如何在Debian 9上为用户目录设置vsftpd
原创
介绍
FTP是文件传输协议的缩写，是一种曾经广泛用于在客户端和服务器之间移动文件的网络协议。它已被更快，更安全，更方便的文件传输方式所取代。很多休闲互联网用户希望直接从他们的Web浏览器下载https，命令行用户更容易使用的安全协议，如scp或SFTP。
FTP仍然用于支持具有特定需求的遗留应用程序和工作流。如果您可以选择使用哪种协议，请考虑探索更现代的选项。但是，当您确实需要FTP时，vsftpd是一个很好的选择。vsftpd针对安全性，性能和稳定性进行了优化，可以很好地防范其他FTP服务器中存在的许多安全问题，并且是许多Linux发行版的默认设置。
在本教程中，您将配置vsftpd以允许用户使用具有SSL / TLS保护的登录凭据的FTP将文件上载到其主目录。
准备
要学习本教程，您需要：
- Debian 9服务器和具有sudo权限的非root用户。您可以在使用Debian 9进行初始服务器设置中了解有关如何使用这些权限创建用户的更多信息。没有服务器的同学可以在这里购买，不过我个人更推荐您使用免费的腾讯云开发者实验室进行试验，学会安装后再购买服务器。
第1步 - 安装vsftpd
让我们从更新包列表并安装vsftpd守护进程开始：
sudo apt update
sudo apt install vsftpd安装完成后，让我们复制配置文件，以便我们可以从空白配置开始，并将原始文件保存为备份：
sudo cp /etc/vsftpd.conf /etc/vsftpd.conf.orig通过备份配置，我们已准备好配置防火墙。
第2步 - 打开防火墙
让我们检查防火墙状态以查看它是否已启用。如果是，我们将确保允许FTP流量，因此防火墙规则不会阻止我们的测试。本教程假设您已按照初始服务器设置教程中的步骤4安装了UFW 。
检查防火墙状态：
sudo ufw status在这种情况下，只允许SSH通过：
Status: active
To Action From
-- ------ ----
OpenSSH ALLOW Anywhere
OpenSSH (v6) ALLOW Anywhere (v6)您可能有其他规则或根本没有防火墙规则。由于在这种情况下只允许SSH流量，因此我们需要为FTP流量添加规则。
让我们为FTP打开端口20和21，打开我们启用TLS时的端口990，以及我们计划在配置文件中设置的被动端口40000-50000范围的端口：
sudo ufw allow 20/tcp
sudo ufw allow 21/tcp
sudo ufw allow 990/tcp
sudo ufw allow 40000:50000/tcp检查防火墙状态：
sudo ufw status您的防火墙规则现在应如下所示：
Status: active
To Action From
-- ------ ----
OpenSSH ALLOW Anywhere
990/tcp ALLOW Anywhere
20/tcp ALLOW Anywhere
21/tcp ALLOW Anywhere
40000:50000/tcp ALLOW Anywhere
OpenSSH (v6) ALLOW Anywhere (v6)
20/tcp (v6) ALLOW Anywhere (v6)
21/tcp (v6) ALLOW Anywhere (v6)
990/tcp (v6) ALLOW Anywhere (v6)
40000:50000/tcp (v6) ALLOW Anywhere (v6)随着vsftpd安装和必要的端口打开，让我们继续创建一个专用的FTP用户。
第3步 - 准备用户目录
我们将创建一个专用的FTP用户，但您可能已经有一个需要FTP访问的用户。我们将注意保留现有用户对以下说明中的数据的访问权限。即便如此，我们建议您在配置和测试设置之前先与新用户联系。
首先，添加一个测试用户：
sudo adduser sammy出现提示时分配密码。随意按下ENTER其他提示。
当用户被限制在特定目录时，FTP通常更安全。vsftpd用chrootjails 完成这个。当本地用户启动chroot时，他们被限制在默认情况下，他们的主目录。但是，由于保护目录的方式vsftpd，用户不能写入。这对于只应通过FTP连接的新用户来说很好，但如果现有用户也具有shell访问权限，则可能需要写入其主文件夹。
在这个例子中，不是从主目录中删除写权限，而是创建一个ftp目录作为保存实际文件的chroot和可写files目录。
创建ftp文件夹：
sudo mkdir /home/sammy/ftp设置所有权：
sudo chown nobody:nogroup /home/sammy/ftp删除写权限：
sudo chmod a-w /home/sammy/ftp验证权限：
sudo ls -la /home/sammy/ftptotal 8
4 dr-xr-xr-x 2 nobody nogroup 4096 Aug 24 21:29 .
