<b>WU-FTPD服务器配置手册</b>[服务器安全]

在众多的网络利用中,FTP（File Transfer porotocol）有着非常重要的地位.在Internet中一个非常重要的资源就是软件资源.而各种各样的软件资源大大都都是放在FTP服务器中的.可以说,FTP与WEB服务几近占据了整个Internet利用的80%以上.

FTP服务可以按照服务对象的差别分为两类:一类是系统FTP服务器,它只答应系统上的合理用户利用;另一类是匿名FTP服务器,Anonymous FTP Server,它利用任何人都可以登录到FTP服务器上去获得文件.

1、挑选和安装FTP服务器软件

假如你在安装LINUX系统的时刻,在挑选启动进程的时刻挑选了“ftpd”这一项的话,安装完LINUX系统后,它已经将一个默许的FTP服务器安装到系统中去了.我们已经可以操纵它来实现系统FTP服务器的功效了.我们只需在此底子上按照我们的需求举行一些本性化设定便可以了.

在绝大大都的LINUX发行版本中都选用的是WashingtonUniversity FTP,它是一个闻名的FTP服务器软件,普通简称为wu-ftp.它功效强盛,可以很好地运行于众多的UNIX操作系统,比方:IBM AIX、FreeBSD、HP-UX、NeXTstep、Dynix、SunOS、Solaris等.所以Internet上的FTP服务器,一大半以上采取了它.wu-ftp拥有很多强盛的功效,很适于吞吐量较大的FTP服务器的管理要求:

1） 可以在用户下载文件的同时对文件做自动的紧缩或解紧缩操作;
2） 可以对差别网络上的机械做差别的存取限制;
3） 可以记录文件上载和下载时间;
4） 可以显示传输时的相关信息,便操纵户及时理解目前的传输动态;
5） 可以设置最大衔接数,提高了效率,有效地掌握了负载.

2、wu-ftp的构成

安装了wu-ftp后,你将在/bin目录下看到以下五个可履行文件:

ftpd FTP服务器程序
ftpshut 用于关闭FTP服务器程序
ftpcount 显示目前在线人数
ftpwho 查看目前FTP服务器的衔接情形
ckconfig 查抄FTP服务器的设置能否精确

除了这些可履行文件以外,它还在/etc和/var目录下生成了七个配置文件:

/etc/ftpusers
/etc/ftpaccess
/var/run/ftp.pids
/etc/ftpconversions
/var/log/xferlog
/etc/ftpgroups
/etc/ftphosts

系统安装了wu-ftp后,会成立一个特别的用户ftp,并在/home目录下成立了一个ftpd目录,当用户以匿名登录上来时,将会自动定位于这个目录下.在这个目录下普通会成立几个子目录.

/home/ftpd/bin 存放一些供FTP用户利用的可履行文件
/home/ftpd/etc 存放一些供FTP用户利用的配置文件
/home/ftpd/pub 存放供下载的信息
/home/ftpd/incoming 存放供上载信息的空间

3、wu-ftp的配置

1. 查看、改正/etc/inetd.conf文件

/etc/inetd.conf文件是LINUX系统的超级服务器inetd的配置文件.它负责监听多个TCP/IP端口.当它收到恳求,就按照配置文件派生一个呼应的服务器.通过利用超级服务器,其他服务便可以只在需求时才派生,从而大大节俭了系统资源.而wu-ftp就是操纵超极服务器inetd来监听恳求的.当超级服务器inetd收到了客户端的FTP恳求时,就按照配置文件翻开一个FTP服务进程.所以我们假如要利用wu-ftp,就必须确认在超级服务器inetd的配置文件inetd.conf中有这样一句:

ftp stream tcp nowait root /usr/sbin/tcpd wu.ftpd

以便当超级服务器收到FTP恳求的时刻,可以派生一个wu-ftp的FTP服务进程.（注:要确认能否有这样一行时,可以利用文件内容查找号令来确认:

cat /etc/inetd.conf | grep ftp

假如没有,则用手工加入或手工改正.

