4. IP監(jiān) 聽與連接控制
     vsftpd工作在模式（standalone）下的啟動參數(shù)有兩項：
     listen=yes/no
     listen_ipv6=yes/no
     其中第一條已經前面已經提過了，第二條應用在ipv6網絡環(huán)境中，這兩相參數(shù)只能有一條值為yes。
     在實際的網絡環(huán)境中，服務器通常都有多個IP地址，而每個IP地址連接不同的網段，我們可能并不希望在所有網段的上的計算機都能訪問服務器。而默認情況下，vsftpd將在所有的IP地址上監(jiān) 聽，因此，我們需要下面兩行：
     listen_address=監(jiān) 聽 ip
     listen_address6=監(jiān) 聽 ip
     這兩行分別是針對IPv4和IPv6環(huán)境的。
     下面的兩項是vsftpd并發(fā)連接控制：
     max_clients=數(shù)字
     max_per_ip=數(shù)字
     參數(shù)max_clients設置了服務器可以接受的最大并發(fā)連接數(shù)量，max_per_ip設置了每個客戶端IP可以發(fā)起的最大連接數(shù)。針對服務器性能適當設置這兩個參數(shù)，可以在服務器可接受的連接數(shù)量和連接速度之間找到平衡點。這兩項默認值均為0，表示無限制。
     accept_timeout=數(shù)字
     connect_timeout=數(shù)字
     data_connection_timeout=數(shù)字
     idle_session_timeout=數(shù)字
     上面的數(shù)字都是以秒為單位的。其中 access_timeout 代表以 pasv數(shù)據(jù)連接模式的時候，數(shù)據(jù)連接的超時；connect_timeout 表示以 port模式連接數(shù)據(jù)連接時的超時時間；關于ftp服務連接模式下面會有詳細介紹。data_connection_timeout 表示數(shù)據(jù)連接后數(shù)據(jù)連接等待的空閑時間超時，超過時間后，數(shù)據(jù)連接將斷開連接；idle_session_timeout 設置發(fā)呆時間，也就是客戶端隔多長時間不與服務器有交互 ftp 命令，將自動斷開 ftp 服務連接。
5. 關于連接端口設置
     我們知道 ftp 服務有一點是不同于其他的服務的是，ftp 服務使用的是 tcp 雙連接通道，也就是ftp-server 和 ftp-data 連接。我們可以這么理解：ftp-server 連接接受客戶端連接請求、并發(fā)控制、身份和權限認證以及傳輸客戶端下達的命令。ftp-data連接負責傳輸數(shù)據(jù)，也就是說當有數(shù)據(jù)傳輸?shù)臅r候才會有這條連接。我們先來看一下 ftp-server 的設置：
     listen_port=端口號
     那么這條設置可以設置 ftp-server 端口號，默認為21，如果我們指定了其它端口號，那么客戶端連接服務器上時就得使用指定端口號了。我們將這一行加入主配置文件中：
     listen_port=2121
     # ftp 127.0.0.1
     ftp: connect: Connection refused
     ftp> open 127.0.0.1 2121
     Connected to 127.0.0.1.
     220 (vsFTPd 2.0.5)
     530 Please login with USER and PASS.
     ……
     已經看到效果了，接下來我們討論ftp-data連接的問題。
     FTP數(shù)據(jù)傳輸有兩種模式：FTP Port模式和FTP Passive模式，兩種工作方式截然不同。
     FTP Port模式
     在FTP Port模式下，客戶端與服務器建立ftp-server連接之后，如果某條指令涉及到數(shù)據(jù)傳送，就需要建立ftp-data連接。其實連接步驟如下：
     (1) 客戶端啟用另一個高于1024的空閑端口xx做連接準備，并且使用port命令利用ftp-server信道向服務器發(fā)送一個數(shù)據(jù)包，數(shù)據(jù)包里包含客戶端的IP地址和xx端口，告訴服務器客戶端xx端口已做好連接準備。Port命令還支持第三方（third-party）模式，第三方模式是客戶端告訴服務器端打開與另臺主機的連接。
     (2) 服務器以ftp-data端口（默認為20）主動向客戶端xx端口進行連接。
     (3) 客戶端響應服務器連接，并繼續(xù)完成三次握手后，ftp-data連接建立，開始傳送數(shù)據(jù)。當數(shù)據(jù)傳輸完畢后，服務器ftp-data端口就處于等待關閉狀態(tài)。
     我們看到，Port模式下ftp-data連接請求是由服務器發(fā)起的。現(xiàn)在來看一下vsftpd中關于Port模式的語句設置：
     port_enable=yes/no                               //是否啟用 port 模式
     connect_from_port_20=yes/no                    //port 模式下是否默認使用固定的 20 端口
     ftp_data_port=port_number                        //指定 port 模式的端口號
     port_promiscuous=yes/no                 //是否使用安全的 port 模式
     將port_enable 設置為 yes，就采用 port 模式。在 port 模式下端口如果采用固定的20 端口，就把connect_from_port_20選項就設為yes，這是很多服務器默認的設置規(guī)則。我們也可以指定其他的端口，那么這也就由ftp_data_port 來指定固定端口。port_promiscuous 默認值為no，表示ftp-data連接之前檢驗一下數(shù)據(jù)連接的目標ip 的是否是真正客戶端的IP，反之則不檢查。除非你確保服務器是與真正的客戶端進行連接，否則不要將此參數(shù)值改為yes。#p#分頁標題#e#
     我們將下面兩行加入配置文件中：
     port_enable=yes
     connect_from_port_20=no
     登錄服務器運行3次ls（顯示文件列表）命令，再在服務器端運行netstat命令查看效果：
     # ftp 127.0.0.1
     Connected to 127.0.0.1.
