vsftpd实现基于SSL的FTPS

末蓝、 2023-10-06 18:34 49阅读 0赞

FTP：是一个用于在计算机网络上在客户端和服务器之间进行文件传输的应用层协议。默认21端口。  
FTPS：是一种对常用的文件传输协议（FTP）添加传输层安全（TLS）和安全套接层（SSL）加密协议支持的扩展协议。默认21端口。  
SFTP：是一种数据流（英语：Data stream）连线，提供文件访问、传输和管理功能的网络传输协议，即SSH文件传输协议。默认22端口。  
vsftpd：是一个类Unix系统以及Linux上的FTP服务器软件。

#### 背景 ####

基于安全考虑，该服务器只允许基于ftp服务的tcp 20、21端口数据流通过。不允许开放端口段。  
所以我这里只能选择主动模式(PORT)。原因：被动模式(PASV)下，数据流在服务器端是一个随机端口，虽然是可以设置端口段，但是我这里防火墙申请不了开放端口段。

主动模式与被动模式区别：[ftp-主动模式（PORT）和被动模式（PASV）\_u014644574的博客-CSDN博客][ftp-_PORT_PASV_u014644574_-CSDN]

主动模式下：  
服务端开放：21/tcp  
客户端开放：1025-65535/tcp  
  
被动模式下：  
服务端开放：21/tcp 6000-7000/tcp  
客户端开放：不需要开放

**补充：**

被动模式下被扫描出：FTP PASV 端口可预测漏洞（[CVE-1999-0351][]），ftp的被动模式有安全隐患，所以建议服务端配置为仅支持主动模式(PORT)。

#### 1、创建FTP用户 ####

#删除用户，若提示not owned by警告，可以手动删除警告的目录
    userdel -r bossftps
    #创建用户，指定home目录，并且不允许ssh登陆
    useradd -s /sbin/nologin -d /home/bossftps bossftps
    #设置密码
    passwd bossftps
    
    #修改home目录权限，主目录不能再具有写权限
    chmod a-w /home/bossftps
    
    #创建数据目录
    mkdir /home/bossftps/data
    
    #修改数据目录权限
    chmod 777 /home/bossftps/data

从2.3.5之后，vsftpd增强了安全检查，如果用户被限定在了其主目录下，则该用户的**主目录不能再具有写权限**了！如果检查发现还有写权限，就会报该错误。  
要修复这个错误，可以用命令chmod a-w /home/bossftps去除用户主目录的写权限，注意把目录替换成你自己的。  
或者你可以在下面第6步骤的/etc/vsftpd/vsftpd.conf的配置文件中增加下列项：allow\_writeable\_chroot=YES

#### 2、查看自己服务器有没有安装vsftpd ####

rpm -qa |grep vsftpd

若没有安装则什么都不显示。

#### 3、下载vsftpd的RPM包并安装 ####

下载地址：[http://mirror.centos.org/centos/7/os/x86\_64/Packages/vsftpd-3.0.2-28.el7.x86\_64.rpm][http_mirror.centos.org_centos_7_os_x86_64_Packages_vsftpd-3.0.2-28.el7.x86_64.rpm]

依赖包：[http://mirror.centos.org/centos/7/os/x86\_64/Packages/openssl-libs-1.0.2k-19.el7.x86\_64.rpm][http_mirror.centos.org_centos_7_os_x86_64_Packages_openssl-libs-1.0.2k-19.el7.x86_64.rpm]

#### 4、上传安装包到服务器 ####

#### 5、安装执行 ####

rpm -ivh vsftpd-3.0.2-28.el7.x86_64.rpm

如果报错libcrypto.so.10()(64bit)需要安装下面依赖，否则不需要安装。

rpm -ivh  openssl-libs-1.0.2k-19.el7.x86_64.rpm

如果能联外网可以在线安装：yum install -y vsftpd

#### 6、修改配置文件 ####

备份配置文件

cp -a /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf.bak

创建配置文件

#在chroot_list文件中列出的用户，可以切换到根路径的上级路径；未在文件中列出的用户，则不能切换。
    touch /etc/vsftpd/chroot_list

