在CentOS 6.5系统上配置FTP服务是一项常见且实用的系统管理任务，FTP（文件传输协议）允许用户在网络上的客户端和服务器之间传输文件，在众多FTP服务器软件中，vsftpd（Very Secure FTP Daemon）因其安全性、稳定性和高性能而成为CentOS系统的首选，本文将详细介绍如何在CentOS 6.5上安装、配置并启动一个安全可靠的FTP服务。
第一步：安装vsftpd软件
在开始配置之前，首先需要确保vsftpd软件包已经安装在您的系统上，CentOS 6.5使用yum作为其包管理器,安装过程非常简便。
打开终端,以root用户或具有sudo权限的用户身份执行以下命令：
yum install vsftpd -y
该命令会自动从官方软件源下载并安装vsftpd及其所有依赖项，安装完成后，vsftpd的主配置文件位于/etc/vsftpd/vsftpd.conf，服务脚本位于/etc/init.d/vsftpd。
第二步：核心配置文件详解
vsftpd的强大功能主要体现在其灵活的配置上，在修改配置文件之前，建议先备份原始文件,以便在出现问题时可以快速恢复。
cp /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf.bak
使用您喜欢的文本编辑器（如vi或nano）打开配置文件：
vi /etc/vsftpd/vsftpd.conf
以下是一份推荐的基础安全配置，您可以根据实际需求进行调整，为了更清晰地展示,我们使用表格形式列出关键参数：
| 参数 | 推荐值 | 说明 |
|---|---|---|
anonymous_enable=NO | NO | 禁止匿名用户登录，这是最基本的安全措施，防止未授权访问。 |
local_enable=YES | YES | 允许本地系统用户（即/etc/passwd中定义的用户）登录FTP服务器。 |
write_enable=YES | YES | 允许登录用户拥有写入权限，包括上传、创建目录和修改文件。 |
chroot_local_user=YES | YES | 启用chroot监狱，将所有本地用户限制在其主目录内，防止他们访问系统的其他部分，极大增强了安全性。 |
listen=YES | YES | 让vsftpd以独立模式运行，而不是由inetd或xinetd管理，这是推荐的模式。 |
listen_ipv6=NO | NO | 在CentOS 6.5环境中，如果不需要IPv6支持，可以关闭它以简化配置。 |
pam_service_name=vsftpd | vsftpd | 指定PAM服务的名称，用于用户认证，通常保持默认值即可。 |
userlist_enable=YES | YES | 启用用户列表控制功能。 |
userlist_deny=NO | NO | 这个参数与userlist_enable=YES配合使用，当设置为NO时，/etc/vsftpd/user_list文件将作为“允许列表”，只有在此文件中的用户才能登录，当设置为YES时，则作为“禁止列表”，推荐使用“允许列表”模式。 |
tcp_wrappers=YES | YES | 启用TCP Wrappers支持，可以通过/etc/hosts.allow和/etc/hosts.deny文件进行额外的访问控制。 |
pasv_enable=YES | YES | 启用被动模式（PASV），在客户端位于防火墙或NAT网络后时，被动模式通常是必需的。 |
pasv_min_port=10000 | 10000 | 设置被动模式下使用的端口范围的最小值。 |
pasv_max_port=10100 | 10100 | 设置被动模式下使用的端口范围的最大值，这个范围需要和防火墙规则配合。 |
修改完配置文件后,保存并退出。
第三步：创建FTP专用用户
为了安全起见，不建议使用root或其他系统关键账户作为FTP登录账户，我们应该创建一个专门用于FTP访问的用户,并限制其权限。
创建用户并指定主目录：
useradd -d /var/ftp/share -s /sbin/nologin ftpuser
-d /var/ftp/share：指定该用户的主目录为/var/ftp/share,请确保此目录存在。-s /sbin/nologin：指定该用户的shell为/sbin/nologin，这非常重要，它可以阻止该用户通过SSH等方式登录到服务器shell,仅允许FTP访问。
为用户设置密码：
passwd ftpuser
系统会提示您输入并确认新密码。
将用户添加到允许列表：
根据我们之前的配置（userlist_deny=NO），需要将新创建的用户添加到/etc/vsftpd/user_list文件中。echo "ftpuser" >> /etc/vsftpd/user_list
设置目录权限：
确保FTP用户的主目录权限正确，主目录本身不能有写权限,否则会导致登录失败。chown root:root /var/ftp/share chmod 755 /var/ftp/share
在主目录下创建一个可写的子目录供用户上传文件：
mkdir /var/ftp/share/upload chown ftpuser:ftpuser /var/ftp/share/upload
第四步：配置防火墙与SELinux
这是最关键也最容易出错的一步，CentOS 6.5默认使用iptables作为防火墙,并启用了SELinux。
配置iptables防火墙：
需要开放FTP服务端口（21）以及被动模式端口范围（10000-10100）。iptables -I INPUT -p tcp --dport 21 -j ACCEPT iptables -I INPUT -p tcp --dport 10000:10100 -j ACCEPT service iptables save service iptables restart
配置SELinux：
SELinux可能会阻止FTP用户写入文件,我们需要设置相应的SELinux布尔值来允许FTP服务。setsebool -P allow_ftpd_full_access on
-P参数表示永久生效,重启后依然有效。
第五步：启动服务并设置开机自启
所有配置完成后,就可以启动vsftpd服务了。
service vsftpd start
检查服务状态,确保它正在运行：
service vsftpd status
设置vsftpd服务在系统启动时自动运行：
chkconfig vsftpd on
至此，一个安全、功能完善的FTP服务器已经在您的CentOS 6.5系统上搭建完成，您可以使用FileZilla、CuteFTP等FTP客户端，使用创建的ftpuser账户和密码进行连接测试。
相关问答FAQs
问题1：我使用FTP客户端连接时，提示“530 Login incorrect”错误，但密码确认无误，是什么原因？
解答： 这个错误通常不是密码错误，而是认证过程被阻断,请按以下步骤排查：
- 检查用户列表：确认您的用户名是否已正确添加到
/etc/vsftpd/user_list文件中，并且配置文件中userlist_deny=NO。 - 检查PAM配置：查看
/etc/pam.d/vsftpd文件，确保pam_shells.so模块没有阻止用户登录，由于我们为用户指定了/sbin/nologin，需要确保/etc/shells文件中包含/sbin/nologin这一行，否则PAM会认为该用户的shell无效而拒绝登录，可以执行echo "/sbin/nologin" >> /etc/shells来添加。 - 查看系统日志：检查
/var/log/secure文件，里面通常会记录详细的认证失败原因,这是最直接的排查手段。
问题2：我可以成功登录FTP服务器，但是无法列出目录或上传文件，客户端提示“连接超时”或“读取目录列表失败”，这是怎么回事？
解答： 这个问题几乎总是由防火墙或被动模式配置不当引起的。
- 确认被动模式：在您的FTP客户端设置中，确保连接模式设置为“被动模式（PASV）”。
- 检查防火墙规则：确认iptables已经开放了
vsftpd.conf中配置的被动模式端口范围（例如本文的10000:10100），您可以使用iptables -L -n命令查看当前防火墙规则列表,确认相关端口是否已被ACCEPT。 - 检查SELinux状态：虽然我们之前已经设置过，但可以再次确认SELinux布尔值是否正确开启，执行
getsebool -a | grep ftp，查看allow_ftpd_full_access的状态是否为on，如果仍然是off，请重新执行setsebool -P allow_ftpd_full_access on。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
发表回复