     ……
     230 Login successful.
     Remote system type is UNIX.
     Using binary mode to transfer files.
     ftp> passive
     Passive mode off.
     ftp> ls
     ……
     226 Directory send OK.
     ftp> ls
     ……
     ftp> ls
     ……
     ftp> bye
     # netstat -an|more
     ……
     tcp 0 0 127.0.0.1:1069 127.0.0.1:1068 TIME_WAIT
     tcp 0 0 127.0.0.1:21   127.0.0.1:1065 TIME_WAIT
     tcp 0 0 127.0.0.1:1071 127.0.0.1:1070 TIME_WAIT
     tcp 0 0 127.0.0.1:1067 127.0.0.1:1066 TIME_WAIT
     ……
     我們看到服務器開了3個大于1024的端口去連接客戶端，這3個連接就是3次ls命令產生的。如果我們把connect_from_port_20參數(shù)的值改為yes，再做上述實驗，就會發(fā)現(xiàn)服務器3次連接都固定打開20端口。如果我們再加上ftp_data_port=2020語句，再做上述實驗，服務器就會固定開啟2020端口。
  net.JPG (39.08 KB)
2007-5-15 15:06
    大家來看這張圖，局域網客戶機使用私有IP地址，并采用出口路由器做的 NAT（網絡地址轉換）連到 internet。ftp 服務器采用的是port模式。當客戶端使用port命令向服務器發(fā)出包含自身IP地址和端口的包，此包通過路由器時路由器必須檢查其內容，把包中的IP地址和端口翻譯成分配給客戶的地址和端口，而這個操作要求路由器必須工作在應用層！我們不可能要求每個客戶的路由器都有此功能，但如果路由器沒有正常完成這步工作，ftp數(shù)據(jù)傳輸就失敗了。
     另外，由于第三方third-party模式的支持，黑客還可能在PORT命令中設置IP地址和端口號參數(shù)來指定一臺其它主機的地址和端口號來發(fā)動攻擊（稱為FTP反彈攻擊）。雖然有的防火墻設備已經修正了該問題，但對于大多數(shù)防火墻和路由器來說這個問題還是一個非常嚴重的。
     FTP Passive模式
     下面描述了Passive模式的ftp-data連接建立的步驟：
     (1) 當用戶請求數(shù)據(jù)傳輸?shù)臅r候，客戶端軟件發(fā)送PASV命令給服務器端表明客戶端希望進入Passive模式；
     (2) 服務器端進行應答，應答數(shù)據(jù)包內有服務器的IP地址和一個臨時端口，這個臨時的端口是客戶端在打開數(shù)據(jù)傳輸連接時應該使用的端口；
     (3) 客戶端服務器發(fā)出連接請求，源端口為客戶端自己選擇的一個臨時端口，目的端口為服務器在PASV應答命令中指定的臨時端口號；
     (4) 服務器響應客戶端請求，并繼續(xù)完成TCP三次握手之后，ftp-data連接建立，開始傳送數(shù)據(jù)。
     接下來我們來看看vsftpd中關于Passive模式中設置語句：
     pasv_enable=yes/no
     pasv_min_port=yes/no
     pasv_max_port=yes/no
     pasv_promiscuous=yes/no
     pasv_address=ip_address
     第一行設置是否啟用 pasv 模式。pasv_min_port 和pasv_max_port 是設置在 pasv 模式下開啟的端口范圍。一般情況下，如果設置成 pasv 模式，我們最好指定端口范圍，便于防火墻設置開啟這個范圍的端口以接受客戶端的連接請求。pasv_promiscuous與port_promiscuous參數(shù)一樣是設置在pasv下是否設置安全的傳輸，我們也要將其值設為no（默認值即為no）。pasv_address 后接一個有效的ip地址，來指定pasv打開端口的ip地址。但是默認情況下這行是取消的，因為服務會在 tcp 連接的套接字中知道連接的ip地址。我們把主配置文件改成這樣然后看一下設置效果：
     listen=yes
     anonymous_enable=yes
     pasv_enable=yes
     pasv_min_port=3000
     pasv_max_port=3003
     登錄服務器運行3次ls命令，再在服務器端運行netstat命令查看效果：
     # netstat -an
     ……
     tcp 0 0 192.168.0.105:3000 192.168.0.122:11066 TIME_WAIT
     tcp 0 0 192.168.0.105:3002 192.168.0.122:11065 TIME_WAIT
     tcp 0 0 192.168.0.105:3001 192.168.0.122:11063 TIME_WAIT