清空配置文件 echo '' > /etc/vsftpd/vsftpd.conf  
修改配置文件 vi /etc/vsftpd/vsftpd.conf

#是否允许使用匿名帐户
    anonymous_enable=NO
    #是否允许本地用户登录
    local_enable=YES
    #是否允许写入
    write_enable=YES
    #创建文件时的权限掩码，若没有文件掩码文件的默认权限为666,文件夹的默认权限为777。比如umask是022,你创建一个文件本来是666 就要 -022 = 644
    local_umask=022
    #进入每个目录是否显示欢迎信息，可在每个目录下建立.message文件在里面写欢迎信息
    dirmessage_enable=YES
    #上传/下载文件时记录日志
    xferlog_enable=YES
    #主动模式(PORT)有效，是否使用20端口传输数据
    connect_from_port_20=YES
    #主动模式(PORT)有效，设置connect_from_port_20=YES，自定义主动模式下传输数据的端口,默认20
    #ftp_data_port=2020
    #被动模式(PASV)有效，数据连接可以使用的端口范围的最小端口，0 表示任意端口。默认值为0
    #pasv_min_port=6000
    #被动模式(PASV)有效，数据连接可以使用的端口范围的最大端口，0 表示任意端口。默认值为0
    #pasv_max_port=7000
    #是否被动模式，若设置为YES，则使用PASV被动模式；若设置为NO，则使用PORT主动模式。默认值为YES
    pasv_enable=NO
    #日志文件
    xferlog_file=/var/log/xferlog
    #使用标准文件日志
    xferlog_std_format=YES
    #是否允许上传二进制文件
    ascii_upload_enable=YES
    #是否允许下载二进制文件
    ascii_download_enable=YES
    
    #是否允许切换到上级目录
    chroot_local_user=YES
    #设置是否启用下面chroot_list_file配置文件
    chroot_list_enable=YES
    #在/etc/vsftpd/chroot_list文件中列出的用户，可以切换到根路径的上级路径；未在文件中列出的用户，则不能切换。
    chroot_list_file=/etc/vsftpd/chroot_list
    #自定义home目录
    #local_root=/home/bossftps/
    #用户被限定在了其主目录下，需要配置该项
    #allow_writeable_chroot=YES
    
    #指定监听端口，默认21
    listen_port=21
    #开启ipv4监听，与listen_ipv6不能同时开启
    listen=NO
    #同时监听IPv4和IPv6的FTP请求
    listen_ipv6=YES
    
    #使用pam模块控制，文件位置/etc/pam.d/vsftpd
    pam_service_name=vsftpd
    #控制用户访问，/etc/vsftpd/user_list是一个黑名单，所有出现在名单中的用户都会被拒绝登入
    userlist_enable=YES
    #控制主机访问，检查/etc/hosts.allow 和/etc/hosts.deny 中的设置，来决定请求连接的主机，是否允许访问该FTP服务器。
    tcp_wrappers=YES
    
    #是否启用SSL，默认NO
    ssl_enable=YES
    #是否激活sslv2加密，默认NO
    ssl_sslv2=YES
    #是否激活sslv3加密，默认NO
    ssl_sslv3=YES
    #是否激活tls v1加密，默认NO
    ssl_tlsv1=YES
    #非匿名用户登陆时是否加密
    force_local_logins_ssl=YES
    #非匿名用户传输数据时是否加密
    force_local_data_ssl=YES
    #ssl证书位置
    rsa_cert_file=/etc/vsftpd/.sslkey/vsftpd.pem
    
    #是否启用隐式ssl功能，不建议开启
    #implicit_ssl=YES
    #隐式ftp端口设置，如果不设置，默认还是21，但是当客户端以隐式ssl连接时，默认会使用990端口，导致连接失败
    #listen_port=990

PORT主动模式：pasv\_enable=NO  
PASV被动模式：pasv\_enable=YES

①当chroot\_list\_enable=YES，chroot\_local\_user=YES时，在/etc/vsftpd/chroot\_list文件中列出的用户，可以切换到根路径的上级路径；未在文件中列出的用户，则不能切换。  
②当chroot\_list\_enable=YES，chroot\_local\_user=NO时，在/etc/vsftpd/chroot\_list文件中列出的用户，不能切换到根路径的上级路径；未在文件中列出的用户，则可以切换。  
③当chroot\_list\_enable=NO，chroot\_local\_user=YES时，所有的用户均不能切换到用户根路径的上级路径  
④当chroot\_list\_enable=NO，chroot\_local\_user=NO时，所有的用户均可以切换到用户根路径的上级路径

