1、FTP简介：
在FTP的使用当中，用户经常遇到两个概念："下载"（Download）和"上传"（Upload）。
"下载"文件就是从远程主机拷贝文件至自己的计算机上；
"上传"文件就是将文件从自己的计算机中拷贝至远程主机上。
用Internet语言来说，用户可通过客户机程序向（从）远程主机上传（下载）文件。
FTP服务器默认使用TCP协议的20、21端口与客户端进行通信。
20端口用于建立数据连接，并传输文件数据；
21端口用于建立控制连接，并传输FTP控制命令。
根据FTP服务器在建立数据连接过程中的主、被动关系，FTP数据连接分为主动模式和被动模式：
主动模式：服务器主动发起数据连接。首先由客户端向服务端的21端口建立FTP控制连接，当需要传输数据时，客户端以PORT命令告知服务器“我打开了某端口，你过来连接我”，于是服务器从20端口向客户端的该端口发送请求并建立数据连接。
被动模式：服务器被动等待数据连接。如果客户机所在网络的防火墙禁止主动模式连接，通常会使用被动模式。首先由客户端向服务端21端口建立FTP控制连接，当需要传输数据时，服务器以PASV命令告知客户端“我打开了某个端口，你过来连接我”，于是客户端向服务器的该端口（非20）发送请求并建立数据连接。
FTP用户类型
匿名用户：anonymous 或 ftp，提供任意密码都可以通过服务器的验证，一般用于提供公共文件的下载。
本地用户：直接使用本机的系统用户，账号名称、密码等信息保存在 passwd、shadow 文件中。
虚拟用户： 使用独立的账号/密码数据文件，将FTP账户与系统账户的关联性降至最低，可以为系统提供更好的安全性。
anonymous_enable=YES：启用匿名访问
anon_umask=022：匿名用户所上传文件的权限
anon_root=/var/ftp：匿名用户的 FTP 根目录
anon_upload_enable=YES：允许匿名用户上传文件
anon_mkdir_write_enable=YES：允许匿名用户创建目录
anon_other_write_enable=YES：开放匿名用户其他写入权
local_umask=022：本地用户所上传文件的权限掩码
local_root=/var/ftp：设置本地用户的 FTP 根目录
local_enable=YES：本地用户可以登陆
write_enable=YES：本地用户可写
anon_world_readable_only=YES：匿名用户可以下载
anon_other_write_enable=YES：匿名用户可以删除
anon_mkdir_write_enable=YES：匿名用户可以新建目录
2、搭建过程
1、实验环境：
搭建好yum源、关闭selinux
server1服务器端：172.25.1.1
server2客户端：172.25.1.2
注意：lftp和vsftpd不一样，vsftpd是服务端需要安装的服务，lftp是客户端需要安装的服务
可能的报错：
500 文件系统权限过大
530 用户认证失败
550 服务功能未开放
553 本地文件系统权限过小
2、服务器端：
[root@server1 ~]# yum install -y vsftpd
[root@server1 ~]#systemctl start vsftpd
[root@server1 ~]#systemctl enable vsftpd
若此时防火墙处于开机状态，则：
[root@server1 ~]#firewall-cmd --permanent --add-server=ftp //让防火墙允许ftp服务通过
[root@server1 ~]#firewall-cmd --reload //重新加载防火墙
[root@server1 ~]#cd /var/ftp/pub/ //ftp的默认发布目录,可以给目录下随便下载点东西
1.设置匿名用户上传
[root@server1 pub]# vim /etc/vsftpd/vsftpd.conf //ftp的配置文件
anon_upload_enable=YES //匿名用户可上传
write_enable=YES //本地用户可写
[root@server1 ~]# systemctl restart vsftpd
[root@server1 pub]# chmod 775 /var/ftp/pub
[root@server1 pub]# chgrp ftp /var/ftp/pub
3、客户端下载服务lftp
[root@server2 ~]# yum install -y lftp
[root@server2 ~]# lftp 172.25.1.1 //使用lftp连接时默认进入的是服务器端的/var/ftp/
可以看出已经上传成功，应该注意：上传文件的时候必须在pub目录下进行，匿名用户是否可以上传的前提是本地用户可写
[root@server1 pub]# ls //此时可以在服务器端看到passwd文件已经上传到服务器
passwd zabbix
2.匿名用户上传速率的设置
[root@server1 pub]# vim /etc/vsftpd/vsftpd.conf
anon_max_rate=102400 将速率设置为100K
