搭建加密傳輸及安全FTP服務(wù)器

1、vsftpd + ssl 搭建加密傳輸?shù)陌踩獸TP服務(wù)器目錄一、 安裝包1二、 安裝 openssl2三、創(chuàng)建 openssl證書(shū)2四、 安裝 vsftpd2五、給vsftpd添加設(shè)置SSL安全傳輸2六、vsftpd用戶配置31.vsftpd用戶配置32.配置相關(guān)文檔：3七、相關(guān)問(wèn)題41.cannot change directory錯(cuò)誤42.顯示的時(shí)間43.開(kāi)機(jī)自啟動(dòng)44.簡(jiǎn)單說(shuō)下防火墻為FTP放行的配置：55.登陸成功但是連不上服務(wù)器5八、客戶端配置測(cè)試5Ftp測(cè)試5Ftps測(cè)試5九、多臺(tái)服務(wù)器10十、詳述創(chuàng)建 openssl證書(shū)（參考）101.生成服務(wù)器端的私鑰(key文件)102.生成

2、證書(shū)簽署請(qǐng)求103.生成CA證書(shū)104.合并key和crt文件105.如果覺(jué)的上述比較麻煩，可以使用下面命令；執(zhí)行一次就夠了（建議帶-nodes;不然vsftpd無(wú)法放到后臺(tái)啟動(dòng)）111、 安裝包使用rhel-server-5.5-x86_64-dvd.iso自帶的：2、 安裝 openssl查看是否已經(jīng)安裝#openssl version若顯示OpenSSL 0.9.8e-fips-rhel5 01 Jul 2008已安裝跳過(guò)安裝步驟檢測(cè)安裝結(jié)果#openssl version三、創(chuàng)建 openssl證書(shū)使用命令whereis openssl發(fā)現(xiàn)已安裝SSL，所以就未進(jìn)行安裝部份，直接進(jìn)入下

3、面創(chuàng)建證書(shū)：#openssl req -new -x509 -nodes -out /etc/vsftpd/vsftpd.pem -keyout /etc/vsftpd/vsftpd.pem按步驟填寫(xiě)相關(guān)內(nèi)容后，生成vsftpd.pem證書(shū)參考：十、詳述創(chuàng)建 openssl證書(shū)4、 安裝 vsftpd查看是否已經(jīng)安裝#ps aux|grep vsftpd若已顯示500 16602 0.0 0.0 61140 720 pts/0 S+ 13:58 0:00 grep vsftpd安裝跳過(guò)安裝步驟#rpm -ivh 五、給vsftpd添加設(shè)置SSL安全傳輸修改/etc/vsftpd/vsftpd.

4、conf文件，在文件最下面添加一些內(nèi)容：ssl_enable=YESssl_sslv2=YESforce_local_data_ssl=YESforce_local_logins_ssl=YES上面兩行表示強(qiáng)制非匿名用戶使用加密登陸和數(shù)據(jù)傳輸，如果設(shè)定為NO，則用戶可以選擇加密，也可以不加密。要參考實(shí)際證書(shū)存放路徑rsa_cert_file=/etc/vsftpd/vsftpd.pem重起vsftpd即可#service vsftpd restart六、vsftpd用戶配置redhat企業(yè)版5.0安裝時(shí)選擇了FTP，但默認(rèn)不隨著系統(tǒng)啟動(dòng)?？梢赃\(yùn)行：#service vsftpd start 啟

5、動(dòng)FTP服務(wù)，也可以運(yùn)行ntsysv命令管理服務(wù)，將vsftpd設(shè)為隨系統(tǒng)啟動(dòng)。1.vsftpd用戶配置添加用戶ftpuser,用戶目錄指定為/var/www/ftpuser，且此用戶不能登陸系統(tǒng)。#mkdir /var/www#mkdir /var/www/ftpuser#useradd -s /sbin/nologin -d /var/www/ftpuser ftpuser#passwd ftpuser#chown -R ftpuser:ftpuser /var/www/ftpuser2.配置相關(guān)文檔：#vi /etc/vsftpd/vsftpd.conf在文件最下面添加（文件前面若有同名

6、參數(shù)用“#”注釋掉）：anonymous_enable=NOpasv_enable=YESpasv_min_port=10000pasv_max_port=10010local_max_rate=200000chroot_local_user=YESlisten_port=21說(shuō)明：anonymous_enable=NO / 禁止匿名用戶訪問(wèn)pasv_enable=YES /允許被動(dòng)模式pasv_min_port=10000 /被動(dòng)模式使用端口范圍pasv_max_port=10010 /使用防火墻時(shí)需要配置，否則無(wú)法傳輸數(shù)據(jù)local_max_rate=200000 /用戶寬帶限制chroo

7、t_local_user=YES /禁用戶離開(kāi)主目錄listen_port=21 /端口號(hào)，可修改為其它其它保持默認(rèn)，基本上FTP可以使用了。FTP通過(guò)user_list文件進(jìn)行用戶登錄許可，vsftpd.conf添加下面三行：userlist_enable=YESuserlist_deny=NOuserlist_file=/etc/vsftpd/user_listuserlist_deny=NO時(shí)使用白名單方式過(guò)濾用戶，只有存在于user_list中的帳號(hào)才允許登錄ftp。userlist_deny=YES是使用黑名單方式過(guò)濾用戶，拒絕user_list中的帳號(hào)登錄ftp。我將userlis

