鳥哥私房菜 - 第二十四章、簡易 vsftpd 伺服器設定

前言：
套件安裝：
　　：以 RPM 安裝
　　：以 Tarball 安裝
Server 端的設定：
　　：vsftpd 的套件結構
　　：vsftpd.conf 設定值說明
　　：最簡單的 vsftpd.conf 設定
　　：針對僅有開放實體用戶登入的設定
　　：針對僅有開放匿名使用者登入的設定
Client 端的設定：
安全相關方面：
　　：防火牆抵擋
　　：Super daemon 的管理
　　：問題解決方案
對於 FTP 伺服器軟體選擇的建議：
參考資源：

前言

very secure FTP daemon

程序的權限, privilege

改變根目錄的所在 ( change root directory )

chroot /tmp/pub command 』

vsftpd 是以一般身份啟動服務，所以對於 Linux 系統的使用權限較低，對於 Linux 系統的危害就相對的減低了。此外， vsftpd 亦利用 chroot() 這個函式進行改換根目錄的動作，使得系統工具不會被 vsftpd 這支服務所誤用；
任何需要具有較高執行權限的 vsftpd 指令均以一支特殊的上層程序 ( parent process ) 所控制，該上層程序享有的較高執行權限功能已經被限制的相當的低，並以不影響 Linux 本身的系統為準；
所有來自 clients 端，想要使用這支上層程序所提供的較高執行權限之 vsftpd 指令的需求，均被視為『不可信任的要求』來處理，必需要經過相當程度的身份確認後，方可利用該上層程序的功能。例如 chown(), Login 的要求等等動作；
此外，上面提到的上層程序中，依然使用 chroot() 的功能來限制使用者的執行權限。

Wu FTP

套件安裝：

以 RPM 安裝

以 Tarball 安裝

ftp://vsftpd.beasts.org/users/cevans/

1. 下載與解壓縮：
[root@test root]# wget \
> ftp://vsftpd.beasts.org/users/cevans/vsftpd-1.2.0.tar.gz
[root@test root]# cd /usr/local/src
[root@test root]# tar -zxvf /root/vsftpd-1.2.0.tar.gz
[root@test root]# cd vsftpd-1.2.0/
# 在這個目錄下有個 INSTALL 與 README 請務必察看喔！
　
2. 開始編譯與安裝
# vsftpd 預設安裝的路徑為：
# 所有可執行檔放置在 /usr/local/sbin 裡面；
# man page 放置在 /usr/local/man/man5 與 /usr/local/man/man8
# 若 super daemon 為 xinetd 時，會複製一份啟動檔案到 /etc/xinetd.d 去！
[root@test vsftpd-1.2.0]# make
# 編譯的過程可能有 warning 的訊息，只要不是 Error 就可以不理他！
[root@test vsftpd-1.2.0]# make install
[root@test vsftpd-1.2.0]# cp vsftpd.conf /etc
# 將 PAM 身份認證模組給他放進去系統裡面！
[root@test vsftpd-1.2.0]# cp RedHat/vsftpd.pam /etc/pam.d/vsftpd
# 建立 ftp 這個使用者以及他的家目錄：
# 若本來就存在 ftp 這個使用者，那就不需要進行新增！
[root@test vsftpd-1.2.0]# useradd -M ftp -d /var/ftp
[root@test vsftpd-1.2.0]# mkdir -p /var/ftp
[root@test vsftpd-1.2.0]# chown root:root /var/ftp
[root@test vsftpd-1.2.0]# chmod 755 /var/ftp
# 建立 vsftpd 需要的特殊目錄
[root@test vsftpd-1.2.0]# mkdir -p /usr/share/empty
　
3. 如果需要移除時：
# 如果想要移除 vsftp 時，可以這樣做
[root@test vsftpd-1.2.0]# rm /usr/local/sbin/vsftpd
[root@test vsftpd-1.2.0]# rm /usr/local/man/man5/vsftpd.conf.5
[root@test vsftpd-1.2.0]# rm /usr/local/man/man8/vsftpd.8
[root@test vsftpd-1.2.0]# rm /etc/xinetd.d/vsftpd
[root@test vsftpd-1.2.0]# rm /etc/vsftpd.conf
# 因為剛剛安裝只有安裝這幾個檔案而已說！所以啦， vsftpd 真的是挺安全的說！
　
4. 測試：
# 先確認一下 xinetd.d 有沒有問題再說：
[root@test root]# vi /etc/xinetd.d/vsftpd
service ftp
{
        socket_type             = stream
        wait                    = no
        user                    = root
        server                  = /usr/local/sbin/vsftpd
        log_on_success          += DURATION USERID
        log_on_failure          += USERID
        nice                    = 10
     disable                 = no
}
[root@test root]# /etc/rc.d/init.d/xinetd restart
[root@test root]# ftp localhost
ftp localhost
Connected to localhost.
220 (vsFTPd 1.2.0)
530 Please login with USER and PASS.
530 Please login with USER and PASS.
KERBEROS_V4 rejected as an authentication type
Name (localhost:root): anonymous
# 這樣就表示 vsftpd 已經可以正確的啟動了，不過因為我們還沒有設定好
# /etc/vsftpd.conf ，所以會有無法登入的問題！沒關係，
# 等一下設定好就 OK 了！