2. wu-ftpd的号令选项

wu-ftpd就是wu-ftp的服务进程.它可以不带参数履行,也可以带参数履行.下面简单介绍一下wu-ftpd的履行参数.
-d 当FTP服务器出错时,将错误入系统的syslog中;
-l 将每次FTP客户端举行衔接的入系统的syslog中;
-t 设置FTP客户端衔接几分钟无操作就堵截衔接;
-a 使wu-ftp利用/etc/ftpaccess的设定;
-A 使wu-ftp不利用/etc/ftpaccess的设定;
-L 将FTP客户端连线后所履行的程序记录在系统的syslog中;
-I 将FTP客户端上载文件的日记记录在/usr/adm.xferlog文件中;
-o 将FTP客户端下载文件的日记记录在/usr/adm/xferlog文件中.
通过对以上参数的理解,我们倡议,将上面系统安装时的那条默许配置改成:

ftp stream tcp nowait root /usr/sbin/tcpd wu.ftpd –a –I

3.供应自动紧缩、解紧缩的功效

假如想让FTP服务器有自动紧缩、解紧缩的功效,必须先将一些紧缩、解紧缩的号令文件如tar、gzip、gunzip、compress、uncompress等号令文件拷贝到/home/ftpd/bin目录下.

4. 关于/etc/ftpaccess的设置

这个配置文件是FTP服务器上最重要的配置文件,它直接关系到你的FTP服务器可否正常工作,还有很多权限上的设置.下面是一个典型的配置实例.

loginfails 3
class local real *
class remote anonymous guest *
limit remote 100 Any /etc/ftpd/toomany.msg
message /etc/ftpd/welcome.msg login
compress yes local remote
tar yes local remote
private yes
passwd-check rfc822 warn
log commands real
log transfer anonymous guest inbound outbound
log transfer real inbound
shutdown /etc/ftpd/shut.msg
delete no anonymous,guest
overwrite no anonymous,guest
rename no anonymous
chmod no anonymous,guest
umask no anonymous
upload /home/ftpd * no
upload /home/ftpd /bin no
upload /home/ftpd /etc no
upload /home/ftpd /pub yes real 0644 dirs
upload /home/ftpd /incoming yes real guest anonymous 0644 dirs
alias in /incoming
email guest@xxx.net
email guest@yyy.net
deny *.com.tw /etc/ftpd/deny.msg

下面我们逐句举行讲授,并给出每条设置的含义,以便大家举一反三,以便按照自己FTP服务器的具体情形举行公道的设置.

1． 格局:loginfails [次数]
功效:设定当用户登录到FTP服务器时,答应用户输错密码的次数.
实例:loginfails 3:密码输入错误三次就堵截衔接.

2． 格局:class [类名] [real/guest/anonymous] [IP地址]
功效:这个指令的功效设定FTP服务器上用户的类别.并可对客户端的IP地址举行限制,答应某部份的IP地址或全部的IP地址拜候.而在FTP服务器上的用户基本上可以分为以下三类:
real 在该FTP服务器有合理帐号的用户;
guest 有记录的匿名用户;
anonymous 权限最低的匿名用户
实例:class local real *:定义一个名为local的类,它包含了在任何地方登录(*代表全部IP地址）的real用户.
class remote anonymous guest *:定义一个名为remote的类,它包含了在任何地方登录的anonymous用户和guest用户.

3． 格局:limit [类别] [人数] [时间] [文件名]
功效:这个指令的功效为设置指定的时间内指定的类别答应衔接的指定人数上限.当到达人数上限的时刻,显示指定文件的内容.
实例:limit remote 100 Any /etc/ftpd/toomany.msg:在任什么时刻间内,remote类的拜候用户到达100人时,将不再答应无法产生新的衔接,当第101位客户要衔接时,衔接将失利,并象用户出示文件/etc/ftpd/toomany.msg的内容.

