如何通过vsftp在CentOS上设置虚拟用户以提升系统安全性？
- 内容介绍
- 文章标签
- 相关推荐
在现代服务器运维中，文件传输协议依然是很多企业和开发者不可或缺的工具。只是你是否也曾主要原因是系统的平安性问题而夜不能眠？传统的本地用户登录方式，虽然简单，却像是在自家大门上挂了一把摇摇欲坠的锁呃。一旦黑客通过某种途径获取了系统用户的账号， 甚至只是通过FTP漏洞提权，你的服务器就可能沦为他们的“肉鸡”。
为什么选择虚拟用户？
而虚拟用户则完全不同。它们是“不存在”于系统 /etc/passwd 文件中的幽灵。它们只能访问FTP服务，无法通过SSH登录系统，更没有施行Shell命令的权限。这种“非实名”的机制，本质上就是一种极佳的平安隔离。而且，虚拟用户可以灵活地映射到同一个系统用户下管理起来既方便又平安。
安装与配置 vsftpd
工欲善其事，必先利其器。我们要搭建这个环境，先得确保你的CentOS系统是最新的， 差点意思。 并且已经安装了必要的软件包。别急着操作，先检查一下你的环境。
我们需要安装的核心软件是 vsftpd 这是目前Linux下最平安、最快的FTP服务器软件。还有啊， 为了支持虚拟用户的数据库管理， 整一个... 我们还需要一个关键的工具——db4-utils它负责把我们明文的用户名密码转换成数据库文件。
打开终端，输入以下命令来安装它们。这个过程通常很快，但也取决于你的网络速度：
sudo yum install vsftpd db4-utils -y实不相瞒... 安装完成后不要急着启动服务。默认的VSFTPD配置是为匿名用户和本地用户准备的，这明显不是我们想要的。我们需要对它进行一次“大手术”。
创建宿主系统用户
拖进度。 虽然虚拟用户在系统层面是“隐形”的，但它们上传的文件总得有个地方存放吧？这就需要一个宿主系统用户。你可以把它想象成是一个房东， 所有的虚拟用户都是租客，虽然租客们各自有独立的房间，但房子产权归房东所有。
我们来创建一个名为 ftpuser 的系统用户。为了平安起见， 说到底。 我们要禁止这个用户登录Shell：
sudo adduser ftpuser --system --shell /sbin/nologin来一波... 施行完这条命令，系统里就有了一个没有家目录且无法登录的“傀儡”用户。接下来我们需要为这个用户创建一个根目录，所有的FTP文件都将存放在这里。比如我们把它放在 /home/ftpuser
sudo mkdir /home/ftpuser注意这里的权限设置， chown 命令非常关键，它确保了 vsftpd 进程能够读写这个目录，开搞。。
sudo chown -R ftpuser:ftpuser /home/ftpuser配置虚拟用户认证
我的看法是... 这是最有趣的一步。我们需要创建一个文本文件，像写小说一样列出我们的虚拟用户和密码。这个文件的结构非常简单：奇数行是用户名，偶数行是密码。
多损啊！ 让我们创建一个名为 /etc/vsftpd/virtusers.txt 的文件：
sudo vi /etc/vsftpd/virtusers.txtC位出道。 在文件中填入以下内容。当然 你可以根据喜好修改用户名和密码，但请记住这个格式，千万别搞混了：
virtualuser1
password1
virtualuser2
password2保存并退出编辑器。现在这个明文文件虽然方便我们阅读，但对VSFTPD来说却是不平安的。我们需要使用刚才安装的 db_load 工具，把它编译成Berkeley DB格式的数据库文件。这个过程就像是把明文信件装进了上了锁的铁盒子里。
sudo db_load -T -t hash -f /etc/vsftpd/virtusers.txt /etc/vsftpd/virtusers.db简直了。 为了防止别有用心的人偷看你的明文密码文件， 建议修改一下数据库文件的权限，只允许root用户读取：
sudo chmod 600 /etc/vsftpd/virtusers.db配置PAM认证——守门人的规则
VSFTPD本身并不直接读取那个.db文件，它需要通过PAM机制来进行认证。PAM就像是门口的保安，拿着名单核对每一个来访者的身份，冲鸭！。
我们需要新建一个PAM配置文件专门用于VSFTPD的虚拟用户认证。 等着瞧。 创建 /etc/pam.d/vsftpd-virtual操作一波。