     我們看到，每次ls命令產生了一個連接，服務器開的端口是3000和3003之間。在 vsftpd2.0.3 以后的版本中， pasv 端口允許我們重復開啟，在之前的版本里是不允許的，也就是說同一個端口可以同時與客戶端建立多條連接，大家可以自己試驗一下。
     大多數(shù)人認為在防火墻網絡環(huán)境中Passive模式比Port模式的問題少，但我們注意到在Passive模式下，客戶端向服務器端一個臨時的目的端口發(fā)起連接，一些防火墻或者設備的訪問控制列表(ACL)可能會阻止這種連接；同樣服務器的回應也是從一個臨時的端口到另一個臨時的端口，防火墻或者訪問列表也會阻止這種連接。在許多路由器和防火墻上（包括iptables）允許你使用訪問列表關鍵字"established"來避免第二個問題，"established"關鍵字告訴路由器允許帶ACK標志的包通過。而對于第一個問題，我們雖然使用pasv_min_port和pasv_max_port語句來限制服務器開設臨時端口的范圍，從而在防火墻上打開這些端口，但這樣做還是存在一定的安全漏洞。好在多數(shù)狀態(tài)檢測防火墻例如Linux netfileters支持ftp協(xié)議的深層狀態(tài)檢測，進行準確的PASV動態(tài)端口過濾。#p#分頁標題#e#
     五、vsftpd高級操作
     這一節(jié)我們介紹一下vsftpd的其它一些知識，其中包括：雙模式切換、基于ip的虛擬ftp 站點、基于數(shù)據(jù)庫虛擬用戶建立及管理、基于 <, FONT face="Arial, sans-serif">OpenSSL 的加密數(shù)據(jù)傳輸。
    1. vsftpd雙模式切換
     前面我們提過，vsftpd 服務是支持在linux下的兩種服務模式：(standalone)模式和守護進程(xinetd)模式。在standalone模式下，vsftpd進程啟動后會一直占用系統(tǒng)資源，當有連接請求時，它會迅速反應；在xinetd模式下，ftp服務是由守護進程統(tǒng)一管理，當出現(xiàn)ftp連接請求時，守護進程才將ftp服務啟動，這種方式最大的優(yōu)點是沒有連接的時候ftp服務不會占用系統(tǒng)資源，處于睡眠狀態(tài)，但因為要花費時間去喚醒該服務，所以響應時間較長。
    之前做的試驗一直是把vsftpd 做在模式下，下面我們把它移到守護進程下。注意在工作在守護進程下時，有的參數(shù)并不起作用，詳細請查閱vsftpd幫助信息(man vsftpd.conf)。
     我們需要在守護進程配置目錄/etc/xinetd.d/里建立vsftpd 的守護進程文件。我們在安裝時已經將該文件考到/etc/xinetd.d/目錄下了。我們稍稍修改其內容：
     #vi /etc/xinetd.d/vsftpd
     service ftp
     {
         disable             = no
         socket_type                = stream
         wait                        = no
         user                        = root
         server                = /usr/local/sbin/vsftpd
         server_args                = /etc/vsftpd/vsftpd.conf
         nice                        = 10
     }
     接下來把配置文件中的listen=yes或listen_ipv6=yes去掉,停掉vsftpd服務，重啟xinetd服務：
     # sesrvice vsftpd stop
     # service xinetd restart
     重新啟動守護進程后，vsftpd 服務就會讓守護進程來管理了。在守護進程管理過程中，我們再修改主配置文件的話，就不需要重新啟動服務了。
2. 基于IP的虛擬ftp站點
     這一小節(jié)我們來討論在同一服務器上建立多個ftp站點，每個站點相互，擁有的配置文件。當然服務器必須有兩個以上的IP地址。在standalone模式下，我們可以考慮啟動多個ftp服務進程；在xinetd模式下，可以讓守護進程來管理。下面我們分別討論這兩種情況。為簡單起見，我們在服務器上建立兩個匿名虛擬站點。下面是這兩個站點的信息：
                站點1                              站點2                
     ip地址                         192.168.0.105
       192.168.0.106 
    主配置文件                    /etc/vsftpd/vsftpd.conf 
    /etc/vsftpd/vsftpd2.conf 
    匿名用戶映射的本地用戶名 
          默認為ftp           新建立ftp2
    匿名用戶主目錄                          /var/ftp/  
           /var/ftp2/                
standalone模式下虛擬站點的建立