4 drwxr-xr-x 3 sammy sammy 4096 Aug 24 21:29 ..接下来，让我们创建文件上传目录并为用户分配所有权：
sudo mkdir /home/sammy/ftp/files
sudo chown sammy:sammy /home/sammy/ftp/files对ftp目录的权限检查应返回以下内容：
sudo ls -la /home/sammy/ftptotal 12
dr-xr-xr-x 3 nobody nogroup 4096 Aug 26 14:01 .
drwxr-xr-x 3 sammy sammy 4096 Aug 26 13:59 ..
drwxr-xr-x 2 sammy sammy 4096 Aug 26 14:01 files最后，让我们在测试时添加一个test.txt文件：
echo "vsftpd test file" | sudo tee /home/sammy/ftp/files/test.txt现在我们已经保护了ftp目录并允许用户访问files目录，让我们修改我们的配置。
第4步 - 配置FTP访问
我们计划允许具有本地shell帐户的单个用户与FTP连接。已经 vsftpd.conf中设置了两个关键设置。首先打开配置文件，验证配置中的设置是否与以下设置相匹配：
sudo nano /etc/vsftpd.conf. . .
# Allow anonymous FTP? (Disabled by default).
anonymous_enable=NO
#
# Uncomment this to allow local users to log in.
local_enable=YES
. . .接下来，让我们通过取消注释write_enable设置让用户上传文件：
. . .
write_enable=YES
. . .我们还将取消注释chroot，以防止FTP连接的用户访问目录树之外的任何文件或命令：
. . .
chroot_local_user=YES
. . .我们还添加一个user_sub_token用于在我们的local_root directory路径中插入用户名，以便我们的配置适用于此用户和任何其他未来用户。在文件中的任何位置添加这些设置：
. . .
user_sub_token=$USER
local_root=/home/$USER/ftp我们还限制了可用于被动FTP的端口范围，以确保有足够的连接可用：
. . .
pasv_min_port=40000
pasv_max_port=50000注意：在步骤2中，我们打开了我们在此处为被动端口范围设置的端口。如果更改值，请务必更新防火墙设置。
要根据具体情况允许FTP访问，让我们设置配置，以便用户只有在明确添加到列表时才能访问，而不是默认情况下：
. . .
userlist_enable=YES
userlist_file=/etc/vsftpd.userlist
userlist_deny=NOuserlist_deny切换逻辑：当设置为YES时，列表中的用户被拒绝FTP访问。设置为NO时，只允许列表中的用户访问。
完成更改后，保存文件并退出编辑器。
最后，让我们将用户添加到/etc/vsftpd.userlist。使用-a标志附加到文件：
echo "sammy" | sudo tee -a /etc/vsftpd.userlist检查它是否按预期添加：
cat /etc/vsftpd.userlistsammy重新启动守护程序以加载配置更改：
sudo systemctl restart vsftpd配置到位后，我们继续测试FTP访问。
第5步 - 测试FTP访问
我们已将服务器配置为仅允许用户sammy通过FTP连接。让我们确保它按预期工作。
匿名用户应该无法连接：我们已禁用匿名访问。让我们通过尝试匿名连接来测试它。如果我们的配置设置正确，则应拒绝匿名用户的权限。打开另一个终端并运行以下命令。请务必更换203.0.113.0为你的服务器的公共IP地址：
ftp -p 203.0.113.0Connected to 203.0.113.0.
