第二十一章、vsFTPd 文件服务器

本章的行前准备工作

• 必须要熟悉网络基础，尤其是网络连接的创建是双向的这个概念；
• 必须要了解防火墙的机制，尤其当防火墙架设在路由器上的网络架构时。
• 必须要了解 stand alone 与 super daemon 的启动方式。

FTP 的数据链接原理

FTP 功能简介

FTP 的运作流程与使用到的端口口

FTP 的传输使用的是较为可靠的 TCP 封包协定，在前几章的网络基础当中我们谈过， TCP 这种封包格式在创建连接前会先进行三向交握的。不过 FTP 服务器是比较麻烦一些，因为 FTP 服务器使用了两个连接，分别是命令信道与数据流信道 (ftp-data) 。这两个连接都需要经过三向交握， 因为是 TCP 封包嘛！那么这两个连接信道的关系是如何呢？底下我们先以 FTP 缺省的主动式 (active) 连接来作个简略的说明啰：


图一、FTP 服务器的主动式连接示意图
简单的连接就如上图所示，至于连接的步骤是这样的：

1. 创建命令信道的连接
   如上图一所示，用户端会随机取一个大于 1024 以上的端口口 (port AA) 来与 FTP 服务器端的 port 21 达成连接， 这个过程当然需要三向交握了！达成连接后用户端便可以通过这个连接来对 FTP 服务器下达指令， 包括查找文件名、下载、上传等等指令都是利用这个信道来下达的；


2. 通知 FTP 服务器端使用 active 且告知连接的端口号
   FTP 服务器的 21 端口号主要用在命令的下达，但是当牵涉到数据流时，就不是使用这个连接了。 用户端在需要数据的情况下，会告知服务器端要用什么方式来连接，如果是主动式 (active) 连接时， 用户端会先随机激活一个端口口 (图一当中的 port BB) ，且通过命令信道告知 FTP 服务器这两个信息，并等待 FTP 服务器的连接；


3. FTP 服务器『主动』向用户端连接
   FTP 服务器由命令信道了解用户端的需求后，会主动的由 20 这个端口号向用户端的 port BB 连接， 这个连接当然也会经过三向交握啦！此时 FTP 的用户端与服务器端共会创建两条连接，分别用在命令的下达与数据的传递。 而缺省 FTP 服务器端使用的主动连接端口号就是 port 20 啰！

如此一来则成功的创建起『命令』与『数据传输』两个信道！不过，要注意的是， 『数据传输信道』是在有数据传输的行为时才会创建的信道喔！并不是一开始连接到 FTP 服务器就立刻创建的信道呢！留意一下啰！

---

使用到的端口号

利用上述的说明来整理一下 FTP 会使用到的端口号主要有：

• 命令信道的 ftp (缺省为 port 21) 与
• 数据传输的 ftp-data (缺省为port 20)。

再强调一次，这两个端口口的工作是不一样的，而且，重要的是两者的连接方向是不一样的！ 首先， port 21 主要接受来自用户端的主动连接，至于 port 20 则为 FTP 服务器主动连接至用户端呢！ 这样的情况在服务器与用户端两者同时为公共 IP (Public IP) 的互联网上面通常没有太大的问题，不过， 万一你的用户端端是在防火墙后端，或者是 NAT 主机后端呢？会有什么问题发生呢？底下我们来谈一谈这个严重的问题！

---

在 FTP 服务器与用户端之间具有防火墙的连接问题：

还记得我们的防火墙章节吧？一般来说，很多的局域网路 (LAN) 都会使用防火墙 (iptables) 的 NAT 功能，那么在 NAT 主机后端的 FTP 用户如何连接到 FTP 服务器呢？ 我们可以简单的以下图来说明：


图二、若 FTP 用户端与服务器端连接中间具有防火墙的连接状态

1. 命令信道的创建：
   因为 NAT 主机会主动的记录由内部送往外部的连接信息，而由于命令信道的创建是由用户端向服务器端连接的， 因此这一条连接可以顺利的创建起来的；


2. 数据信道创建时的通知：
   同样的，用户端主机会先激活 port BB ，并通过命令信道告知 FTP 服务器，且等待主机端的主动连接；


3. 主机的主动连接问题：
   但是由于通过 NAT 主机的转换后，FTP 服务器只能得知 NAT 主机的 IP 而不是用户端的 IP ， 因此 FTP 服务器会以 port 20 主动的向 NAT 主机的 port BB 发送主动连接的要求。 但你的 NAT 主机并没有启动 port BB 来监听 FTP 服务器的连接啊！

