在Linux服务器管理中,文件传输协议（FTP）服务是不可或缺的一部分，它为用户提供了在不同计算机之间上传和下载文件的便捷方式，在众多FTP服务器软件中，vsftpd（Very Secure FTP Daemon）以其卓越的安全性、稳定性和高性能而备受推崇，本文将详细介绍在经典的CentOS 6.4操作系统上，如何一步步配置一个安全、可靠的vsftpd服务。
第一步：安装vsftpd
在开始配置之前,首先需要确保vsftpd软件包已经安装在系统上，可以通过以下命令进行检查：
rpm -qa | grep vsftpd
如果命令没有任何输出,说明系统尚未安装vsftpd，可以使用yum包管理器进行安装，这是在CentOS上最推荐的安装方式：
yum install -y vsftpd
安装过程会自动处理所有依赖关系,安装完成后，系统会生成主配置文件/etc/vsftpd/vsftpd.conf，以及一个用于存放匿名用户文件的/var/ftp目录。
第二步：核心配置文件详解
vsftpd的所有配置都集中在/etc/vsftpd/vsftpd.conf文件中，为了安全起见，建议在修改前先备份原始文件：
cp /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf.bak
使用文本编辑器（如vi或nano）打开配置文件，进行关键参数的设置，以下是一组推荐的、兼顾安全性与功能性的配置项：
| 配置项 | 原始值 | 推荐值 | 作用说明 |
|---|---|---|---|
anonymous_enable |
YES | NO | 禁止匿名用户登录，这是最基本的安全措施。 |
local_enable |
YES | YES | 允许本地系统用户登录FTP服务器。 |
write_enable |
YES | YES | 允许本地用户拥有写入权限（上传、修改、删除）。 |
chroot_local_user |
NO | YES | 将所有本地用户限制在其主目录内，防止用户浏览系统其他目录。 |
listen |
NO | YES | 让vsftpd以独立模式运行，而不是由xinetd管理。 |
listen_ipv6 |
YES | NO | 如果不需要IPv6支持，可以关闭以节省资源。 |
pam_service_name |
vsftpd | vsftpd | 指定PAM服务名称，通常保持默认。 |
userlist_enable |
YES | YES | 启用用户列表控制功能。 |
userlist_deny |
YES | NO | 将userlist_file文件设置为“白名单”，只允许列表中的用户登录。 |
pasv_enable |
YES | YES | 启用被动模式，这在客户端处于防火墙后时非常重要。 |
pasv_min_port |
(注释) | 10090 | 设置被动模式使用的端口范围下限。 |
pasv_max_port |
(注释) | 10100 | 设置被动模式使用的端口范围上限。 |
配置要点解读：
- 禁用匿名访问：
anonymous_enable=NO是提升安全性的第一步。 - 启用chroot监狱：
chroot_local_user=YES是核心安全配置，它将用户“囚禁”在自己的家目录中，即使他们通过FTP登录，也无法访问到系统的其他敏感区域，如/etc,/root等。 - 被动模式：现代网络环境复杂，客户端通常位于NAT或防火墙之后，主动模式（Active Mode）常因防火墙策略而连接失败，被动模式（Passive Mode）由服务器开放端口供客户端连接，穿透性更好，明确指定一个端口范围（如10090-10100）并确保防火墙开放这些端口，是保证连接成功的关键。
第三步：创建FTP专用用户并设置权限
我们不推荐直接使用root或其他系统关键账户进行FTP操作,创建一个专用的FTP用户是最佳实践。
-
创建新用户：创建一个名为
ftpuser的用户。
useradd ftpuser
-
设置用户密码：
passwd ftpuser
系统会提示输入并确认新密码。
-
将用户加入白名单：由于我们设置了
userlist_deny=NO，需要在/etc/vsftpd/user_list文件中添加允许登录的用户名，如果该文件不存在，请手动创建。echo "ftpuser" >> /etc/vsftpd/user_list
-
设置目录权限：为了配合
chroot_local_user=YES，并且允许用户上传文件，需要确保其主目录的权限正确，一个常见的错误是主目录拥有全局写权限。chmod 755 /home/ftpuser
如果用户需要在主目录内上传文件,可以在主目录下创建一个具有写权限的子目录，如
uploads，并将其所有者指派给该用户。mkdir /home/ftpuser/uploads chown ftpuser:ftpuser /home/ftpuser/uploads
第四步：配置防火墙
CentOS 6.4默认使用iptables作为防火墙，我们需要开放FTP服务所需的端口。
- 开放FTP控制端口（21）：
iptables -I INPUT -p tcp --dport 21 -j ACCEPT
- 开放被动模式端口范围（与配置文件中的设置一致）：
iptables -I INPUT -p tcp --dport 10090:10100 -j ACCEPT
- 保存规则，以防重启后失效：
service iptables save
- 重启防火墙使规则生效：
service iptables restart
第五步：启动服务并设置开机自启
所有配置完成后,就可以启动vsftpd服务了。
- 启动vsftpd服务：
service vsftpd start
- 设置vsftpd开机自动启动：
chkconfig vsftpd on
- 检查服务状态：
service vsftpd status
如果显示vsftpd (pid xxxx) is running...，则表示服务已成功启动。
至此,一个基于CentOS 6.4的、安全可靠的vsftpd服务器就配置完成了，用户可以使用FTP客户端（如FileZilla、CuteFTP或命令行工具）通过服务器的IP地址、用户名ftpuser及其密码进行连接测试，连接模式请选择“被动模式”，以确保最佳兼容性。
相关问答FAQs
Q1: 我可以成功登录FTP，但是列表文件时非常慢或直接超时，提示“读取目录列表失败”，这是怎么回事？
A1: 这个问题绝大多数情况下是由于防火墙没有正确开放被动模式（Passive Mode）的端口范围导致的，客户端通过21号端口建立连接，但在获取文件列表时，服务器会告知客户端一个随机的被动端口供其连接数据，如果这个端口被防火墙拦截，就会导致连接挂起或超时，请检查您的/etc/vsftpd/vsftpd.conf文件中的pasv_min_port和pasv_max_port设置，并确保在iptables中使用iptables -I INPUT -p tcp --dport [起始端口]:[结束端口] -j ACCEPT命令开放了完全相同的端口范围，然后保存并重启防火墙。
Q2: 登录时服务器返回“500 OOPS: vsftpd: refusing to run with writable root inside chroot()”错误，无法登录。
A2: 这是一个安全特性，从vsftpd 2.3.5版本开始，如果启用了chroot_local_user=YES，那么用户的主目录不能拥有写权限，否则vsftpd会拒绝该用户登录，以防止潜在的安全漏洞，解决方法有两种：
- 移除主目录的写权限：执行命令
chmod a-w /home/ftpuser，这样用户就无法在其主目录根下创建或删除文件了。 - 推荐的方案：保持主目录不可写，但在主目录内创建一个专门用于上传的子目录，并将该子目录的所有者和写权限赋予FTP用户。
chmod a-w /home/ftpuser mkdir /home/ftpuser/uploads chown ftpuser:ftpuser /home/ftpuser/uploads chmod 755 /home/ftpuser/uploads
这样用户登录后,只能在其
uploads文件夹内进行读写操作，既满足了chroot安全要求，又不影响正常使用。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