220 (vsFTPd 3.0.3)
Name (203.0.113.0:default): anonymous
530 Permission denied.
ftp: Login failed.
ftp>关闭连接：
bye除了sammy之外的用户应该无法连接：接下来，让我们尝试连接我们的sudo用户。他们也应该被拒绝访问，并且应该在他们被允许输入密码之前发生：
ftp -p 203.0.113.0Connected to 203.0.113.0.
220 (vsFTPd 3.0.3)
Name (203.0.113.0:default): your_sudo_user
530 Permission denied.
ftp: Login failed.
ftp>关闭连接：
bye用户sammy应该能够连接，读取和写入文件：让我们确保我们的指定用户可以连接：
ftp -p 203.0.113.0Connected to 203.0.113.0.
220 (vsFTPd 3.0.3)
Name (203.0.113.0:default): sammy
331 Please specify the password.
Password: your_user's_password
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp>让我们切换到files目录并使用get命令将我们之前创建的测试文件传输到本地机器：
cd files
get test.txt229 Entering Extended Passive Mode (|||47398|)
150 Opening BINARY mode data connection for test.txt (17 bytes).
100% |**********************************| 17 146.91 KiB/s 00:00 ETA
226 Transfer complete.
17 bytes received in 00:00 (0.17 KiB/s)
ftp>接下来，让我们使用新名称上传文件以测试写入权限：
put test.txt upload.txt229 Entering Extended Passive Mode (|||46598|)
150 Ok to send data.
100% |**********************************| 17 8.93 KiB/s 00:00 ETA
226 Transfer complete.
17 bytes sent in 00:00 (0.08 KiB/s)关闭连接：
bye现在我们已经测试了我们的配置，让我们采取措施进一步保护我们的服务器。
第6步 - 保护交易
因为FTP并没有加密在传输过程中的任何数据，包括用户的凭据，我们将启用TLS / SSL来提供加密。第一步是用 vsftpd创建用于的SSL证书。
让我们使用openssl来创建一个新证书并使用-days标志使其有效一年。在同一个命令中，我们将添加一个私有的2048位RSA密钥。通过将-keyout和-out标志设置为相同的值，私钥和证书将位于同一文件中：
sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem系统将提示您提供证书的地址信息。将您自己的信息替换为以下突出显示的值：
OutputGenerating a 2048 bit RSA private key
............................................................................+++
...........+++
writing new private key to '/etc/ssl/private/vsftpd.pem'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:NY
Locality Name (eg, city) []:New York City
Organization Name (eg, company) [Internet Widgits Pty Ltd]:DigitalOcean
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []: your_server_ip
Email Address []:创建证书后，再次打开vsftpd配置文件：
sudo nano /etc/vsftpd.conf在文件的底部，您将看到两行rsa_开头的内容。为它们注解，看起来像这样：
. . .
# rsa_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
# rsa_private_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
. . .在它们下面，添加以下指向我们刚刚创建的证书和私钥的行：
. . .
rsa_cert_file=/etc/ssl/private/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.pem
. . .之后，我们将强制使用SSL，这将阻止无法处理TLS的客户端连接。这对于确保所有流量都已加密是必要的，但它可能会强制您的FTP用户更改客户端。更改ssl_enable到YES：
/etc/vsftpd.conf文件
. . .
ssl_enable=YES
. . .之后，添加以下行以显式拒绝SSL上的匿名连接，并要求SSL进行数据传输和登录：
. . .
allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES
. . .在此之后，通过添加以下行将服务器配置为使用TLS（SSL的首选后继者）：
. . .