了解问题的所在了吗？在 FTP 的主动式连接当中，NAT 主机将会被视为用户端，但 NAT 主机其实并非用户端啊， 这就造成问题了。如果你曾经在 IP 分享器后面连接某些 FTP 服务器时，可能偶尔会发现明明就连接上 FTP 服务器了 (命令信道已创建)，但是就是无法取得文件名称的列表，而是在超过一段时间后显示『 Can't build data connection: Connection refused，无法进行数据传输』之类的消息， 那肯定就是这个原因所造成的困扰了。

那有没有办法可以克服这个问题呢？难道真的在 Linux NAT 主机后面就一定无法使用 FTP 吗？当然不是！ 目前有两个简易的方法可以克服这个问题：

• 使用 iptables 所提供的 FTP 侦测模块：
  其实 iptables 早就提供了许多好用的模块了，这个 FTP 当然不会被错过！ 你可以使用 modprobe 这个指令来加载 ip_conntrack_ftp 及 ip_nat_ftp 等模块，这几个模块会主动的分析『目标是 port 21 的连接』信息， 所以可以得到 port BB 的数据，此时若接受到 FTP 服务器的主动连接，就能够将该封包导向正确的后端主机了！ ^_^
  
  不过，如果你链接的目标 FTP 服务器他的命令信道缺省端口号并非标准的 21 端口号时 (例如某些地下 FTP 服务器)， 那么这两个模块就无法顺利解析出来了，这样说，理解吗？
  
  
• 用户端选择被动式 (Passive) 连接模式：
  除了主动式连接之外，FTP 还提供一种称为被动式连接的模式，什么是被动式呢？ 既然主动式是由服务器向用户端连接，反过来讲，被动式就是由用户端向服务器端发起连接的啰！ 既然是由用户端发起连接的，那自然就不需要考虑来自 port 20 的连接啦！关于被动式连接模式将在下一小节介绍喔！

用户端选择被动式连接模式

那么什么是被动式连接呢？我们可以使用底下的图标来作个简略的介绍喔：


图三、被动式连接的方向

1. 创建命令信道：
   同样的需要创建命令信道，通过三向交握就可以创建起这个信道了。


2. 发出 PASV 的连接要求：
   当有使用数据信道的指令时，用户端可通过命令信道发出 PASV 的被动式连接要求 (Passive 的缩写)， 并等待服务器的回应；


3. FTP 服务器启动数据端口口，并通知用户端连接：
   如果你的 FTP 服务器是能够处理被动式连接的，此时 FTP 服务器会先启动一个端口口在监听。 这个端口口号码可能是随机的，也可以自订某一范围的端口口，端看你的 FTP 服务器软件而定。 然后你的 FTP 服务器会通过命令信道告知用户端该已经启动的端口口 (图中的 port PASV)， 并等待用户端的连接。


4. 用户端随机取用大于 1024 的端口口进行连接：
   然后你的用户端会随机取用一个大于 1024 的端口号来对主机的 port PASV 连接。 如果一切都顺利的话，那么你的 FTP 数据就可以通过 port BB 及 port PASV 来发送了。

发现上面的不同点了吗？被动式 FTP 数据信道的连接方向是由用户端向主机端连接的喔！ 如此一来，在 NAT 主机内部的用户端主机就可以顺利的连接上 FTP Server 了！但是，万一 FTP 主机也是在 NAT 后端那怎么办.....呵呵！那可就糗了吧～ @_@这里就牵涉到更深入的 DMZ 技巧了，我们这里暂不介绍这些深入的技巧，先理解一下这些特殊的连接方向， 这将有助于您未来服务器架设时候的考虑因素喔！

此外，不晓得您有无发现，通过 PASV 模式，服务器在没有特别设置的情况下，会随机选取大于 1024 的端口口来提供用户端连接之用。那么万一主机激活的端口口被搞鬼怎么办？而且， 如此一来也很难追踪来自入侵者攻击的登录信息啊！所以，这个时候我们可以通过 passive ports 的功能来『限定』主机激活的 port number 喔！

