vsftpd 配置(中)

2020-07-10 12:07:36

字體：大中小

供稿：網(wǎng)友

4. IP監(jiān)聽與連接控制
     vsftpd工作在獨立模式（standalone）下的啟動參數(shù)有兩項：
     listen=yes/no
     listen_ipv6=yes/no
     其中第一條已經(jīng)前面已經(jīng)提過了，第二條應(yīng)用在ipv6網(wǎng)絡(luò)環(huán)境中，這兩相參數(shù)只能有一條值為yes。
     在實際的網(wǎng)絡(luò)環(huán)境中，服務(wù)器通常都有多個IP地址，而每個IP地址連接不同的網(wǎng)段，我們可能并不希望在所有網(wǎng)段的上的計算機都能訪問服務(wù)器。而默認情況下，vsftpd將在所有的IP地址上監(jiān)聽，因此，我們需要下面兩行：
     listen_address=監(jiān)聽 ip
     listen_address6=監(jiān)聽 ip
     這兩行分別是針對IPv4和IPv6環(huán)境的。
     下面的兩項是vsftpd并發(fā)連接控制：
     max_clients=數(shù)字
     max_per_ip=數(shù)字
     參數(shù)max_clients設(shè)置了服務(wù)器可以接受的最大并發(fā)連接數(shù)量，max_per_ip設(shè)置了每個客戶端IP可以發(fā)起的最大連接數(shù)。針對服務(wù)器性能適當設(shè)置這兩個參數(shù)，可以在服務(wù)器可接受的連接數(shù)量和連接速度之間找到平衡點。這兩項默認值均為0，表示無限制。
     accept_timeout=數(shù)字
     connect_timeout=數(shù)字
     data_connection_timeout=數(shù)字
     idle_session_timeout=數(shù)字
     上面的數(shù)字都是以秒為單位的。其中 access_timeout 代表以 pasv數(shù)據(jù)連接模式的時候，數(shù)據(jù)連接的超時；connect_timeout 表示以 port模式連接數(shù)據(jù)連接時的超時時間；關(guān)于ftp服務(wù)連接模式下面會有詳細介紹。data_connection_timeout 表示數(shù)據(jù)連接后數(shù)據(jù)連接等待的空閑時間超時，超過時間后，數(shù)據(jù)連接將斷開連接；idle_session_timeout 設(shè)置發(fā)呆時間，也就是客戶端隔多長時間不與服務(wù)器有交互 ftp 命令，將自動斷開 ftp 服務(wù)連接。
5. 關(guān)于連接端口設(shè)置
     我們知道 ftp 服務(wù)有一點是不同于其他的服務(wù)的是，ftp 服務(wù)使用的是 tcp 雙連接通道，也就是ftp-server 和 ftp-data 連接。我們可以這么理解：ftp-server 連接接受客戶端連接請求、并發(fā)控制、身份和權(quán)限認證以及傳輸客戶端下達的命令。ftp-data連接負責傳輸數(shù)據(jù)，也就是說當有數(shù)據(jù)傳輸?shù)臅r候才會有這條連接。我們先來看一下 ftp-server 的設(shè)置：
     listen_port=端口號
     那么這條設(shè)置可以設(shè)置 ftp-server 端口號，默認為21，如果我們指定了其它端口號，那么客戶端連接服務(wù)器上時就得使用指定端口號了。我們將這一行加入主配置文件中：
     listen_port=2121
     # ftp 127.0.0.1
     ftp: connect: Connection refused
     ftp> open 127.0.0.1 2121
     Connected to 127.0.0.1.
     220 (vsFTPd 2.0.5)
     530 Please login with USER and PASS.
     ……
     已經(jīng)看到效果了，接下來我們討論ftp-data連接的問題。
     FTP數(shù)據(jù)傳輸有兩種模式：FTP Port模式和FTP Passive模式，兩種工作方式截然不同。
     FTP Port模式
     在FTP Port模式下，客戶端與服務(wù)器建立ftp-server連接之后，如果某條指令涉及到數(shù)據(jù)傳送，就需要建立ftp-data連接。其實連接步驟如下：
     (1) 客戶端啟用另一個高于1024的空閑端口xx做連接準備，并且使用port命令利用ftp-server信道向服務(wù)器發(fā)送一個數(shù)據(jù)包，數(shù)據(jù)包里包含客戶端的IP地址和xx端口，告訴服務(wù)器客戶端xx端口已做好連接準備。Port命令還支持第三方（third-party）模式，第三方模式是客戶端告訴服務(wù)器端打開與另臺主機的連接。
     (2) 服務(wù)器以ftp-data端口（默認為20）主動向客戶端xx端口進行連接。
     (3) 客戶端響應(yīng)服務(wù)器連接，并繼續(xù)完成三次握手后，ftp-data連接建立，開始傳送數(shù)據(jù)。當數(shù)據(jù)傳輸完畢后，服務(wù)器ftp-data端口就處于等待關(guān)閉狀態(tài)。
     我們看到，Port模式下ftp-data連接請求是由服務(wù)器發(fā)起的。現(xiàn)在來看一下vsftpd中關(guān)于Port模式的語句設(shè)置：
     port_enable=yes/no                               //是否啟用 port 模式
     connect_from_port_20=yes/no                    //port 模式下是否默認使用固定的 20 端口
     ftp_data_port=port_number                        //指定 port 模式的端口號
     port_promiscuous=yes/no                 //是否使用安全的 port 模式
     將port_enable 設(shè)置為 yes，就采用 port 模式。在 port 模式下端口如果采用固定的20 端口，就把connect_from_port_20選項就設(shè)為yes，這是很多服務(wù)器默認的設(shè)置規(guī)則。我們也可以指定其他的端口，那么這也就由ftp_data_port 來指定固定端口。port_promiscuous 默認值為no，表示ftp-data連接之前檢驗一下數(shù)據(jù)連接的目標ip 的是否是真正客戶端的IP，反之則不檢查。除非你確保服務(wù)器是與真正的客戶端進行連接，否則不要將此參數(shù)值改為yes。

上一篇：怎么使用戶能訪問ftp，但不能遠程登錄

下一篇：VSFTP配置實例