8、t_deny設(shè)為NO，然后修改user_list文件，刪除所有默認(rèn)用戶名，再輸入新加的用戶名ftpuser重起vsftpd即可#service vsftpd restart七、相關(guān)問(wèn)題1.cannot change directory錯(cuò)誤在FTP使用時(shí)，能連接并登錄成功，但卻遇到cannot change directory錯(cuò)誤,因?yàn)槭莝elinux關(guān)閉FTP的原因，使用命令#getsebool ftpd_disable_trans可以查看當(dāng)前的狀態(tài)，如果不是on 或 setsebool: SELinux is disabled.那么是輸入命令#setsebool ftpd_disable_t

9、rans 1當(dāng)然也可以加入-P參數(shù) 以便不需要每次開(kāi)機(jī)都輸入這個(gè)命令2.顯示的時(shí)間ftp上來(lái)顯示的時(shí)間與系統(tǒng)時(shí)間不一致，因?yàn)槟J(rèn)情況下,vsftpd 是用GMT做為它的時(shí)間的,所以和系統(tǒng)的時(shí)間可能會(huì)不一致#vi /etc/vsftpd/vsftpd.conf在最后加入一行：use_localtime=YES存盤(pán)后，重啟vsftpd：#service vsftpd restart3.開(kāi)機(jī)自啟動(dòng)#chkconfig vsftpd on4.簡(jiǎn)單說(shuō)下防火墻為FTP放行的配置：#vi /etc/sysconfig/iptables進(jìn)去后可看到iptables的規(guī)則配置，如果里面有：-A RH-Firew

10、are-1-INPUT -m state -state NEW -m tcp -p tcp -dport 21 -j ACCEPT表示允許FTP連接端口，建議將被動(dòng)模式端口范圍通通加進(jìn)來(lái)，以免影響使用：-A RH-Fireware-1-INPUT -m state -state NEW -m tcp -p tcp -dport 10000 -j ACCEPT-A RH-Fireware-1-INPUT -m state -state NEW -m tcp -p tcp -dport 10001 -j ACCEPT5.登陸成功但是連不上服務(wù)器請(qǐng)認(rèn)真重新操作：六、vsftpd用戶配置1.vsftp

11、d用戶配置#passwd ftpuser重新設(shè)置密碼八、客戶端配置測(cè)試Ftp測(cè)試天津工行只能用這種方式。Ftps測(cè)試IE 8IE不支持ssl加密鏈接ftp。Firefox（不推薦）安裝fireftp插件可以支持（本機(jī)測(cè)試server列表顯示速度很慢）。Flashfxp（推薦）現(xiàn)在可以用支持ssl的ftp客戶端如flashfxp登錄了，在屬性設(shè)置中選擇相應(yīng)的SSL認(rèn)證方式。1、2、配置Flashfxp 連接至此,VSFTPD+SSL 基本配置已經(jīng)完成，本次試驗(yàn)只是為了達(dá)到ftp/ssl 功能，并抓包測(cè)試，發(fā)現(xiàn)原本明文傳輸?shù)男畔⒁呀?jīng)經(jīng)過(guò)加密,測(cè)試完成。九、多臺(tái)服務(wù)器執(zhí)行：一、安裝openssl和四

12、、安裝vsftpd，然后將測(cè)試通過(guò)的服務(wù)器/etc/vsftpd/目錄下所有文件拷貝到其它服務(wù)器。#scp /etc/vsftpd/* root8:/etc/vsftpd/十、詳述創(chuàng)建 openssl證書(shū)（參考）1.生成服務(wù)器端的私鑰(key文件)#openssl genrsa -des3 -out vsftpd.key 1024運(yùn)行時(shí)會(huì)提示輸入密碼，此密碼用于加密key文件（des3是指加密算法），以后每當(dāng)需讀取此文件都需輸入口令 如果覺(jué)得有口令不方便，可以用下面的命令去除口令#openssl rsa -in vsftpd.key -out vsftpd.k

13、ey 或者生成不需要密碼的私鑰文件（建議使用此項(xiàng);不然vsftpd無(wú)法放到后臺(tái)啟動(dòng)）#openssl genrsa -out vsftpd.key 1024 2.生成證書(shū)簽署請(qǐng)求#openssl req -new -key vsftpd.key -out vsftpd.csr生成的csr（Certificate Signing Request）文件交給CA簽名后形成服務(wù)端自己的證書(shū)。屏幕上將有提示，依照其指示一步一步輸入要求的個(gè)人信息即可csr文件必須有CA的簽名才可形成證書(shū)，你可以拿著這個(gè)文件去數(shù)字證書(shū)頒發(fā)機(jī)構(gòu)（即CA）申請(qǐng)一個(gè)數(shù)字證書(shū)3.生成CA證書(shū)如果是自己做測(cè)試，證書(shū)的申請(qǐng)機(jī)構(gòu)和頒發(fā)機(jī)構(gòu)都是自己?？梢杂孟旅孢@個(gè)命令來(lái)生成證書(shū)#openssl req -new -x509 -key vsftpd.key -out vsftpd.crt 4.合并key和crt文件#cat