4． 格局:message [文件名称] [指令]
功效:当用户履行所指定的指令时,系统将指定的文件内容显示出来.
实例:message /etc/ftpd/welcome.msg login:当用户履行login号令时,也就是登录到FTP服务器上的时刻,系统将显示文件/etc/ftpd/welcome.msg的内容.

5． 格局:compress [yes/no] [类别]
功效:设置哪一个类别的用户可以利用compress（紧缩）功效.
实例:compress yes local remote:答应local和remote两个类别的用户都能利用 compress(紧缩)功效.

6． 格局:tar [yes/no] [类别]
功效:设置哪一个类别的用户可以利用tar（归档）功效.
实例:tar yes local remote:答应local和remote两类的用户都能利用tar功效.
7． 格局:private [yes/no]
功效:设定能否支持群组对文件的取用.
实例:private yes:支持群组对文件的取用.

8． 格局:passwd-check [none/trivial/rfc822] [enforce/warn]
功效:设定对匿名用户anonymous的密码利用方法.
none 表示不做密码考证,任何密码都可以登录;
trival 表示只要输入的密码中含有字符“@”便可以登录;
rfc822 表示密码一定要符合RFC822中所规定的E-Mail格局才能登录;
enfore 表示输入的密码不符合以上指定的格局就不让登录;
warn 表示密码不符合规按时只呈现告诫信息,仍旧可以登录.
实例:passwd-check rfc822 warn:但愿可以得到符合规定的E-Mail作为密码,但假如不是,也答应登录.

9． 格局:log command [real/guest/anonymous]
功效:设置哪些用户登录后的操作记录在文件/usr/adm/xferlog中.
实例:log command real:当real用户登录后,将他的操作记录下来.由于别的用户权限较低,所以操作不会惹起太大的安全隐患,所以普通只需记下real用户的操作便可以了.

10． 格局:log transfers [real/guest/anonymous] [inbound/outbound]
功效:设置哪些用户的上载（inbound）和下载（outbound）操作做日记.
实例:log transfer anonymous guest inbound outbound:关于匿名用户要越发的关注它们的文件操作,所以无论上载、下载都举行记录.
log transfer real inbound:关于合理用户则只记录他的上载记录.

11． 格局:shutdown [文件名]
功效:FTP服务器关闭的时间可以设置在背面所指定的文件中,当设置的时间一到,便无法登录FTP服务器了,要恢复的话只有将这个文件删掉.而这个文件必 须由指令/bin/ftpshut来生成.
实例:shutdown /etc/ftpd/shut.msg

12． 格局:delete [yes/no] [real/anonymous/guest]
功效:设置能否答应指定用户利用delete号令删除文件.默许是答应.
实例:delete no anonymous,guest:为了更好地管理FTP服务器,普通情形下,我们不答应匿名用户履行delete号令.

13． 格局:overwrite [yes/no] [real/anonymous/guest]
功效:设置能否答应指定用户覆盖同名文件.默许是答应.
实例:overwrite no anonymous,guest:为了更好地管理FTP服务器,普通情形下,我们不答应匿名用户覆盖同名文件.

14． 格局:rename [yes/no] [real/anonymous/guest]
功效:设置能否答应指定用户利用rename号令来为文件改名.默许是答应.
实例:delete no anonymous:为了更好地管理FTP服务器,普通情形下,我们不答应匿名用户履行rename号令改变文件名.而对有记录的匿名用户则得当的放宽,答应他们利用改名号令.

15． 格局:chmod [yes/no] [real/anonymous/guest]
功效:设置能否答应指定用户利用chmod号令更改文件权限.默许是答应.
实例:delete no anonymous,guest:为了更好地管理FTP服务器,普通情形下,我们不答应匿名用户履行chmod号令更改文件权限.

16． 格局:umask [yes/no] [real/anonymous/guest]
功效:设置能否答应指定用户利用umask号令.默许是答应.
实例:delete no anonymous:为了更好地管理FTP服务器,普通情形下,我们不答应匿名用户履行umask号令.