     首先我們修改站點1的配置文件/etc/vsftpd/vsftpd.conf為下面所示：
     listen=yes
     listen_address=192.168.0.105
     anonymous_enable=yes
     local_enable=yes
     pam_service_name=vsftpd#p#分頁標題#e#
     write_enable=yes
     ftpd_banner=This is ftp1 site
     站點1就這樣配置完畢了。接下來為站點2建立ftp2的用戶：
     # mkdir /var/ftp2/
     # useradd -d /var/ftp2/ ftp2
     為了讓站點2知道匿名用戶的主目錄為/var/ftp2，我們需要在配置文件中手動指定站點2使用ftp2用戶登錄，于是我們要用到下面這條語句：
     ftp_username=local_username
     建立站點2的配置文件/etc/vsftpd/vsftpd2.conf，內容如下：
     listen=yes
     listen_address=192.168.0.106
     anonymous_enable=yes
     local_enable=yes
     pam_service_name=vsftpd
     write_enable=yes
     ftp_username=ftp2
     ftpd_banner=This is ftp2 site
     接下來我們啟動vsftpd服務，就可以看到效果了。需要注意的是這里就不能用service vsftpd start命令來啟動服務了，必須用第三節(jié)前面介紹的方式啟動。
     # /usr/local/sbin/vsftpd /etc/vsftpd/vsftpd.conf &
     [1] 2287
     # /usr/local/sbin/vsftpd /etc/vsftpd/vsftpd2.conf &
     [1] 2288
     # ftp 192.168.0.105
     Connected to 192.168.0.105.
     220 This is ftp1 site
     530 Please login with USER and PASS.
     ……
     # ftp 192.168.0.106
     Connected to 192.168.0.106.
     220 This is ftp2 site
     ……
     我們在各自的配置文件設置了不同的banner，上面已經看到效果了。
     守護進程模式下虛擬站點的建立
     在standalone模式下，IP的綁定在配置文件里配置了，配置文件名及其位置在啟動服務的命令參數(shù)里指定；在xinetd模式下，這兩步需要在守護進程配置文件里配置。這樣在守護進程里面我們就得用到這兩個設置：
     bind=綁定的ip
     server_args=每個站點的配置文件
     那么我們來做守護進程文件，首先來寫站點1的守護進程文件：
     # vi /etc/xinetd.d/vsftpd
     service ftp
     {
         disable             = no
         socket_type       = stream
         wait              = no
         user              = root
         server            = /usr/local/sbin/vsftpd
         server_args       = /etc/vsftpd/vsftpd.conf
         nice              = 10
         bind              = 192.168.0.105
     }
     再建立站點2的守護進程文件，并輸入下面的內容
     # vi /etc/xinetd.d/vsftpd2
     service ftp
     {
         disable             = no
         socket_type            = stream
         wait                   = no
         user                   = root
         server                 = /usr/local/sbin/vsftpd
         server_args           = /etc/vsftpd/vsftpd2.conf
         nice                   = 10
         bind                   = 192.168.0.106#p#分頁標題#e#
     }
     這樣兩個守護進程文件就寫完了，用戶也在上個試驗已經建立完了。接下來繼續(xù)修改兩個站點的配置文件，均是把listen、listen_address兩行刪去即可?，F(xiàn)在我們可以重新啟動xinetd服務，測試結果就不貼出來了。

最新評論