《Linux網(wǎng)絡(luò)操作系統(tǒng)（CentOS 6.5）》課件-3-3-2 FTP服務(wù)器的安全配置與管理

Linux網(wǎng)絡(luò)操作系統(tǒng)（CentOS）FTP服務(wù)器的安全配置與管理任務(wù)目標基于安全考慮，公司要求信息部門對此擬定解決方案。信息部門通過討論，決定使用常規(guī)方式解決：應(yīng)用SSL/TLS協(xié)議加密傳輸數(shù)據(jù)。為了方便客戶在前臺查詢公司相關(guān)信息，接待部在客戶休息區(qū)放置了兩臺計算機，IP地址分別為0和1。為保障vsftpd服務(wù)器的安全，需要禁止這兩臺計算機訪問服務(wù)器，允許網(wǎng)段192.168.0的其他計算機訪問。SSL/TLS協(xié)議應(yīng)用因FTP服務(wù)器與客戶端在通信過程中是明文傳輸方式，所以在用戶登錄FTP服務(wù)器時，一旦有人在服務(wù)器端或客戶端監(jiān)聽網(wǎng)絡(luò)數(shù)據(jù)，就可以輕易獲取用戶的登錄賬號和密碼。FTP虛擬用戶賬號虛擬用戶并不是系統(tǒng)用戶，即FTP的用戶在系統(tǒng)中是不存在的。這些賬號的權(quán)限是集中寄托在系統(tǒng)中的某一個用戶身上的，即所謂的vsftpd的虛擬宿主用戶。虛擬宿主用戶是支持所有虛擬用戶的宿主用戶，由于它支撐了FTP的所有虛擬用戶，其本身的權(quán)限將會影響這些虛擬用戶。修改主配置文件在主配置文件中修改以下內(nèi)容（如無則添加）：guest_enable=YES#啟用虛擬用戶。guest_username=virtual#指定虛擬用戶映射的賬號名稱。pam_service_name=virtual#設(shè)定PAM服務(wù)下vsftpd的驗證配置文件名。user_config_dir=/etc/vsftpd/user_conf#指定虛擬用戶賬號配置文件所處位置。chroot_local_user=YES#啟用用戶目錄隔離。pasv_enable=YES#啟用vsftpd服務(wù)的被動模式。pasv_min_port=40000#指定最小端口號。pasv_max_port=41000#指定最大端口號。修改主配置文件ssl_enable=YES#啟用SSL/TLS協(xié)議。rsa_cert_file=/etc/vsftpd/cert/vsftpd.pem#指定SSL證書保存的文件。allow_anon_ssl=NO#匿名用戶不使用SSL加密。force_local_data_ssl=YES#強制使用SSL加密數(shù)據(jù)傳輸。force_local_logins_ssl=YES#強制使用SSL加密登錄數(shù)據(jù)。ssl_tlsv1=YES#啟用認證模式。ssl_sslv2=NOssl_sslv3=NOrequire_ssl_reuse=NO#不需要數(shù)據(jù)與控制流使用相同的SSL通道。ssl_ciphers=HIGHxferlog_enable=YESxferlog_std_format=NOxferlog_file=/var/log/vsftpd.log#指定相關(guān)日志文件log_ftp_protocol=YES創(chuàng)建配置文件目錄為用戶配置文件創(chuàng)建目錄。為證書文件創(chuàng)建目錄。創(chuàng)建虛擬用戶在目錄“/etc/vsftpd/”下創(chuàng)建用戶文件“virtualuser.txt”，并在其中寫入虛擬用戶及其密碼。設(shè)置虛擬用戶相關(guān)權(quán)限在指定的虛擬用戶賬號配置文件目錄“/etc/vsftpd/user_conf”內(nèi)，創(chuàng)建虛擬賬號權(quán)限配置文件，文件名稱以虛擬賬號命名。設(shè)置vsftpd的PAM配置文件vsftpd的PAM配置文件“/etc/pam.d/vsftpd”決定vsftpd使用何種認證方式，常用的認證方式包括：pam_unix：本地系統(tǒng)的真實用戶認證；pam_userdb：獨立的用戶認證數(shù)據(jù)庫認證；pam_ldap：網(wǎng)絡(luò)上的LDAP數(shù)據(jù)庫認證。創(chuàng)建SSL認證文件SSL認證文件可以通過openssl命令創(chuàng)建。創(chuàng)建虛擬用戶根目錄按照用戶配置文件中的設(shè)置，創(chuàng)建虛擬用戶根目錄。創(chuàng)建好目錄后，必須將目錄及其子目錄和文件的所有者和所屬組均改成用戶“virtual”及其所屬組，否則虛擬用戶無法登陸。防火墻設(shè)置因vsftpd服務(wù)使用的是TCP的20和21號端口，被動模式下使用了40000-41000之間的端口，所以必須在防火墻中添加規(guī)則，允許這些端口與外界通信。驗證匿名用戶測試驗證虛擬用戶測試TCPWrappers安全機制應(yīng)用啟用TCPWrappers安全機制：

打開vsftpd服務(wù)的主配置文件，檢查“tcp_wrappers”項是否啟用、值是否為“YES”。默認配置中，該選項為啟動的，且值為“YES”。TCPWrapper