Server 端的設定

vsftpd 的套件結構

/etc/vsftpd.conf 或 /etc/vsftpd/vsftpd.conf：這個就是 vsftpd 的主要設定檔了！也是等一下我們要設定的主要項目說。在這個設定檔裡面，所有的設定項目都是以『參數=設定值』來設定的，注意一下，等號兩邊沒有空白喔！至於 vsftpd.conf 的詳細說明，其實在 vsftpd.conf 裡面就已經相當的清晰了，如果還想要有其他的支援，可以使用『man 5 vsftpd.conf』來查閱喔！

/etc/pam.d/vsftpd 與 /etc/ftpusers 或 /etc/vsftpd.ftpusers：這個與 Wu FTP 是相同的作用啦！利用 pam 模組來進行身份確認的動作說！那麼怎麼知道使用 /etc/vsftpd.ftpusers 或 /etc/ftpusers 呢？看 /etc/pam.d/vsftpd 的內容即可！

[root@test root]# vi /etc/pam.d/vsftpd
#%PAM-1.0
auth       required     pam_listfile.so item=user sense=deny file=/etc/vsftpd.ftpusers onerr=succeed
auth       required     pam_stack.so service=system-auth
auth       required     pam_shells.so
account    required     pam_stack.so service=system-auth
session    required     pam_stack.so service=system-auth

上面的斜體字是同一行，注意到斜體字那一行，可以發現 file="檔名" 那個檔名就是『限制使用者無法使用 vsftpd 』的主要設定檔案囉！

/etc/vsftpd.chroot_list：這個檔案不見得會使用到，且與實體用戶有關！當我們在 vsftpd.conf 裡面設定好了實體用戶的使用者沒有被 chroot 到自己的家目錄下(也就是使用者登入後不只能到自己的家目錄，還可以跳到其他目錄)，不過，某些使用者您想讓他無法離開家目錄時，預設在 /etc/vsftpd.chroot_list 這個檔案裡面，就可以將該使用者限制在自己的家目錄內了！一行一個帳號。

/etc/vsftp.banned_emails：這個檔案與匿名登入有關，不過也不見得會用到！當您允許匿名者 (anonymous) 登入您的 FTP 主機，不過卻不允許某些 email address 登入，那麼就可以將該 email address 寫入到這個檔案裡面去喔！

/usr/local/sbin/vsftpd 或 /usr/sbin/vsftpd：這就是 vsftpd 的主要執行檔咯！不要懷疑， vsftpd 只有這一個執行檔而已啊！