FTP 的安全性问题与替代方案

开放什么身份的用户登录

vsftpd 服务器基础设置

为何使用 vsftpd

所需要的套件以及套件结构

vsftpd.conf 设置值说明

vsftpd 启动的模式

[root@linux ~]# /etc/init.d/vsftpd start
[root@linux ~]# netstat -tulnp| grep 21
tcp  0  0 0.0.0.0:21  0.0.0.0:*   LISTEN   11689/vsftpd
# 看到啰，是由 vsftpd 所启动的呢！

[root@linux ~]# vi /etc/vsftpd/vsftpd.conf
# 找到底下这一行：大约在 109 行左右啦！
listen=YES
# 将他改成这样啊：
listen=NO

[root@linux ~]# vi /etc/xinetd.d/vsftpd
service ftp
{
        socket_type             = stream
        wait                    = no
        user                    = root
        server                  = /usr/sbin/vsftpd
        log_on_success          += DURATION USERID
        log_on_failure          += USERID
        nice                    = 10
        disable                 = no
}

[root@linux ~]# /etc/init.d/vsftpd stop
[root@linux ~]# /etc/init.d/xinetd restart
[root@linux ~]# netstat -tulnp| grep 21
tcp  0  0 0.0.0.0:21  0.0.0.0:*   LISTEN   32274/xinetd

CentOS 的 vsftpd 默认值

[root@linux ~]# vi /etc/vsftpd/vsftpd.conf
# 底下鸟哥仅列出有设置的项目，若无设置时，请以您系统的 man 5 vsftpd.conf 
# 结果去搜索默认值即可喔！
# 1. 与匿名者有关的信息：
anonymous_enable=YES

# 2. 与实体用户有关的设置
local_enable=YES
write_enable=YES
local_umask=022
userlist_enable=YES

# 3. 与主机有关的设置
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
pam_service_name=vsftpd
listen=YES
tcp_wrappers=YES

[root@linux ~]# vi /etc/vsftpd/vsftpd.conf
# 在这个文件当中加入这一句即可
use_localtime=YES
.....底下省略.....

[root@linux ~]# /etc/init.d/vsftpd restart

仅有实体用户登录的设置

[root@linux ~]# vi /etc/vsftpd/vsftpd.conf
# 增加是否设置针对某些用户来 chroot 的相关设置呦！
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd.chroot_list

[root@linux ~]# /etc/init.d/vsftpd restart

[root@linux ~]# vi /etc/vsftpd.chroot_list
dmtsai
bird1

[root@linux ~]# vi /etc/vsftpd/vsftpd.conf
# 缺省所有实体用户被 chroot 而开放某些人可完整访问 (不 chroot) 的情况
chroot_local_user=YES
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd.chroot_list

[root@linux ~]# /etc/init.d/vsftpd restart

[root@linux ~]# vi /etc/vsftpd.chroot_list
nikky

[root@linux ~]# vi /etc/vsftpd/vsftpd.conf
# 增加底下这一个参数即可：
local_max_rate=100000

[root@linux ~]# /etc/init.d/vsftpd restart

[root@linux ~]# vi /etc/vsftpd/vsftpd.conf
# 增加底下的这两个参数：
max_clients=10
max_per_ip=1

[root@linux ~]# /etc/init.d/vsftpd restart

[root@linux ~]# vi /etc/vsftpd/vsftpd.conf
# 这几个参数必须要修改成这样：
userlist_enable=YES
userlist_deny=NO
userlist_file=/etc/vsftpd.user_list

[root@linux ~]# /etc/init.d/vsftpd restart

仅有匿名登录的相关设置

[root@linux ~]# mkdir /var/ftp/linux
[root@linux ~]# mkdir /var/ftp/gnu

[root@linux ~]# vi /etc/vsftpd/vsftpd.conf
# 添加底下这几行啊！
write_enable=YES
anon_other_write_enable=YES
anon_mkdir_write_enable=YES
anon_upload_enable=YES

[root@linux ~]# /etc/init.d/vsftpd restart

[root@linux ~]# mkdir /var/ftp/upload
[root@linux ~]# chown ftp /var/ftp/upload

[root@linux ~]# vi /etc/vsftpd/vsftpd.conf
# 将这几行给他改一改先！
write_enable=YES
anon_mkdir_write_enable=YES
anon_upload_enable=YES
chown_uploads=YES
chown_username=root