sudo vi /etc/pam.d/vsftpd-virtual躺平。 将以下两行内容复制进去。这里要注意， pam_userdb.so 是用来读取我们刚才生成的数据库的模块，db= 后面跟的是数据库文件的路径，但不需要加 .db 后缀：
auth required pam_userdb.so db=/etc/vsftpd/virtusers
account required pam_userdb.so db=/etc/vsftpd/virtusers这一步非常容易出错，很多朋友主要原因是路径写错或者后缀没去掉，导致怎么都登录不上去，排查半天才发现是这里的问题。所以请务必仔细检查，绝绝子，这事儿我可太有发言权了。！
配置VSFTPD主配置文件
编辑VSFTPD的主配置文件 /etc/vsftpd/vsftpd.conf。为了防止出错， 建议先备份一下原文件：，我明白了。
sudo cp /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf.bak然后打开配置文件：
sudo vi /etc/vsftpd/vsftpd.conf这里的内容比较多，我们需要确保原有的配置被覆盖或修改。为了方便大家理解， 我把关键参数整理成了一个表格，你可以对照着修改：，稳了！
anonymous_enable=NO
local_enable=YES
write_enable=YES
guest_enable=YES
guest_username=ftpuser
user_sub_token=$USER
local_root=/home/ftpuser/$USER
virtual_use_local_privs=YES
pam_service_name=vsftpd-virtual
chroot_local_user=YES
allow_writeable_chroot=YES
xferlog_enable=YES
xferlog_std_format=YES
listen=NO
listen_ipv6=YES
tcp_wrappers=YES
dirmessage_enable=YES
use_localtime=YES你可以直接把下面的配置块粘贴到你的 vsftpd.conf 文件末尾，或者修改对应的行：
关于目录隔离的特别说明
看到 local_root=/home/ftpuser/$USER 这一行了吗？这行配置非常巧妙。它意味着当 virtualuser1 登录时他的根目录会自动变成 /home/ftpuser/virtualuser1。这样我们就不需要为每个用户单独配置路径了只要建立对应的文件夹即可，实不相瞒...。
试着用 virtualuser2 登录， 你会发现你只能看到 virtualuser2 的目录，完全看不到 virtualuser1 的任何文件。这种完美的隔离感，是不是让人很有平安感？
配置写好了现在我们需要为刚才在 virtusers.txt 里定义的用户创建实际的文件夹。如果这一步不做，用户登录时可能会报错或者找不到目录，动手。。
sudo mkdir /home/ftpuser/virtualuser1
sudo mkdir /home/ftpuser/virtualuser2别忘了设置权限。这些目录必须属于 ftpuser 否则VSFTPD进程无法写入：
sudo chown -R ftpuser:ftpuser /home/ftpuser/virtualuser1
sudo chown -R ftpuser:ftpuser /home/ftpuser/virtualuser2启动服务与测试
最终的最终。 总的来说... 所有的坑都填完了现在是见证奇迹的时刻。启动VSFTPD服务， 并设置为开机自启：
sudo systemctl start vsftpd
sudo systemctl enable vsftpd如果启动失败，可以使用 systemctl status vsftpd 查看日志，通常都是配置文件拼写错误或者路径不对导致的，我倾向于...。
现在拿起你的FTP客户端工具，尝试使用 virtualuser1 和 password1 登录你的服务器。如果一切顺利， 你应该能看到 virtualuser1 的目录，并且可以上传下载文件，我比较认同...。
希望这篇文章能帮你解决实际问题。如果在配置过程中遇到什么奇怪的问题，别忘了检查日志，日志永远是服务器最诚实的倾诉者。祝你的服务器永远稳如泰山，数据平安无忧！