/var/ftp：這個是 vsftpd 的預設匿名者登入的根目錄喔！

大致上就只有這幾個檔案需要注意而已呢！

vsftpd.conf 設定值說明

關於主機的設定值
connect_from_port_20=YES (NO)
　還記得 wu ftp 那篇文章提到的，關於主動連線的 ftp-data 嗎？
　這個設定項目在啟動主動連線的 port 20 咯！
listen_port=21
　使用的 vsftpd 命令通道的 port number 設定，如果您想要使用非
　正規的 ftp port，在這個設定項目修改吧！
dirmessage_enable=YES (NO)
　當使用者進入某個目錄時，會顯示該目錄需要注意的內容，顯示的
　檔案預設是 .message ，當然，可以使用底下的設定項目來修訂！
message_file=.message
　當 dirmessage_enable=YES 時，可以設定這個項目來讓 vsftpd
　尋找該檔案來顯示訊息！您也可以設定其他檔名喔！
listen=YES (NO)
　若設定為 YES 表示 vsftpd 是以 standalone 的方式來啟動的！
pasv_enable=YES (NO)
　啟動被動式連線(passive mode)，一定要設定為 YES 的啦！
use_localtime=YES (NO)
　是否使用主機的時間？！預設使用 GMT 時間(格林威治)，會比台灣
　時間晚 8 小時，一般來說，建議設定為 YES 吧！
write_enable=YES (NO)
　是否允許使用者具有寫入的權限？！這包括刪除與修改等功能喔！
connect_timeout=60
　單位是秒，如果 client 嘗試連接我們的 vsftpd 命令通道超過 60 秒，
　則不等待，強制斷線咯。
accept_timeout=60
　當使用者以被動式 PASV 來進行資料傳輸時，如果主機啟用 passive port
　並等待 client 超過60 秒，那麼就給他強制斷線！您可以修改 60 這個數值。
data_connection_timeout=300
　如果 client 與 Server 間的資料傳送在 300 秒內都無法傳送成功，
　那 Client 的連線就會被我們的 vsftpd 強制剔除！
idle_session_timeout=300
　如果使用者在 300 秒內都沒有命令動作，強制離線！
max_clients=0
　如果 vsftpd 是以 stand alone 方式啟動的，那麼這個設定項目可以設定
　同一時間，最多有多少 client 可以同時連上 vsftpd 哩！？
max_per_ip=0
　與上面 max_clients 類似，這裡是同一個 IP 同一時間可允許多少連線？
pasv_max_port=0
pasv_min_port=0
　上面兩個是與 passive mode 使用的 port number 有關，如果您想要使用
　65400 到 65410 這 11 個 port 來進行被動式資料的連接，可以這樣設定
　pasv_max_port=65410 以及 pasv_min_port=65400
ftpd_banner=一些文字說明
　當使用者無法順利連上我們的主機，例如連線數量已經超過 max_clients
　的設定了，那麼 client 的畫面就會顯示『一些文字說明』的字樣，您可以修改
　
關於實體用戶登入者的設定值
guest_enable=YES (NO)
　若這個值設定為 YES 時，那麼任何非 anonymous 登入的帳號，均會被
　假設成為 guest (訪客) 喔！
local_enable=YES (NO)
　這個設定值必須要為 YES 時，在 /etc/passwd 內的帳號才能以
　實體用戶的方式登入我們的 vsftpd 主機喔！
local_max_rate=0
　實體用戶的傳輸速度限制，單位為 bytes/second， 0 為不限制。
chroot_local_user=YES (NO)
　將使用者限制在自己的家目錄之內(chroot)！這個設定在 vsftpd
　當中預設是 NO，因為有底下兩個設定項目的輔助喔！
　所以不需要啟動他！
chroot_list_enable=YES (NO)
　是否啟用將某些實體用戶限制在他們的家目錄內？！預設是 NO ，
　不過，如果您想要讓某些使用者無法離開他們的家目錄時，
　可以考慮將這個設定為 YES ，並且規劃下個設定值
chroot_list_file=/etc/vsftpd.chroot_list
　如果 chroot_list_enable=YES 那麼就可以設定這個項目了！他裡面可以規定
　那一個實體用戶會被限制在自己的家目錄內而無法離開！(chroot)
　一行一個帳號即可！
userlist_deny=YES (NO)
　若此設定值為 YES 時，則當使用者帳號被列入到某個檔案時，在該檔案內
　的使用者將無法登入 vsftpd 伺服器！該檔案檔名與下列設定項目有關。
userlist_file=/etc/vsftpd.user_list
　若上面 userlist_deny=YES 時，則這個檔案就有用處了！在這個檔案內的
　帳號都無法使用 vsftpd 喔！
　
關於匿名者登入的設定值