[root@linux ~]# /etc/init.d/vsftpd restart

[root@linux ~]# vi /etc/vsftpd/vsftpd.conf
# 增加底下这几行即可啊！
pasv_min_port=65400
pasv_max_port=65410

[root@linux ~]# /etc/init.d/vsftpd restart

用户端的 FTP 连接软件

• 说明网站：http://filezilla.sourceforge.net/
• 下载网站：http://sourceforge.net/project/showfiles.php?group_id=21558

图四、Filezilla 的操作方式

1. 代表 FTP 服务器的输出信息，例如欢迎消息等信息；
2. 代表本机的文件，与 3 有关；
3. 代表本机的磁盘机所在处，与 2 有关；
4. 代表远程 FTP 服务器的目录与文件；
5. 代表传输时的队列信息

1. 站台管理员，你可以将一些常用的 FTP 服务器的 IP 与用户信息记录在此；
2. 更新，如果你的数据有更新，可使用这个按钮来同步 filezilla 的屏幕显示；
3. 地址、用户、密码与连接端口这四个玩意儿可以即时连接，不记录信息。

图五、Filezilla 的操作方式

1. 先按下『新站台』的按钮，然后在箭头 2 的地方就会出现可输入的方框；
2. 在该方框当中填写一个你容易记录的名字，随便填写也没有关系的；
3. 在这个方框当中填写主机的 IP 就好了，连接端口如果不是标准的 port 21 ，请填写其他端口口。
4. 这个地方可以挑选不同的连接机制，包括几个常见的机制为：
   • 标准 FTP
   • FTP + SSL/TLS 加密机制
   • FTP + SSL 加密机制
   • SFTP (通过 SSH)
   • FTP + TLS 加密机制
   如果你预计要利用 filezilla 连接到 sftp 的话，这个地方可以挑选 sftp 喔！不然的话就用 FTP 即可；
5. 在这里选择匿名登录或者是一般登录，所谓一般登录即是利用实体帐号来登录；
6. 在这里如果使用一般登录时，则你可以填写用户及密码字段，否则就会主动以 anonymous 来匿名登录呢！

图六、Filezilla 的操作方式

图七、Filezilla 的操作方式

其他 FTP 服务器相关设置

防火墙设置

iptables -A INPUT -p TCP -i $EXTIF --dport 21 -j ACCEPT

iptables -A INPUT -p TCP -i $EXTIF --dport 65400:65410 -j ACCEPT

[root@linux ~]# vi /etc/hosts.allow
vsftpd: 192.168.1.0/255.255.255.0

[root@linux ~]# vi /etc/hosts.deny
vsftpd: ALL

Super daemon 的额外管理项目

[root@linux ~]# vi /etc/xinetd.d/vsftpd
# vsftpd is the secure FTP server.
service ftp
{
    disable           = no
    socket_type       = stream
    wait              = no
    user              = root
    server            = /usr/sbin/vsftpd
    server_args       = /etc/vsftpd/vsftpd.conf 
# 上面这个 server 的设置请依照您的主机环境来设置！
# 至于 server_args 则请写入您的 vsftpd 的设置档完整文件名即可！
    per_source        = 5     <==与同一 IP 的连接数目有关
    instances         = 200   <==同一时间最多的连接数目
    no_access         = 192.168.1.3
    banner_fail       = /etc/vsftpd/vsftpd.busy_banner
# 上面这个文件就是当主机忙碌中，则在 Client 端显示的内容！
    log_on_success    += PID HOST DURATION
    log_on_failure    += HOST
}

[root@linux ~]# vi /etc/vsftpd/vsftpd.conf
# 确定这个文件内存在这个参数喔！
listen=NO

[root@linux ~]# vi /etc/vsftpd/vsftpd.busy_banner
421 很抱歉，服务器现在上线人数过多，请待会儿再连接！
# 那个 421 是错误代码哩！

[root@linux ~]# /etc/init.d/vsftpd stop
[root@linux ~]# /etc/init.d/xinetd restart

