搭建加密傳輸及安全FTP服務器

1、vsftpd + ssl 搭建加密傳輸?shù)陌踩獸TP服務器目錄一、 安裝包1二、 安裝 openssl2三、創(chuàng)建 openssl證書2四、 安裝 vsftpd2五、給vsftpd添加設置SSL安全傳輸2六、vsftpd用戶配置31.vsftpd用戶配置32.配置相關文檔：3七、相關問題41.cannot change directory錯誤42.顯示的時間43.開機自啟動44.簡單說下防火墻為FTP放行的配置：55.登陸成功但是連不上服務器5八、客戶端配置測試5Ftp測試5Ftps測試5九、多臺服務器10十、詳述創(chuàng)建 openssl證書（參考）101.生成服務器端的私鑰(key文件)102.生成

2、證書簽署請求103.生成CA證書104.合并key和crt文件105.如果覺的上述比較麻煩，可以使用下面命令；執(zhí)行一次就夠了（建議帶-nodes;不然vsftpd無法放到后臺啟動）111、 安裝包使用rhel-server-5.5-x86_64-dvd.iso自帶的：2、 安裝 openssl查看是否已經安裝#openssl version若顯示OpenSSL 0.9.8e-fips-rhel5 01 Jul 2008已安裝跳過安裝步驟檢測安裝結果#openssl version三、創(chuàng)建 openssl證書使用命令whereis openssl發(fā)現(xiàn)已安裝SSL，所以就未進行安裝部份，直接進入下

3、面創(chuàng)建證書：#openssl req -new -x509 -nodes -out /etc/vsftpd/vsftpd.pem -keyout /etc/vsftpd/vsftpd.pem按步驟填寫相關內容后，生成vsftpd.pem證書參考：十、詳述創(chuàng)建 openssl證書4、 安裝 vsftpd查看是否已經安裝#ps aux|grep vsftpd若已顯示500 16602 0.0 0.0 61140 720 pts/0 S+ 13:58 0:00 grep vsftpd安裝跳過安裝步驟#rpm -ivh 五、給vsftpd添加設置SSL安全傳輸修改/etc/vsftpd/vsftpd.

4、conf文件，在文件最下面添加一些內容：ssl_enable=YESssl_sslv2=YESforce_local_data_ssl=YESforce_local_logins_ssl=YES上面兩行表示強制非匿名用戶使用加密登陸和數(shù)據傳輸，如果設定為NO，則用戶可以選擇加密，也可以不加密。要參考實際證書存放路徑rsa_cert_file=/etc/vsftpd/vsftpd.pem重起vsftpd即可#service vsftpd restart六、vsftpd用戶配置redhat企業(yè)版5.0安裝時選擇了FTP，但默認不隨著系統(tǒng)啟動?？梢赃\行：#service vsftpd start 啟

5、動FTP服務，也可以運行ntsysv命令管理服務，將vsftpd設為隨系統(tǒng)啟動。1.vsftpd用戶配置添加用戶ftpuser,用戶目錄指定為/var/www/ftpuser，且此用戶不能登陸系統(tǒng)。#mkdir /var/www#mkdir /var/www/ftpuser#useradd -s /sbin/nologin -d /var/www/ftpuser ftpuser#passwd ftpuser#chown -R ftpuser:ftpuser /var/www/ftpuser2.配置相關文檔：#vi /etc/vsftpd/vsftpd.conf在文件最下面添加（文件前面若有同名

6、參數(shù)用“#”注釋掉）：anonymous_enable=NOpasv_enable=YESpasv_min_port=10000pasv_max_port=10010local_max_rate=200000chroot_local_user=YESlisten_port=21說明：anonymous_enable=NO / 禁止匿名用戶訪問pasv_enable=YES /允許被動模式pasv_min_port=10000 /被動模式使用端口范圍pasv_max_port=10010 /使用防火墻時需要配置，否則無法傳輸數(shù)據local_max_rate=200000 /用戶寬帶限制chroo

7、t_local_user=YES /禁用戶離開主目錄listen_port=21 /端口號，可修改為其它其它保持默認，基本上FTP可以使用了。FTP通過user_list文件進行用戶登錄許可，vsftpd.conf添加下面三行：userlist_enable=YESuserlist_deny=NOuserlist_file=/etc/vsftpd/user_listuserlist_deny=NO時使用白名單方式過濾用戶，只有存在于user_list中的帳號才允許登錄ftp。userlist_deny=YES是使用黑名單方式過濾用戶，拒絕user_list中的帳號登錄ftp。我將userlis