anonymous_enable=YES (NO)
　設定為允許 anonymous 登入我們的 vsftpd 主機！預設是 YES ，底下的所有
　相關設定都需要將這個設定為 anonymous_enable=YES 之後才會生效！
anon_world_readable_only=YES (NO)
　僅允許 anonymous 具有下載可讀檔案的權限，預設是 YES。
anon_other_write_enable=YES (NO)
　是否允許 anonymous 具有寫入的權限？預設是 NO！如果要設定為 YES，
　那麼開放給 anonymous 寫入的目錄亦需要調整權限，讓 vsftpd 的 PID
　擁有者可以寫入才行！
anon_mkdir_write_enable=YES (NO)
　是否讓 anonymous 具有建立目錄的權限？預設值是 NO！如果要設定為 YES，
　那麼 anony_other_write_enable 必須設定為 YES ！
anon_upload_enable=YES (NO)
　是否讓 anonymous 具有上傳資料的功能，預設是 NO，如果要設定為 YES ，
　則 anon_other_write_enable=YES 必須設定。
deny_email_enable=YES (NO)
　將某些特殊的 email address 抵擋住，不讓那些 anonymous 登入！
　如果以 anonymous 登入主機時，不是會要求輸入密碼嗎？密碼不是要您
　輸入您的 email address 嗎？如果你很討厭某些 email address ，
　就可以使用這個設定來將他取消登入的權限！需與下個設定項目配合：
banned_email_file=/etc/vsftpd.banned_emails
　如果 deny_email_enable=YES 時，可以利用這個設定項目來規定那個
　email address 不可登入我們的 vsftpd 喔！在上面設定的檔案內，
　一行輸入一個 email address 即可！
no_anon_password=YES (NO)
　當設定為 YES 時，表示 anonymous 將會略過密碼檢驗步驟，
　而直接進入 vsftpd 伺服器內喔！所以一般預設都是 NO 的！
anon_max_rate=0
　這個設定值後面接的數值單位為 bytes/秒，限制 anonymous 的傳輸速度，
　如果是 0 則不限制(由最大頻寬所限制)，如果您想讓 anonymous 僅有
　30 KB/s 的速度，可以設定『anon_max_rate=30000』
anon_umask=077
　限制 anonymous 的權限！如果是 077 則 anonymous 傳送過來的檔案
　權限會是 -rw------- 喔！
　
關於系統安全的設定值：
ascii_download_enable=YES (NO)
　如果設定為 YES ，那麼 client 就可以使用 ASCII 格式下載檔案。
　一般來說，由於啟動了這個設定項目可能會導致 DoS 的攻擊，因此預設是NO。
ascii_upload_enable=YES (NO)
　與上一個設定類似的，只是這個設定針對上傳而言！預設是 NO。
async_abor_enable=YES (NO)
　如果您的 FTP client 會下達 "async ABOR" 這個指令時，這個設定才需要啟用
　一般來說，由於這個設定並不安全，所以通常都是將他取消的！
check_shell=YES (NO)
　如果您想讓擁有任何奇怪的 shell 的使用者(在 /etc/passwd 的 shell 欄位)
　可以使用 vsftpd 的話，這個設定可以設定為 NO 喔！
one_process_model=YES (NO)
　這個設定項目比較危險一點～當設定為 YES 時，表示每個建立的連線
　都會擁有一支 process 在負責，可以增加 vsftpd 的效能。不過，
　除非您的系統比較安全，而且硬體配備比較高，否則容易耗盡系統資源喔！
　一般建議設定為 NO 的啦！
tcp_wrappers=YES (NO)
　當然我們都習慣支援 TCP Wrappers 的啦！所以設定為 YES 吧！
xferlog_enable=YES (NO)
　當設定為 YES 時，使用者上傳與下載檔案都會被紀錄起來。記錄檔案
　與下一個設定項目有關：
xferlog_file=/var/log/vsftpd.log
　如果上一個 xferlog_enable=YES 的話，這裡就可以設定了！
　這個是登錄檔的檔名啦！
xferlog_std_format=YES (NO)
　是否設定為 wu ftp 相同的登錄檔格式？！預設為 NO ，因為登錄檔會比較容易讀！
　不過，如果您有使用 wu ftp 登錄檔的分析軟體，這裡才需要設定為 YES
nopriv_user=nobody
　我們的 vsftpd 預設以 nobody 作為此一服務執行者的權限。因為 nobody 的權限
　相當的低，因此即使被入侵，入侵者僅能取得 nobody 的權限喔！
pam_service_name=vsftpd
　這個是 pam 模組的名稱，我們放置在 /etc/pam.d/vsftpd 即是這個咚咚！