17． 格局:upload [根目录] [上载目录] [yes/no] [用户] [权限] [dirs/nodirs] 功效:对可以上载的目录举行越发具体的设置.
实例:upload /home/ftpd * no:表示在子目录/home/ftpd下不答应上载;
upload /home/ftpd /bin no:表示在子目录/home/ftpd/bin下不答应上载;
upload /home/ftpd /etc no:表示在子目录/home/ftpd/etc下不答应上载;
upload /home/ftpd /pub yes real 0644 dirs:答应用服务器上的合理用户在子目录/home/ftpd/pub目录下能上载权限为0644(也就是-rw-r--r--)的文件,并且在这个目录下可以新建子目录.
upload /home/ftpd /incoming yes real guest anonymous 0644 dirs:答应全部的用户在子目录/home/ftpd/incoming下能上载权限为0644的文件,并且在这个目录下可以新建子目录.

18． 格局:alias [目录别名] [目录名]
功效:给指定目录设置一个体名,在切换目录时便可以利用较短的目录别名.
实例:alias inc: /incoming:为子目录incoming设置一个体名inc:.

19． 格局:email [guest的E-Mail地址]
功效:只要将某些E-Mail地址设置在这个地方,那么这些用户登录到FTP服务器时,他的身份将为guest,普通权限比real低一些,比anonymous高.
实例:email guest@xxx.net email guest@yyy.net:这里仅是一个示例,实际上可 以包含多个符合标准的E-Mail地址.

20． 格局:deny [IP地址/域名] [阐明文件]
功效:这个设置可以限制哪一些IP地址或域名的用户无法登入FTP服务器.
实例:deny *.com.tw /etc/ftpd/deny.msg:设置但凡域名是以“.com.tw”完毕的域名,都禁止其拜候.而将/etc/ftpd/deny.msg的内容显示给用户看.

5. 设置/etc/ftpuser,禁止某些用户登录
有时我们需求禁止一些用户利用FTP服务.其实这个设置是非常简单的,只需求将要禁止的用户帐号写入文件/etc/ftpuser中.由于从系统的安全考虑,普通我们是不但愿权限过大的用户和一些与号令名相同的用户进入FTP服务器.所以在缺省的配置中,普通以下用户已经被列入了“黑名单”.

root
uucp
news
bin
adm
nobody
lp
sync
shutdown
halt
mail

6. 设置/etc/ftphosts,禁止某些来自指定机械上的登录假如你需求回绝来自某些主机的登录,一种办法就是在/etc/ftpaccess中设置deny号令,另一种越发简单的办法就是在/etc/ftphosts中写入你要禁止的主机的IP地址或域名.

7. 使新的配置见效
到此为止,我们已经可以按照自己的需求对FTP服务器配置举行必要的改正和调整.而让我们重新配置后,就必须使其见效.普通的,对/etc/ftpaccess的配置是直接作用于设置后的下一次FTP服务进程.而别的的则要对inetd进程重新启动.

5.4 wu-ftp相关的其他一些号令的利用

5.4.1 衔接数统计号令ftpcount
我们可以利用ftpcount号令非常清楚地统计出当前衔接到FTP服务器上的用户数目,并且同时列出上限.号令输出以下所示:

Service class local 0 Users(20maximum)
Service class remote 5 Users(100maximum)

5.4.2 在线用户查看号令ftpwho
我们可以利用ftpwho号令非常清楚地列出当前衔接的用户的具体情形.

5.4.2 FTP关闭文件生成号令ftpshut
我们可以利用ftpshut号令生成一个在/etc/ftpaccess中设置的shut.msg文件,用于关机设定.ftpshut号令的格局为:

Ftpshut <-l min> <-d min> time <阐明>

-l 这个参数设定在关闭FTP服务器功效前多少分钟时终止用户的衔接;
-d 这个参数设定在关闭FTP服务器功效前多少分钟时堵截用户衔接;
time 指定关闭FTP服务器的时间.比方6:20分则写为0620;