vsftpd添加用户并分配不同权限

最近有个需求,就是不同的ftp用户能操作不同的目录,这样就能防止文件被乱动。

centos6.5服务器上装的是vsftpd。

一、安装vsftpd

1.安装vsftpd组件

yum -y install vsftpd

安装完后,有/etc/vsftpd/vsftpd.conf 文件,是vsftp的配置文件。

2.防火墙开启21端口

因为ftp默认的端口为21,而centos默认是没有开启的,所以要修改iptables文件

vim /etc/sysconfig/iptables

在行上面有22 -j ACCEPT 下面另起一行输入跟那行差不多的,只是把22换成21,然后:wq保存,重启iptables

service iptables restart

3.修改selinux

外网是可以访问上去了,可是发现没法返回目录(使用ftp的主动模式,被动模式还是无法访问),也上传不了,因为selinux作怪了。 修改selinux:

getsebool -a | grep ftp

如果上面的命令出现selinux is disabled,则先把selinux改成SELINUX=enforcing,使用下面的命令

vim /etc/selinux/config

接着再修改selinux,开启外网访问,把这两个选项都改成on

setsebool -P allow_ftpd_full_access on
setsebool -P ftp_home_dir on

二、开始操作

1.实验目标

实现在同一跟目录下对admin,upload,download三个虚拟用户的不同权限的控制。具体权限控制列表如下:

以上三个虚拟用户均不允许登录系统,并且使用ftp时会被锁定在指定目录内不可进入系统其他目录。

2.配置vsftpd

#添加一个不能登录系统的用户,用来做虚拟用户映射
[root@localhost vsftpd] useradd -s /sbin/nologin -d /home/CodeTiger -M CodeTiger
[root@localhost vsftpd] passwd CodeTiger
#创建虚拟用户列表,分别是upload、download和admin
[root@localhost vsftpd] touch /etc/vsftpd/vu_list.txt
[root@localhost vsftpd] echo upload >>/etc/vsftpd/vu_list.txt
[root@localhost vsftpd] echo 111111 >>/etc/vsftpd/vu_list.txt
[root@localhost vsftpd] echo download >>/etc/vsftpd/vu_list.txt
[root@localhost vsftpd] echo 111111 >>/etc/vsftpd/vu_list.txt
[root@localhost vsftpd] echo admin >>/etc/vsftpd/vu_list.txt
[root@localhost vsftpd] echo 111111 >>/etc/vsftpd/vu_list.txt
#查看列表内容
[root@localhost vsftpd] cat /etc/vsftpd/vu_list.txt
upload
111111
download
111111
admin
111111
#保存虚拟帐号和密码的文本文件无法被系统帐号直接调用,需要创建用于系统认证的db文件
[root@localhost vsftpd] db_load -T -t hash -f /etc/vsftpd/vu_list.txt /etc/vsftpd/vu_list.db
#创建db文件需要db4支持,如果系统没安装请安装
[root@localhost vsftpd] yum -y install db4 db4-devel db4-utils
#修改db文件的权限,以免被非法用户修改
[root@localhost vsftpd] chmod 600 /etc/vsftpd/vu_list.db

3.配置PAM文件

由于服务器通过调用系统PAM模块来对客户端进行身份验证,因此需要修改指定的配置文件来调整认证方式。PAM模块的配置文件路径为:/etc/pam.d/,这个目录下存放只许多与用户认证有关的配置文件。

[root@localhost pam.d] ls
chfn                 login             remote             smtp          sudo-i
chsh                 newrole           run_init           smtp.postfix  su-l
config-util          other             runuser            sshd          system-auth
crond                passwd            runuser-l          ssh-keycat    system-auth-ac
fingerprint-auth     password-auth     smartcard-auth     su            vsftpd
fingerprint-auth-ac  password-auth-ac  smartcard-auth-ac  sudo

编辑vsftpd文件

32位系统添加:

auth          required     /lib/security/pam_userdb.so     db=/etc/vsftpd/vu_list
account    required     /lib/security/pam_userdb.so     db=/etc/vsftpd/vu_list

64位系统添加:

auth       required     /lib64/security/pam_userdb.so   db=/etc/vsftpd/vu_list
account    required     /lib64/security/pam_userdb.so   db=/etc/vsftpd/vu_list

把原本的内容注释掉,用上面的两行代替,不然本地使用xftp无法连接,修改完后,vsftpd文件内容如下

[root@localhost pam.d] cat vsftpd 
#%PAM-1.0
#session    optional     pam_keyinit.so    force revoke
#auth       required    pam_listfile.so item=user sense=deny file=/etc/vsftpd/ftpusers onerr=succeed
#auth       required    pam_shells.so
#auth       include password-auth
#account    include password-auth
#session    required     pam_loginuid.so
#session    include password-auth
auth       required     /lib64/security/pam_userdb.so   db=/etc/vsftpd/vu_list
account    required     /lib64/security/pam_userdb.so   db=/etc/vsftpd/vu_list

创建虚拟用户配置文件

#创建conf文件夹
[root@localhost pam.d] cd /etc/vsftpd
[root@localhost vsftpd] mkdir conf
[root@localhost vsftpd] cd conf
#创建admin用户的配置文件
[root@localhost conf] cat >>admin<< EOF
> anon_world_readable_only=NO
> write_enable=YES
> anon_mkdir_write_enable=YES
> anon_other_write_enable=YES
> anon_upload_enable=YES
> local_root=/home/CodeTiger
> EOF
#创建upload用户的配置文件
[root@localhost conf] cat >>upload<< EOF
> write_enable=NO
> anon_upload_enable=YES
> anon_mkdir_write_enable=YES
> anon_world_readable_only=NO
> download_enable=NO
> local_root=/home/CodeTiger
> EOF
#创建download用户的配置文件
[root@localhost conf] cat >>download<< EOF
> anon_world_readable_only=NO
> local_root=/home/CodeTiger
> EOF

修改vsftpd.conf文件

首先备份默认的配置文件,然后把配置文件里面的内容全部删了,换成下面的内容

# Example config file /etc/vsftpd/vsftpd.conf
anonymous_enable=NO
local_enable=YES
write_enable=NO
anon_upload_enable=NO
anon_mkdir_write_enable=NO
anon_other_write_enable=NO
connect_from_port_20=YES
xferlog_file=/var/log/vsftpd.log
xferlog_enable=YES
chroot_local_user=YES
listen=YES

pam_service_name=vsftpd

guest_enable=YES
guest_username=CodeTiger
user_config_dir=/etc/vsftpd/conf

到此,就大功告成。

三、测试

首先创建目录home/CodeTiger,之后使用本地的xftp连接,不过得关闭被动模式

经测试,连接成功,各个用户的权限正常

虚拟用户配置文件的local_root属性即可。

四、遇到的问题

1.xftp提示用户认证失败

是因为修改pam.d/vsftpd的时候,没有把其他的内容注释掉导致的。

2.xftp能连接,但没有目录显示

关闭被动模式即可。

原文发布于微信公众号 - 秃头哥编程(xp_1311664842)

原文发表时间:2019-06-10

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

扫码关注云+社区

领取腾讯云代金券