上面這些是相當常見的 vsftpd 的設定參數，還有很多參數我沒有列出來，您可以使用 man 5 vsftpd.conf 查閱喔！不過，基本上上面這些參數已經夠我們設定 vsftpd 囉！

最簡單的 vsftpd.conf 設定

如果您很懶的去設定 vsftpd 的話，那麼可以使用很簡單的設定值來規劃您的 FTP 伺服器。底下就是 Red Hat 9 的預設 vsftpd 的設定值，您可以使用這樣的設定值來啟動您的 FTP 伺服器即可。這樣的設定值有幾個用處：

任何在 /etc/vsftpd.ftpusers 裡面的使用者帳號均無法使用 vsftpd 喔！
開放 anonymous 與實體用戶登入 vsftpd ；
實體用戶登入主機時，可以跳至任何具有登入權限的目錄當中(沒有 chroot )；
使用 port 20 作為主動連線時的 ftp-data 傳送埠口；
利用 /etc/hosts.allow(deny) 來管理登入權限；
當 Client 上傳/下載檔案時，該資訊會記錄在 /var/log/vsftpd.log 裡面；
其他的設定均已預設值來規範(如被動式 port number 等等)。

[root@test root]# vi /etc/xinetd.d/vsftpd
service ftp
{
        socket_type             = stream
        wait                    = no
        user                    = root
        server                  = /usr/local/sbin/vsftpd
        server_args             = /etc/vsftpd.conf
# 上面這個請依照您的主機環境來設定！尤其是 server_args 請設定您的
# vsftpd.conf 所在目錄的完整檔名(含目錄名稱)！
        log_on_success          += DURATION USERID
        log_on_failure          += USERID
        nice                    = 10
        disable                 = no
}
[root@test root]# vi /etc/vsftpd/vsftpd.conf # (或 /etc/vsftpd.conf)
# 關於主機與安全性的設定
use_localtime=YES
dirmessage_enable=YES
connect_from_port_20=YES
xferlog_enable=YES
xferlog_std_format=YES
pam_service_name=vsftpd
tcp_wrappers=YES
# 關於 anonymous 的設定
anonymous_enable=YES
# 關於 real user 的設定
local_enable=YES
write_enable=YES
local_umask=022
userlist_enable=YES
# 以上設定值的意義請往前翻到 vsftpd.conf 設定值的意義章節去察看！
[root@test root]# /etc/rc.d/init.d/xinetd restart