在现代服务器运维中，文件传输协议依然是很多企业和开发者不可或缺的工具。只是你是否也曾主要原因是系统的平安性问题而夜不能眠？传统的本地用户登录方式，虽然简单，却像是在自家大门上挂了一把摇摇欲坠的锁呃。一旦黑客通过某种途径获取了系统用户的账号， 甚至只是通过FTP漏洞提权，你的服务器就可能沦为他们的“肉鸡”。
为什么选择虚拟用户？
而虚拟用户则完全不同。它们是“不存在”于系统 /etc/passwd 文件中的幽灵。它们只能访问FTP服务，无法通过SSH登录系统，更没有施行Shell命令的权限。这种“非实名”的机制，本质上就是一种极佳的平安隔离。而且，虚拟用户可以灵活地映射到同一个系统用户下管理起来既方便又平安。
安装与配置 vsftpd
工欲善其事，必先利其器。我们要搭建这个环境，先得确保你的CentOS系统是最新的， 差点意思。 并且已经安装了必要的软件包。别急着操作，先检查一下你的环境。
我们需要安装的核心软件是 vsftpd 这是目前Linux下最平安、最快的FTP服务器软件。还有啊， 为了支持虚拟用户的数据库管理， 整一个... 我们还需要一个关键的工具——db4-utils它负责把我们明文的用户名密码转换成数据库文件。
打开终端，输入以下命令来安装它们。这个过程通常很快，但也取决于你的网络速度：
sudo yum install vsftpd db4-utils -y实不相瞒... 安装完成后不要急着启动服务。默认的VSFTPD配置是为匿名用户和本地用户准备的，这明显不是我们想要的。我们需要对它进行一次“大手术”。
创建宿主系统用户
拖进度。 虽然虚拟用户在系统层面是“隐形”的，但它们上传的文件总得有个地方存放吧？这就需要一个宿主系统用户。你可以把它想象成是一个房东， 所有的虚拟用户都是租客，虽然租客们各自有独立的房间，但房子产权归房东所有。
我们来创建一个名为 ftpuser 的系统用户。为了平安起见， 说到底。 我们要禁止这个用户登录Shell：
sudo adduser ftpuser --system --shell /sbin/nologin来一波... 施行完这条命令，系统里就有了一个没有家目录且无法登录的“傀儡”用户。接下来我们需要为这个用户创建一个根目录，所有的FTP文件都将存放在这里。比如我们把它放在 /home/ftpuser
sudo mkdir /home/ftpuser注意这里的权限设置， chown 命令非常关键，它确保了 vsftpd 进程能够读写这个目录，开搞。。
sudo chown -R ftpuser:ftpuser /home/ftpuser配置虚拟用户认证
我的看法是... 这是最有趣的一步。我们需要创建一个文本文件，像写小说一样列出我们的虚拟用户和密码。这个文件的结构非常简单：奇数行是用户名，偶数行是密码。
多损啊！ 让我们创建一个名为 /etc/vsftpd/virtusers.txt 的文件：
sudo vi /etc/vsftpd/virtusers.txtC位出道。 在文件中填入以下内容。当然 你可以根据喜好修改用户名和密码，但请记住这个格式，千万别搞混了：
virtualuser1
password1
virtualuser2
password2保存并退出编辑器。现在这个明文文件虽然方便我们阅读，但对VSFTPD来说却是不平安的。我们需要使用刚才安装的 db_load 工具，把它编译成Berkeley DB格式的数据库文件。这个过程就像是把明文信件装进了上了锁的铁盒子里。
sudo db_load -T -t hash -f /etc/vsftpd/virtusers.txt /etc/vsftpd/virtusers.db简直了。 为了防止别有用心的人偷看你的明文密码文件， 建议修改一下数据库文件的权限，只允许root用户读取：
sudo chmod 600 /etc/vsftpd/virtusers.db配置PAM认证——守门人的规则
VSFTPD本身并不直接读取那个.db文件，它需要通过PAM机制来进行认证。PAM就像是门口的保安，拿着名单核对每一个来访者的身份，冲鸭！。
我们需要新建一个PAM配置文件专门用于VSFTPD的虚拟用户认证。 等着瞧。 创建 /etc/pam.d/vsftpd-virtual操作一波。
