centos6.4系统下如何一步步完整地配置vsftp服务？

在Linux服务器管理中,文件传输协议（FTP）服务是不可或缺的一部分，它为用户提供了在不同计算机之间上传和下载文件的便捷方式，在众多FTP服务器软件中，vsftpd（Very Secure FTP Daemon）以其卓越的安全性、稳定性和高性能而备受推崇，本文将详细介绍在经典的CentOS 6.4操作系统上，如何一步步配置一个安全、可靠的vsftpd服务。

第一步：安装vsftpd

在开始配置之前,首先需要确保vsftpd软件包已经安装在系统上，可以通过以下命令进行检查：

rpm -qa | grep vsftpd

如果命令没有任何输出,说明系统尚未安装vsftpd，可以使用yum包管理器进行安装，这是在CentOS上最推荐的安装方式：

yum install -y vsftpd

安装过程会自动处理所有依赖关系,安装完成后，系统会生成主配置文件/etc/vsftpd/vsftpd.conf，以及一个用于存放匿名用户文件的/var/ftp目录。

第二步：核心配置文件详解

vsftpd的所有配置都集中在/etc/vsftpd/vsftpd.conf文件中，为了安全起见，建议在修改前先备份原始文件：

cp /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf.bak

使用文本编辑器（如vi或nano）打开配置文件，进行关键参数的设置，以下是一组推荐的、兼顾安全性与功能性的配置项：

配置项	原始值	推荐值	作用说明
anonymous_enable	YES	NO	禁止匿名用户登录，这是最基本的安全措施。
local_enable	YES	YES	允许本地系统用户登录FTP服务器。
write_enable	YES	YES	允许本地用户拥有写入权限（上传、修改、删除）。
chroot_local_user	NO	YES	将所有本地用户限制在其主目录内，防止用户浏览系统其他目录。
listen	NO	YES	让vsftpd以独立模式运行，而不是由xinetd管理。
listen_ipv6	YES	NO	如果不需要IPv6支持，可以关闭以节省资源。
pam_service_name	vsftpd	vsftpd	指定PAM服务名称，通常保持默认。
userlist_enable	YES	YES	启用用户列表控制功能。
userlist_deny	YES	NO	将userlist_file文件设置为“白名单”，只允许列表中的用户登录。
pasv_enable	YES	YES	启用被动模式，这在客户端处于防火墙后时非常重要。
pasv_min_port	(注释)	10090	设置被动模式使用的端口范围下限。
pasv_max_port	(注释)	10100	设置被动模式使用的端口范围上限。

配置要点解读：

• 禁用匿名访问：anonymous_enable=NO是提升安全性的第一步。
• 启用chroot监狱：chroot_local_user=YES是核心安全配置，它将用户“囚禁”在自己的家目录中，即使他们通过FTP登录，也无法访问到系统的其他敏感区域，如/etc, /root等。
• 被动模式：现代网络环境复杂，客户端通常位于NAT或防火墙之后，主动模式（Active Mode）常因防火墙策略而连接失败，被动模式（Passive Mode）由服务器开放端口供客户端连接，穿透性更好，明确指定一个端口范围（如10090-10100）并确保防火墙开放这些端口，是保证连接成功的关键。

第三步：创建FTP专用用户并设置权限

我们不推荐直接使用root或其他系统关键账户进行FTP操作,创建一个专用的FTP用户是最佳实践。

1. 创建新用户：创建一个名为ftpuser的用户。

   

   useradd ftpuser

2. 设置用户密码：

   passwd ftpuser

   系统会提示输入并确认新密码。

3. 将用户加入白名单：由于我们设置了userlist_deny=NO，需要在/etc/vsftpd/user_list文件中添加允许登录的用户名，如果该文件不存在，请手动创建。

   echo "ftpuser" >> /etc/vsftpd/user_list

4. 设置目录权限：为了配合chroot_local_user=YES，并且允许用户上传文件，需要确保其主目录的权限正确，一个常见的错误是主目录拥有全局写权限。

   chmod 755 /home/ftpuser

   如果用户需要在主目录内上传文件,可以在主目录下创建一个具有写权限的子目录，如uploads，并将其所有者指派给该用户。

   mkdir /home/ftpuser/uploads
   chown ftpuser:ftpuser /home/ftpuser/uploads

第四步：配置防火墙

CentOS 6.4默认使用iptables作为防火墙，我们需要开放FTP服务所需的端口。

1. 开放FTP控制端口（21）：

   iptables -I INPUT -p tcp --dport 21 -j ACCEPT

2. 开放被动模式端口范围（与配置文件中的设置一致）：

   iptables -I INPUT -p tcp --dport 10090:10100 -j ACCEPT

3. 保存规则，以防重启后失效：

   service iptables save

4. 重启防火墙使规则生效：

   service iptables restart

第五步：启动服务并设置开机自启

所有配置完成后,就可以启动vsftpd服务了。

1. 启动vsftpd服务：

   service vsftpd start

2. 设置vsftpd开机自动启动：

   chkconfig vsftpd on

3. 检查服务状态：

   service vsftpd status

如果显示vsftpd (pid xxxx) is running...，则表示服务已成功启动。

至此,一个基于CentOS 6.4的、安全可靠的vsftpd服务器就配置完成了，用户可以使用FTP客户端（如FileZilla、CuteFTP或命令行工具）通过服务器的IP地址、用户名ftpuser及其密码进行连接测试，连接模式请选择“被动模式”，以确保最佳兼容性。

---

相关问答FAQs

Q1: 我可以成功登录FTP，但是列表文件时非常慢或直接超时，提示“读取目录列表失败”，这是怎么回事？

A1: 这个问题绝大多数情况下是由于防火墙没有正确开放被动模式（Passive Mode）的端口范围导致的，客户端通过21号端口建立连接，但在获取文件列表时，服务器会告知客户端一个随机的被动端口供其连接数据，如果这个端口被防火墙拦截，就会导致连接挂起或超时，请检查您的/etc/vsftpd/vsftpd.conf文件中的pasv_min_port和pasv_max_port设置，并确保在iptables中使用iptables -I INPUT -p tcp --dport [起始端口]:[结束端口] -j ACCEPT命令开放了完全相同的端口范围，然后保存并重启防火墙。

Q2: 登录时服务器返回“500 OOPS: vsftpd: refusing to run with writable root inside chroot()”错误，无法登录。

A2: 这是一个安全特性，从vsftpd 2.3.5版本开始，如果启用了chroot_local_user=YES，那么用户的主目录不能拥有写权限，否则vsftpd会拒绝该用户登录，以防止潜在的安全漏洞，解决方法有两种：

1. 移除主目录的写权限：执行命令 chmod a-w /home/ftpuser，这样用户就无法在其主目录根下创建或删除文件了。
2. 推荐的方案：保持主目录不可写，但在主目录内创建一个专门用于上传的子目录，并将该子目录的所有者和写权限赋予FTP用户。

   chmod a-w /home/ftpuser
   mkdir /home/ftpuser/uploads
   chown ftpuser:ftpuser /home/ftpuser/uploads
   chmod 755 /home/ftpuser/uploads

   这样用户登录后,只能在其uploads文件夹内进行读写操作，既满足了chroot安全要求，又不影响正常使用。