針對僅有開放實體用戶登入的設定

使用台灣本地的時間而不是 GMT 時間；
所有在 /etc/passwd 裡面出現的實體帳號均能登入 vsftpd 主機；
但是系統帳號 (如 root 等， UID 小於 500 的帳號)均不能使用 vsftpd ；
而且由於 badbird 與 nogoodbird 這兩個帳號使用者比較不乖，我要讓這兩個使用者被關在自己的家目錄當中(chroot)；
並且限制資料的傳輸速度為 100 Kbytes/second；
當使用者進入 /home 這個目錄時，顯示：『一般使用者家目錄』的字樣在 Client 端的螢幕上；
使用者可以進行上傳、下載以及修改檔案等等動作。

1. 基礎設定檔
[root@test root]# vi /etc/vsftpd/vsftpd.conf (或 /etc/vsftpd.conf)
# 關於主機與安全性的設定
use_localtime=YES
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
pam_service_name=vsftpd
tcp_wrappers=YES
# 關於 anonymous 的設定
anonymous_enable=NO
# 關於 Real User 的設定
local_enable=YES
write_enable=YES
local_umask=022
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd.chroot_list
userlist_deny=YES
userlist_file=/etc/vsftpd.user_list
local_max_rate=100000
# 以上設定值的意義請往前翻到 vsftpd.conf 設定值的意義章節去察看！
　
2. 限制實體用戶在自己的家目錄內 (chroot) 的設定檔
[root@test root]# vi /etc/vsftpd.chroot_list
badbird
nogoodbird
# 沒有寫到這個檔案內的其他用戶，就可以離開自己的家目錄，
# 而到其他目錄裡面去瀏覽了！
　
3. 以 PAM 模組限制某些帳號無法登入主機的設定：
[root@test root]# vi /etc/pam.d/vsftpd
# 會發現這樣的字句：
auth ..... file=/etc/vsftpd.ftpusers ....
# 那個 file=.. 後面接的檔名就是以 PAM 模組抵擋的帳號內容了！
[root@test root]# vi /etc/vsftpd.ftpusers
# 底下列出的帳號將無法使用 vsftpd 喔！與 wu ftp 的 /etc/ftpusers 相同功能
root
bin
daemon
adm
lp
sync
shutdown
halt
mail
news
uucp
operator
games
nobody
　
4. 以 userlist_file 抵擋某些帳號的登入：
# 事實上，這個功能與上面的 PAM 功能相似啦！只是 PAM 是外掛的，而
# 這個設定是 vsftpd 預設提供的就是了！
[root@test root]# vi /etc/vsftpd.user_list
# 這個檔案的設定與上面 /etc/vsftpd.ftpusers 相同即可！
root
bin
daemon
adm
lp
sync
shutdown
halt
mail
news
uucp
operator
games
nobody
　
5. 設定進入目錄時，顯示的訊息：
[root@test root]# vi /home/.message
一般使用者家目錄
　
6. 重新啟動 xinetd 囉！
[root@test root]# /etc/rc.d/init.d/xinetd restart

上面的設定裡面有很多重複的地方，比方說 /etc/vsftpd.ftpusers 與 /etc/vsftpd.user_list 就是重複的設定了！不過，這樣是比較安全啦！因為 PAM 模組是外掛的程式，而另一個檔案則是 vsftpd 提供的功能！但是請特別留意，因為很多使用者可能會一不小心僅修改了其中一個檔案，另一個檔案則忘記修訂，會很麻煩喔！ ^_^！至於也是重點之一的 /etc/vsftpd.chroot_list 就可以將使用者限制在他們自己的家目錄內了！設定上很容易吧！附帶說明，上面的檔名都與 vsftpd.conf 的設定有關！

看過了上面關於實體用戶的設定之後，咦！那麼如何讓 root 可以登入 vsftpd 主機呢？！呵呵！就是將 /etc/vsftpd.ftpusers 與 /etc/vsftpd.user_list 這兩個檔案裡面的 root 拿掉就可以啦！不過，本人可是不建議這麼搞的喔！

