CentOS下如何配置FTP，让用户只能访问指定目录？

在CentOS系统中配置FTP服务，并将用户限制在指定的目录内，是一项常见且重要的系统管理任务，这种配置通常被称为“chroot监狱”，它能极大地增强服务器的安全性，防止用户通过FTP协议访问到系统的其他敏感区域，本文将详细介绍如何在CentOS上使用主流的vsftpd（Very Secure FTP Daemon）服务来实现这一目标，内容涵盖安装、配置、用户管理、防火墙及SELinux设置等关键环节。

安装与初始配置

我们需要确保系统上已经安装了vsftpd，在大多数CentOS版本中，可以通过yum或dnf包管理器轻松完成安装。

# 对于CentOS 7/8
sudo yum install vsftpd -y
# 或者对于较新的版本
sudo dnf install vsftpd -y

安装完成后，vsftpd的主配置文件位于/etc/vsftpd/vsftpd.conf，在进行任何修改之前,建议先备份该文件。

sudo cp /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf.bak

启动vsftpd服务并设置其开机自启。

sudo systemctl start vsftpd
sudo systemctl enable vsftpd

一个基本的FTP服务器已经运行起来，但默认情况下，本地用户通常可以访问其主目录，甚至可能浏览到系统的其他部分，我们的目标是将其“囚禁”在特定目录中。

核心配置：实现目录限制

vsftpd提供了多种方式来限制用户的访问目录,我们将探讨最常用和最灵活的几种方法。

全局限制所有本地用户

这是最简单直接的方法，适用于希望所有FTP用户都被限制在其主目录的场景，编辑/etc/vsftpd/vsftpd.conf文件,找到或添加以下行：

# 启用chroot监狱，将所有本地用户限制在其主目录
chroot_local_user=YES

重要提示：出于安全考虑，从vsftpd 2.3.5版本开始，如果用户的主目录具有写权限，该用户将无法登录，你会看到类似500 OOPS: vsftpd: refusing to run with writable root inside chroot()的错误。

解决此问题有两种方案：

推荐方案：移除用户主目录的写权限,用户仍然可以在其子目录中创建和修改文件。
```
# 假设用户主目录是 /home/ftpuser
sudo chmod a-w /home/ftpuser
```
备选方案：在vsftpd.conf中添加以下配置，允许chroot目录可写，但这会降低一定的安全性,请谨慎使用。
```
allow_writeable_chroot=YES
```

基于用户列表进行限制

如果你只想限制一部分用户，而另一部分用户可以自由访问整个文件系统,可以使用用户列表。

在/etc/vsftpd/vsftpd.conf中进行如下配置：

# 禁用全局chroot
chroot_local_user=NO
# 启用chroot用户列表
chroot_list_enable=YES
# 指定chroot用户列表文件的位置
chroot_list_file=/etc/vsftpd/chroot_list

创建/etc/vsftpd/chroot_list文件,并在其中每行添加一个需要被限制的用户名。

# 创建文件
sudo touch /etc/vsftpd/chroot_list
# 编辑文件，添加用户名，
# ftpuser1
# ftpuser2
sudo vi /etc/vsftpd/chroot_list

在这种模式下，只有chroot_list文件中列出的用户会被限制在其主目录,其他本地用户则不受限制。

为每个用户指定独立的FTP根目录

这是最灵活的方法，可以为不同用户指定完全不同的FTP访问根目录,而不仅仅是他们的系统主目录。

启用用户配置目录：在/etc/vsftpd/vsftpd.conf中添加以下行：

# 指定用户配置文件的存放目录
user_config_dir=/etc/vsftpd/userconf

创建用户配置目录：
```
sudo mkdir -p /etc/vsftpd/userconf
```
为特定用户创建配置文件：在/etc/vsftpd/userconf目录下，创建一个与用户名同名的文件，为用户ftpuser创建配置文件：
```
# 创建并编辑文件
sudo vi /etc/vsftpd/userconf/ftpuser
```
在用户配置文件中指定目录：在该文件中，添加local_root指令,指向你希望该用户访问的目录。
```
# 将用户ftpuser的FTP根目录设置为 /data/project_ftp
local_root=/data/project_ftp
```
请确保指定的目录存在，并且ftpuser用户有适当的读写权限。

创建FTP用户和目录

让我们通过一个实例来演示如何创建一个用户，并使用方法三将其限制在/data/ftp/shared目录。

创建FTP访问目录：
```
sudo mkdir -p /data/ftp/shared
```
创建一个新用户（禁止其登录Shell，增强安全性）：
```
sudo useradd -d /data/ftp/shared -s /sbin/nologin ftpuser
```
-d参数将其主目录设置为我们指定的FTP目录，-s /sbin/nologin确保该用户不能通过SSH登录服务器。
设置用户密码：
```
sudo passwd ftpuser
```

设置目录权限：

# 将目录所有者设置为ftpuser
sudo chown -R ftpuser:ftpuser /data/ftp/shared
# 确保目录所有者有读写执行权限
sudo chmod 755 /data/ftp/shared

完成以上步骤后，ftpuser登录FTP时，将直接进入/data/ftp/shared目录,并被限制在其中。

配置防火墙与SELinux