常见问题与解决之道

重点回顾

• FTP 是文件传输协定 (File Transfer Protocol) 的简写，主要的功能是进行服务器与用户端的文件管理、传输等事项；
• FTP 的服务器软件非常多，例如 Wu FTP, Proftpd, vsftpd 等等，各种 FTP 服务器软件的发展理念并不相同， 所以选择时请依照您的需求来决定所需要的软件套件；
• FTP 使用的是明码传输，而过去一些 FTP 服务器软件也曾被发现安全漏洞，因此设置前请确定该软件已是最新版本，避免安全议题的衍生；
• 由于 FTP 是明码传输，其实可以使用 SSH 提供的 sftp 来取代 FTP ；
• 大多数的 FTP 服务器软件都提供 chroot 的功能，将实体用户限制在他的家目录内；
• FTP 这个 daemon 比较常以 super daemon 来管理，亦即 xinetd 或者是 inet 来管理；
• FTP 这个 daemon 所打开的正规端口口为 20 与 21 ，其中 21 为命令信道， 20 为数据传输信道；
• FTP 的数据传输方式主要分为主动与被动(Passive, PASV)，如果是主动的话，则 ftp-data 在服务器端主动以 port 20 连接到用户端，否则则开放被动式监听的端口口等待用户端来连接；
• 在 NAT 主机内的用户端 FTP 软件连接时可能发生困扰，这可以通过 iptables 的 nat 模块或利用被动式连接来克服；
• 一般来说， FTP 上面共有三个群组，分别是实体用户、访客与匿名登录者(real, guest, anonymous)；
• 可以借由修改 /etc/passwd 里面的 Shell 字段，来让用户仅能使用 FTP 而无法登录主机；
• FTP 的指令、与用户活动所造成的注册表是放置在 /var/log/xferlog 里面；
• 在用户端使用 ftp 这个程序时，可以加上『 ftp -p hostname』来让连接变成 passive 模式。
• vsftpd 为专注在安全议题上而发展的一套 FTP 服务器软件，他的设置档在 /etc/vsftpd/vsftpd.conf ；

课后练习

• FTP 在创建连接以及数据传输时，会创建哪些连接？
  需创建两种连接，分别是命令信道与数据传输信道。在主动式连接上为 port 21(ftp) 与 port 20(ftp-data)。
• FTP 主动式与被动式连接有何不同？
  主动式连接的时候，命令连接是由 client 端主动连接到主机端，但是 ftp-data 则是由主机端主动的连接到 client 端。至于被动式连接的时候，则不论 command 还是 ftp-data 的连接，服务器端都是监听客户端的要求的！
• 有哪些动作可以让您的 FTP 主机更为安全 (secure) ？
  • 随时更新服务器软件到最新版本；
  • 让 guest 与 anonymous 的家目录限制在固定的目录中(chroot 或是 restricted)；
  • 使用 TCP_Wrappers 启动 FTP ，并以他来控制可连接的 IP；
  • 拒绝 guest 与 anonymous 使用 change, delete, rename 等等指令；
  • 拒绝 root 的登录或者其他系统帐号的登录；
  • 拒绝大部分的 upload 行为！
• 我们知道 ftp 会激活两个 ports ，请问这两个 port 在哪里规范的 (以 vsftpd 为例)？而且，一般正规的 port 是几号？
  若为 stand alone 时，都是由 vsftpd.conf 规范，命令信道为 listen_port=21 规范，数据连接为 connect_from_port_20=YES 及pasv_max_port=0, pasv_max_port=0 所规范。
  若是 super daemon 所管理时，命令信道则由 /etc/services 所规范了。
• 那几个文件可以用来抵挡类似 root 这种系统帐号的登录 FTP？
  /etc/vsftpd.ftpusers
  /etc/vsftpd.user_list
• 在 FTP 的 server 与 client 端进行数据传输时，有哪两种模式？为何这两种模式影响数据的传输很重要？
  数据的传输有 ASCII 与 Binary 两种方式，在进行 ascii 发送方式时，被发送的文件将会以文本模式来进行发送的行为， 因此，文件的属性会被修改过，可能造成运行档最后却无法运行等的问题！一般来说，ASCII 通常仅用在文本文件与一些原代码文件的发送。
• 我的主机明明时区设置没有问题，但为何登录 vsftpd 这个 FTP 服务时，时间就是少八小时？该如何解决？
  肯定是时区方面出了问题，应该就是 vsftpd.conf 里面少了『 use_localtime=YES 』这个参数了。

参考数据

• vsftpd 官方网站：http://vsftpd.beasts.org/
• man 5 vsftpd.conf
• Filezilla 官方网站：http://filezilla.sourceforge.net/