針對僅有開放匿名使用者登入的設定

使用台灣本地的時間，而非 GMT 時間；
僅開放 anonymous 的登入；
檔案傳輸的速限為 30 Kbytes/second；
允許 anonymous 上傳檔案到 /var/ftp/upload 這個目錄當中，並且允許 anonymous 建立目錄；
資料連接的過程 (不是命令通道！) 只要超過 60 秒沒有回應，就強制 Client 斷線！
只要 anonymous 超過十分鐘沒有動作，就予以斷線；
被動式連接的埠口為 65400 到 65420 這幾個 port number 即可；
最大同時上線人數限制為 50 人，且同一 IP 來源最大連線數量為 5 人；
不許使用 ASCII 格式上傳或下載！
不許以 linux.vbird.org 這個網址為 email address 的密碼輸入！

1. 基礎設定檔
[root@test root]# vi /etc/vsftpd/vsftpd.conf (或 /etc/vsftpd.conf)
# 與主機與安全性有關的設定
use_localtime=YES
write_enable=YES
dirmessage_enable=YES
xferlog_enable=YES
xferlog_file=/var/log/vsftpd.log
data_connection_timeout=60
idle_session_timeout=600
max_clients=50
max_per_ip=5
ascii_upload_enable=NO
ascii_download_enable=NO
connect_from_port_20=YES
pasv_min_port=65400
pasv_max_port=65420
pam_service_name=vsftpd
tcp_wrappers=YES
nopriv_user=ftp
# 關於 anonymous 的設定
anonymous_enable=YES
anon_other_write_enable=YES
anon_mkdir_write_enable=YES
anon_upload_enable=YES
deny_email_enable=YES
banned_email_file=/etc/vsftpd.banned_emails
anon_max_rate=30000
# 關於 real user 的設定
local_enable=NO
# 以上設定值的意義請往前翻到 vsftpd.conf 設定值的意義章節去察看！
　
2. 建立抵擋不當 email address 的檔案
[root@test root]# vi /etc/vsftpd.banned_emails
linux.vbird.org
# 一行寫一個 email 名稱喔！
　
3. 建立可以上傳的目錄！
# 因為我們的 nopriv_user 設定為 ftp ，所以上傳的目錄擁有者為 ftp 喔
[root@test root]# mkdir -p /var/ftp/upload
[root@test root]# chown ftp /var/ftp/upload
　
4. 重新啟動 xinetd 囉！
[root@test root]# /etc/rc.d/init.d/xinetd restart

Client 端的設定：

Client 端並沒有什麼好設定的地方，主要就是 ftp 的使用了，請參考 wu FTP 主機設定一節！

安全相關方面

防火牆抵擋

/sbin/iptables -A INPUT -p TCP -i eth0 --dport 21 -j ACCEPT

簡易防火牆

[root@test root]# vi /etc/hosts.deny
vsftpd: 192.168.1.2

Super daemon 的管理

[root@test root]# vi /etc/xinetd.d/vsftpd
# vsftpd is the secure FTP server.
service ftp
{
        disable                 = no
        socket_type             = stream
        wait                    = no
        user                    = root
        server                  = /usr/local/sbin/vsftpd
        server_args             = /etc/vsftpd.conf
# 上面這個 server 的設定請依照您的主機環境來設定！
# 至於 server_args 則請寫入您的 vsftpd 的設定檔完整檔名即可！
        per_source              = 5     # 與同一 IP 的連線數目有關
        instances               = 200   # 同一時間最多的連線數目
        no_access               = 192.168.1.3
        banner_fail             = /etc/vsftpd.busy_banner
# 上面這個檔案就是當主機忙碌中，則在 Client 端顯示的內容！
        log_on_success          += PID HOST DURATION
        log_on_failure          += HOST
}
　
[root@test root]# vi /etc/vsftpd.busy.banner
421 很抱歉，伺服器忙碌中！
　
[root@test root]# /etc/rc.d/init.d/xinetd restart