[root@server1 pub]# systemctl restart vsftpd
对比不设置上传速率与设置之后的区别，可以看出上传速率明显受到限制
3.umask的设置
默认本地文件的权限为022
local_umask=022
[root@server1 pub]# vim /etc/vsftpd/vsftpd.conf
[root@server1 pub]# systemctl restart vsftpd
修改之后是：
修改后的文件权限已经被更改
3.限制本地用户浏览目录,即只有登陆服务器端的用户（本地用户）才可进行访问
[root@server1 pub]# vim /etc/vsftpd/vsftpd.conf
[root@server1 pub]# systemctl restart vsftpd
服务器端拥有用户student,密码为redhat ;没有用户linux
客户端拥有用户linux，密码为redhat
此时，我们以linux进行登陆
[root@server2 ~]# lftp 172.25.1.1 -u linux //可以看出访问被拒
若用student进行登陆：
[root@server2 ~]# lftp 172.25.1.1 -u student //可以看出用服务器端的本地用户进行登陆可以访问
4.用户黑白名单的设定
首先是黑名单的设定(锁定在家目录中)
[root@server1 pub]# vim /etc/vsftpd/vsftpd.conf
[root@server1 pub]# vim /etc/vsftpd/chroot_list
[root@server1 pub]# systemctl restart vsftpd
刚才student用户是可以进行访问的
[root@server2 ~]# lftp 172.25.1.1 -u student //可以看出此时已经无法访问根目录了
其次是白名单的设定
[root@server1 pub]# vim /etc/vsftpd/vsftpd.conf
[root@server1 pub]# systemctl restart vsftpd
[root@server2 ~]# lftp 172.25.1.1 -u student
[root@server2 ~]# lftp 172.25.1.1 -u linux //可以看出此时是可以访问的
除白名单student外其他用户均不可进行访问
5.用户黑白名单的永久设定
- 设置永久黑名单
[root@server1 pub]# vim /etc/vsftpd/ftpusers
[root@server2 ~]# lftp 172.25.1.1 -u student //登陆失败
- 设置黑名单让其无法登陆
[root@server1 pub]# vim /etc/vsftpd/vsftpd.conf
[root@server1 pub]# systemctl restart vsftpd
设置user_list_deny为YES时，表示userlist为黑名单
[root@server1 pub]# vim /etc/vsftpd/user_list //在配置文件中添加westos用户，并用命令useradd westos创建用户westos
westos
[root@server2 ~]# lftp 172.25.1.1 -u westos //因为westos在黑名单中，故登陆不成功
- 设置白名单
[root@server1 pub]# vim /etc/vsftpd/vsftpd.conf
[root@server1 pub]# systemctl restart vsftpd
3、ftp虚拟用户的建立及设定
- 创建虚拟帐号身份
[root@server1 pub]# yum install pam
[root@server1 ftp]# cd /etc/vsftpd/
[root@server1 vsftpd]# vim userdb //编辑信息，文件名自定义
[root@server1 vsftpd]# db_load -T -t hash -f userdb userdb.db //给用户信息文件进行加密
//其中hash为加密方式，userdb为被加密文件，userdb.db为加密后生成的文件
[root@server1 vsftpd]# ls //可以看见已经经过加密生成了密文文件 userdb.db
[root@server1 vsftpd]# vim ftpuser //文件名自定，用来设定用户登陆认证方式
account required pam_userdb.so db=/etc/vsftpd/userdb
auth required pam_userdb.so db=/etc/vsftpd/userdb
[root@server1 vsftpd]# vim /etc/vsftpd/vsftpd.conf
[root@server1 vsftpd]# systemctl restart vsftpd
[root@server2 ~]# lftp 172.25.1.1 -u user1 //登陆成功
