey/vsftpd.pem  
    rsa\_private\_key\_file=/etc/vsftpd/.sslkey/vsftpd.pem     \#定义 SSL 证书和密钥文件的位置。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 2][]

*  ### **注意：上面的配置项不要添加到 vsftpd.conf 文件最后也不要加注释，否则启动报错。而且配置后不能有多余的空格。**   修改完配置文件后，重启服务：   systemctl restart vsftpd ###
 *  配置 FileZilla 客户端验证

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 3][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 4][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 5][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 6][]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70]: /images/20221014/3dd5cf0b63854bae8e114d353a2e0110.png
[Link 1]: https://baike.baidu.com/item/%E5%AE%89%E5%85%A8%E4%BC%A0%E8%BE%93%E5%B1%82%E5%8D%8F%E8%AE%AE/17615457
[Link 2]: https://baike.baidu.com/item/%E5%BA%94%E7%94%A8%E7%A8%8B%E5%BA%8F/5985445
[Link 3]: https://baike.baidu.com/item/%E6%95%B0%E6%8D%AE%E5%AE%8C%E6%95%B4%E6%80%A7/110071
[Link 4]: https://baike.baidu.com/item/%E6%8F%A1%E6%89%8B%E5%8D%8F%E8%AE%AE/4058729
[Link 5]: https://baike.baidu.com/item/%E7%BC%A9%E5%86%99
[Link 6]: https://baike.baidu.com/item/%E5%AE%89%E5%85%A8%E5%8D%8F%E8%AE%AE
[Link 7]: https://baike.baidu.com/item/%E4%BA%92%E8%81%94%E7%BD%91
[Link 8]: https://baike.baidu.com/item/%E5%AE%8C%E6%95%B4%E6%80%A7
[Link 9]: https://baike.baidu.com/item/%E7%BD%91%E6%99%AF
[Link 10]: https://baike.baidu.com/item/%E7%BD%91%E9%A1%B5%E6%B5%8F%E8%A7%88%E5%99%A8
[Link 11]: https://baike.baidu.com/item/%E7%BD%91%E6%99%AF%E5%AF%BC%E8%88%AA%E8%80%85
[HTTPS]: https://baike.baidu.com/item/HTTPS
[IETF]: https://baike.baidu.com/item/IETF
[Link 12]: https://baike.baidu.com/item/%E6%B5%8F%E8%A7%88%E5%99%A8
[Link 13]: https://baike.baidu.com/item/%E9%82%AE%E7%AE%B1
[Link 14]: https://baike.baidu.com/item/%E5%8D%B3%E6%97%B6%E9%80%9A%E4%BF%A1
[VoIP]: https://baike.baidu.com/item/VoIP
[Link 15]: https://baike.baidu.com/item/%E7%BD%91%E7%BB%9C%E4%BC%A0%E7%9C%9F
[Google]: https://baike.baidu.com/item/Google
[Facebook]: https://baike.baidu.com/item/Facebook
[X.509]: https://baike.baidu.com/item/X.509
[Session key]: https://baike.baidu.com/item/Session%20key
[Link 16]: https://baike.baidu.com/item/%E4%B8%BB%E4%BB%8E%E5%BC%8F%E6%9E%B6%E6%9E%84
[Link 17]: https://baike.baidu.com/item/%E7%AA%83%E5%90%AC
[TLS]: https://baike.baidu.com/item/TLS%E5%8D%8F%E8%AE%AE/7129331
[Link 18]: https://baike.baidu.com/item/%E5%BA%94%E7%94%A8%E5%B1%82
[HTTP]: https://baike.baidu.com/item/HTTP
[FTP]: https://baike.baidu.com/item/FTP
[Telnet]: https://baike.baidu.com/item/Telnet
[Link 19]: https://baike.baidu.com/item/%E5%BA%94%E7%94%A8%E5%B1%82%E5%8D%8F%E8%AE%AE/3668945
[STARTTLS]: https://baike.baidu.com/item/STARTTLS
[Netscape]: https://baike.baidu.com/item/Netscape
[Mozilla]: https://baike.baidu.com/item/Mozilla
[Firefox]: https://baike.baidu.com/item/Firefox
[Link 20]: https://baike.baidu.com/item/%E5%BE%AE%E8%BD%AF
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 1]: /images/20221014/baf9aa90099648f49c1dfc3d1cae20d3.png
[20210521152914899.png]: /images/20221014/7b883729ac2e46f1b38804dd86ef153c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 2]: /images/20221014/8750cbf1d0be40659e5e300e26397d91.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 3]: /images/20221014/e020f1461e364530be121704ea4b86b5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 4]: /images/20221014/a2c71940744d4824bf9cd598b793099d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 5]: /images/20221014/1b90ac1eb9de4ed8888bc90403c584ad.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2dhb2ZlaTA0Mjg_size_16_color_FFFFFF_t_70 6]: /images/20221014/f598f2de17c046099500c27632efc06b.png