sudo vi /etc/pam.d/vsftpd-virtual躺平。 将以下两行内容复制进去。这里要注意， pam_userdb.so 是用来读取我们刚才生成的数据库的模块，db= 后面跟的是数据库文件的路径，但不需要加 .db 后缀：
auth required pam_userdb.so db=/etc/vsftpd/virtusers
account required pam_userdb.so db=/etc/vsftpd/virtusers这一步非常容易出错，很多朋友主要原因是路径写错或者后缀没去掉，导致怎么都登录不上去，排查半天才发现是这里的问题。所以请务必仔细检查，绝绝子，这事儿我可太有发言权了。！
配置VSFTPD主配置文件
编辑VSFTPD的主配置文件 /etc/vsftpd/vsftpd.conf。为了防止出错， 建议先备份一下原文件：，我明白了。
sudo cp /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf.bak然后打开配置文件：
sudo vi /etc/vsftpd/vsftpd.conf这里的内容比较多，我们需要确保原有的配置被覆盖或修改。为了方便大家理解， 我把关键参数整理成了一个表格，你可以对照着修改：，稳了！
anonymous_enable=NO
local_enable=YES
write_enable=YES
guest_enable=YES
guest_username=ftpuser
user_sub_token=$USER
local_root=/home/ftpuser/$USER
virtual_use_local_privs=YES
pam_service_name=vsftpd-virtual
chroot_local_user=YES
allow_writeable_chroot=YES
xferlog_enable=YES
xferlog_std_format=YES
listen=NO
listen_ipv6=YES
tcp_wrappers=YES
dirmessage_enable=YES
use_localtime=YES你可以直接把下面的配置块粘贴到你的 vsftpd.conf 文件末尾，或者修改对应的行：
关于目录隔离的特别说明
看到 local_root=/home/ftpuser/$USER 这一行了吗？这行配置非常巧妙。它意味着当 virtualuser1 登录时他的根目录会自动变成 /home/ftpuser/virtualuser1。这样我们就不需要为每个用户单独配置路径了只要建立对应的文件夹即可，实不相瞒...。
试着用 virtualuser2 登录， 你会发现你只能看到 virtualuser2 的目录，完全看不到 virtualuser1 的任何文件。这种完美的隔离感，是不是让人很有平安感？
配置写好了现在我们需要为刚才在 virtusers.txt 里定义的用户创建实际的文件夹。如果这一步不做，用户登录时可能会报错或者找不到目录，动手。。
sudo mkdir /home/ftpuser/virtualuser1
sudo mkdir /home/ftpuser/virtualuser2别忘了设置权限。这些目录必须属于 ftpuser 否则VSFTPD进程无法写入：
sudo chown -R ftpuser:ftpuser /home/ftpuser/virtualuser1
sudo chown -R ftpuser:ftpuser /home/ftpuser/virtualuser2启动服务与测试
最终的最终。 总的来说... 所有的坑都填完了现在是见证奇迹的时刻。启动VSFTPD服务， 并设置为开机自启：
sudo systemctl start vsftpd
sudo systemctl enable vsftpd如果启动失败，可以使用 systemctl status vsftpd 查看日志，通常都是配置文件拼写错误或者路径不对导致的，我倾向于...。
现在拿起你的FTP客户端工具，尝试使用 virtualuser1 和 password1 登录你的服务器。如果一切顺利， 你应该能看到 virtualuser1 的目录，并且可以上传下载文件，我比较认同...。
希望这篇文章能帮你解决实际问题。如果在配置过程中遇到什么奇怪的问题，别忘了检查日志，日志永远是服务器最诚实的倾诉者。祝你的服务器永远稳如泰山，数据平安无忧！