8、t_deny設為NO，然后修改user_list文件，刪除所有默認用戶名，再輸入新加的用戶名ftpuser重起vsftpd即可#service vsftpd restart七、相關問題1.cannot change directory錯誤在FTP使用時，能連接并登錄成功，但卻遇到cannot change directory錯誤,因為是selinux關閉FTP的原因，使用命令#getsebool ftpd_disable_trans可以查看當前的狀態(tài)，如果不是on 或 setsebool: SELinux is disabled.那么是輸入命令#setsebool ftpd_disable_t

9、rans 1當然也可以加入-P參數(shù) 以便不需要每次開機都輸入這個命令2.顯示的時間ftp上來顯示的時間與系統(tǒng)時間不一致，因為默認情況下,vsftpd 是用GMT做為它的時間的,所以和系統(tǒng)的時間可能會不一致#vi /etc/vsftpd/vsftpd.conf在最后加入一行：use_localtime=YES存盤后，重啟vsftpd：#service vsftpd restart3.開機自啟動#chkconfig vsftpd on4.簡單說下防火墻為FTP放行的配置：#vi /etc/sysconfig/iptables進去后可看到iptables的規(guī)則配置，如果里面有：-A RH-Firew

10、are-1-INPUT -m state -state NEW -m tcp -p tcp -dport 21 -j ACCEPT表示允許FTP連接端口，建議將被動模式端口范圍通通加進來，以免影響使用：-A RH-Fireware-1-INPUT -m state -state NEW -m tcp -p tcp -dport 10000 -j ACCEPT-A RH-Fireware-1-INPUT -m state -state NEW -m tcp -p tcp -dport 10001 -j ACCEPT5.登陸成功但是連不上服務器請認真重新操作：六、vsftpd用戶配置1.vsftp

11、d用戶配置#passwd ftpuser重新設置密碼八、客戶端配置測試Ftp測試天津工行只能用這種方式。Ftps測試IE 8IE不支持ssl加密鏈接ftp。Firefox（不推薦）安裝fireftp插件可以支持（本機測試server列表顯示速度很慢）。Flashfxp（推薦）現(xiàn)在可以用支持ssl的ftp客戶端如flashfxp登錄了，在屬性設置中選擇相應的SSL認證方式。1、2、配置Flashfxp 連接至此,VSFTPD+SSL 基本配置已經完成，本次試驗只是為了達到ftp/ssl 功能，并抓包測試，發(fā)現(xiàn)原本明文傳輸?shù)男畔⒁呀浗涍^加密,測試完成。九、多臺服務器執(zhí)行：一、安裝openssl和四

12、、安裝vsftpd，然后將測試通過的服務器/etc/vsftpd/目錄下所有文件拷貝到其它服務器。#scp /etc/vsftpd/* root8:/etc/vsftpd/十、詳述創(chuàng)建 openssl證書（參考）1.生成服務器端的私鑰(key文件)#openssl genrsa -des3 -out vsftpd.key 1024運行時會提示輸入密碼，此密碼用于加密key文件（des3是指加密算法），以后每當需讀取此文件都需輸入口令 如果覺得有口令不方便，可以用下面的命令去除口令#openssl rsa -in vsftpd.key -out vsftpd.k

13、ey 或者生成不需要密碼的私鑰文件（建議使用此項;不然vsftpd無法放到后臺啟動）#openssl genrsa -out vsftpd.key 1024 2.生成證書簽署請求#openssl req -new -key vsftpd.key -out vsftpd.csr生成的csr（Certificate Signing Request）文件交給CA簽名后形成服務端自己的證書。屏幕上將有提示，依照其指示一步一步輸入要求的個人信息即可csr文件必須有CA的簽名才可形成證書，你可以拿著這個文件去數(shù)字證書頒發(fā)機構（即CA）申請一個數(shù)字證書3.生成CA證書如果是自己做測試，證書的申請機構和頒發(fā)機構都是自己。可以用下面這個命令來生成證書#openssl req -new -x509 -key vsftpd.key -out vsftpd.crt 4.合并key和crt文件#cat