這樣設定就可以啦！很簡單的一個設定動作，就可以讓您的 vsftpd 變的更安全一些喔！

問題解決方案

如果在 Client 端上面發現無法連線成功，請檢查：

iptables 防火牆的規則當中，是否開放了 client 端的 port 21 登入？
在 /etc/hosts.deny 當中，是否將 client 的登入權限擋住了？
在 /etc/xinetd.d/vsftpd 當中，是否設定錯誤，導致 client 的登入權限被取消了？

如果 Client 已經連上 vsftpd 伺服器，但是卻顯示『 XXX file can't be opend 』的字樣，請檢查：

最主要的原因還是在於在 vsftpd.conf 當中設定了檢查某個檔案，但是您卻沒有將該檔案設定起來，所以，請檢查 vsftpd.conf 裡面所有設定的檔案檔名，使用 touch 這個指令將該檔案建立起來即可！

如果 Client 已經連上 vsftpd 伺服器，卻無法使用某個帳號登入，請檢查：

在 vsftpd.conf 裡面是否設定了使用 pam 模組來檢驗帳號，以及利用 userlist_file 來管理帳號？
請檢查 /etc/vsftpd.ftpusers 以及 /etc/vsftpd.user_list 檔案內是否將該帳號寫入了？！

如果 Client 無法上傳檔案，該如何是好？

最可能發生的原因就是在 vsftpd.conf 裡面忘記加上這個設定『write_enable=YES』這個設定，請加入；
是否所要上傳的目錄『權限』不對，請以 chmod 或 chown 來修訂；
是否 anonymous 的設定裡面忘記加上了底下三個參數：

anon_other_write_enable=YES
anon_mkdir_write_enable=YES
anon_upload_enable=YES

是否因為設定了 email 抵擋機制，又將 email address 寫入該檔案中了！？請檢查！
是否設定了不許 ASCII 格式傳送，但 Client 端卻以 ASCII 傳送呢？請在 client 端以 binary 格式來傳送檔案！

/var/log/vsftpd.log 與 /var/log/messages

對於 FTP 伺服器軟體選擇的建議

Wu FTP

ProFTPD

vsFTPD

考慮較為單純的 FTP 設計，而且要求安全性：如果我們不要個別控制每個目錄的流量、不必控制上傳/下載比例、不必針對不同的實體用戶或者是訪客進行不同的權限設定，僅分 anonymous 與 real user 兩種身份來讓使用者登入主機的話，那麼上上之選應該是 vsftpd 這個伺服器才對！因為他設定上真的比較簡單，而且在整體套件的設計上又比較安全喔！

多樣化的設計，安全性要求亦不低：雖然 Wu FTP 與 Proftpd 可以達到的 FTP 伺服器設定是一樣的，不過 Proftpd 的設定又比 Wu FTP 簡單一些，有點類似 Apache 的目錄管理設定，此外， Proftpd 也可以達到控制上/下傳比例、流量控制、針對不同的目錄設定不一樣的權限等設計，也比 Wu FTP 安全一些，所以，在多樣化的 FTP 設計考量下，可以選擇 Proftpd 喔！

考慮主機的要求：某些主機本來就是含有 Wu FTP 或者是 vsftpd 等不同的 FTP 伺服器軟體，您又不想重新安裝其他的伺服器軟體，那麼使用您的 Linux distributions 所提供的 FTP 軟體來架設您的 FTP 即可啊！不需要考慮其他的 FTP 軟體咯。不過，請記得將您的 FTP 軟體更新到最新版喔！避免被惡意攻擊說！

參考資源：

vsftpd 官方網站：http://vsftpd.beasts.org/
man 5 vsftpd.conf

修改歷史：
2003/09/03：首次完成
2003/09/04：加入 FTP 伺服器軟體的選擇建議

伺服器架設篇 - RedHat 9

第二十四章、簡易 vsftpd 伺服器設定