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO
. . .最后，我们将添加两个选项。首先，我们不会要求重用SSL，因为它可能会破坏许多FTP客户端。我们将需要“高”加密密码套件，目前这意味着密钥长度等于或大于128位：
. . .
require_ssl_reuse=NO
ssl_ciphers=HIGH
. . .完成的文件部分应如下所示：
# This option specifies the location of the RSA certificate to use for SSL
# encrypted connections.
#rsa_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
#rsa_private_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
rsa_cert_file=/etc/ssl/private/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.pem
ssl_enable=YES
allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO
require_ssl_reuse=NO
ssl_ciphers=HIGH完成后，保存并关闭文件。
重新启动服务器以使更改生效：
sudo systemctl restart vsftpd此时，我们将无法再使用不安全的命令行客户端进行连接。如果我们尝试过，我们会看到类似的东西：
Outputftp -p 203.0.113.0
Connected to 203.0.113.0.
220 (vsFTPd 3.0.3)
Name (203.0.113.0:default): sammy
530 Non-anonymous sessions must use encryption.
ftp: Login failed.
ftp>接下来，让我们验证我们是否可以使用支持TLS的客户端进行连接。
第7步 - 使用FileZilla测试TLS
大多数现代FTP客户端都可以配置为使用TLS加密。我们将演示如何与FileZilla连接，因为它支持跨平台。请参阅其他客户的文档。
当你第一次打开FileZilla中，找到刚才上面的字站点管理器图标主机，顶行最左侧的图标。点击它：
将打开一个新窗口。单击右下角的“ 新建站点”按钮：
在“ 我的网站”下，将出现一个带有“ 新网站 ”字样的新图标。您可以立即命名或稍后返回并使用“ 重命名”按钮。
使用名称或IP地址填写主机字段。在“ 加密”下拉菜单下，选择“ 要求显式FTP over TLS”。
对于登录类型，选择询问密码。在“ 用户”字段中填写您的FTP用户：
点击连接在界面的底部。系统将要求您输入用户密码：
单击确定以进行连接。您现在应该使用TLS / SSL加密与您的服务器连接。
成功后，您将看到一个如下所示的服务器证书：
当您接受证书后，双击files文件夹并向左拖动upload.txt以确认您能够下载文件：
完成后，右键单击本地副本，将其重命名为upload-tls.txt并将其拖回服务器以确认您可以上载文件：
您现在已确认可以安全地成功传输启用了SSL / TLS的文件。
第8步 - 禁用Shell访问（可选）
如果由于客户端要求而无法使用TLS，则可以通过禁用FTP用户以任何其他方式登录的方式来获得一些安全性。一种相对简单的方法是通过创建自定义shell来防止它。这不会提供任何加密，但会限制受感染帐户对FTP可访问的文件的访问。
首先，打开目录bin中的ftponly文件：
sudo nano /bin/ftponly添加一条消息，告诉用户他们无法登录的原因：
#!/bin/sh
echo "This account is limited to FTP access only."保存文件并退出编辑器。
更改权限以使文件可执行：
sudo chmod a+x /bin/ftponly打开有效shell列表：
sudo nano /etc/shells在底部添加：
. . .
/bin/ftponly使用以下命令更新用户的shell：
sudo usermod sammy -s /bin/ftponly现在尝试以sammy身份登录您的服务器：
ssh sammy@your_server_ip你应该看到类似的东西：
This account is limited to FTP access only.
Connection to 203.0.113.0 closed.这确认用户不能再ssh访问服务器，仅限于FTP访问。
结论
在本教程中，我们介绍了为具有本地帐户的用户设置FTP。如果您需要使用外部身份验证源，您可能希望了解vsftpd对虚拟用户的支持。这通过使用PAM（可插入身份验证模块）提供了丰富的选项，如果您管理其他系统（如LDAP或Kerberos）中的用户，这是一个不错的选择。
想要了解更多关于为用户目录设置vsftpd的相关教程，请前往腾讯云+社区学习更多知识。
参考文献：《How To Set Up vsftpd for a User's Directory on Debian 9》
原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。
如有侵权，请联系 cloudcommunity@tencent.com 删除。
原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。
如有侵权，请联系 cloudcommunity@tencent.com 删除。