如果需要访问根路径的上级路径，将用户加入/etc/vsftpd/chroot\_list文件中  
vi /etc/vsftpd/chroot\_list  
bossftps

#### 7、生成ssl证书 ####

mkdir /etc/vsftpd/.sslkey
    cd /etc/vsftpd/.sslkey
    #生成密钥证书
    openssl req -new -x509 -nodes -days 3650 -out vsftpd.pem -keyout vsftpd.pem

生成证书参数参考：

Country Name (2 letter code) \[XX\]:CN  
State or Province Name (full name) \[\]:省份拼音  
Locality Name (eg, city) \[Default City\]:地市拼音  
Organization Name (eg, company) \[Default Company Ltd\]:公司名称拼音  
Organizational Unit Name (eg, section) \[\]:你所在公司的部门拼音  
Common Name (eg, your name or your server's hostname) \[\]:域名或者ip  
Email Address \[\]:邮箱地址

#### 8、开启防火墙 ####

#开启端口
    firewall-cmd --zone=public --add-port=21/tcp --permanent
    firewall-cmd --zone=public --add-port=990/tcp --permanent
    #重新加载
    firewall-cmd --reload
    #查询有哪些端口是开启的
    firewall-cmd --list-port

被动模式需要开启端口段，也可直接开放ftp服务

#开放ftp服务
    firewall-cmd --add-service=ftp --permanent
    #重新加载
    firewall-cmd --reload

#### 9、常见错误解决 ####

**425 Failed to establish connection.**  
关闭SELinux：setenforce 0

**530 Login incorrect.：**  
注释 vi /etc/pam.d/vsftpd 文件里的这一行，\#auth required pam\_shells.so  
这个语句的意思是只有包含shell的用户才能登录，但是我们创建的用户是nologin不允许登陆的

**530 Non-anonymous sessions must use encryption.：**  
服务器的强制，非匿名用户必须使用证书连接登陆

#### 10、启动 ####

启动：service vsftpd start 或 /bin/systemctl start vsftpd.service  
停止：service vsftpd stop 或 /bin/systemctl stop vsftpd.service  
重启：service vsftpd restart 或 /bin/systemctl restart vsftpd.service

#### 11、测试工具flashfxp ####

配置主动模式

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ_size_16_color_FFFFFF_t_70][]

显示SSL连接

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ_size_16_color_FFFFFF_t_70 1][]

隐式SSL连接

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ_size_16_color_FFFFFF_t_70 2][]

登陆成功

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ_size_16_color_FFFFFF_t_70 3][]

## 12、Linux 客户端测试：使用 lftp客户端连接测试 ##

LFTP连接FTPS：[LFTP连接FTPS\_u014644574的博客-CSDN博客][LFTP_FTPS_u014644574_-CSDN]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ_size_16_color_FFFFFF_t_70 4][]

## 13、Java FTPSClient 实现上传下载 ##

注意环境变量：**System.setProperty("jdk.tls.useExtendedMasterSecret", "false");//设置环境变量**

[java FTPSClient 上传下载带证书的ftps服务器\_u014644574的博客-CSDN博客][java FTPSClient _ftps_u014644574_-CSDN]

[ftp-_PORT_PASV_u014644574_-CSDN]: https://blog.csdn.net/u014644574/article/details/118958300
[CVE-1999-0351]: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-1999-0351
[http_mirror.centos.org_centos_7_os_x86_64_Packages_vsftpd-3.0.2-28.el7.x86_64.rpm]: http://mirror.centos.org/centos/7/os/x86_64/Packages/vsftpd-3.0.2-28.el7.x86_64.rpm
[http_mirror.centos.org_centos_7_os_x86_64_Packages_openssl-libs-1.0.2k-19.el7.x86_64.rpm]: http://mirror.centos.org/centos/7/os/x86_64/Packages/openssl-libs-1.0.2k-19.el7.x86_64.rpm
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20210721210320883.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20210721223724497.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20210721223818305.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20210721224029214.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ=,size_16,color_FFFFFF,t_70
[LFTP_FTPS_u014644574_-CSDN]: https://blog.csdn.net/u014644574/article/details/119063102
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ_size_16_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/2021072420221159.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3UwMTQ2NDQ1NzQ=,size_16,color_FFFFFF,t_70
[java FTPSClient _ftps_u014644574_-CSDN]: https://blog.csdn.net/u014644574/article/details/121293826