iptables 配置后連接不上數據庫_Linux服務器配置-VSFTP服務配置（三）

上文：Linux服務器配置-VSFTP服務配置(二)

一、vsftpd服務防火墻配置

1、主動(POST)模式 FTP 防火墻配置

CentOS6 系統 iptables 的配置

iptables -t filter --line-number -nL INPUT#顯示現有防火墻規則，查看是否開啟20、21號端口。

iptables -t filter -I INPUT -p tcp -m multiport --dport 20,21 -m state --state NEW -j ACCEPT #如沒有開啟端口，添加規則，開啟20、21號端口。

service iptables save#保存防火墻設置。

service iptables restart #重啟防火墻。

iptables -t filter --line-number -nL INPUT#查看新添加的規則是否成功。

RHEL7 系統 firewalld 的配置

方法1—通過添加FTP服務規則，開啟防火墻通道。

firewall-cmd --list-services #查看防火墻是否允許FTP服務通過。

firewall-cmd --permanent --zone=public --add-service=ftp #如沒有允許FTP服務通過，添加防火墻規則允許其通過。

firewall-cmd --reload #重新加載防火墻。

firewall-cmd --list-all #查看新添加的防火墻規則是否允許FTP服務通過。

方法2—通過添加端口規則，開啟防火墻通道。

firewall-cmd --list-ports #查看防火墻是否開啟20、21端口。

firewall-cmd --permanent --zone=public --add-port=20-21/tcp #如沒有開啟端口，添加規則，開啟20、21號端口。

firewall-cmd --reload #重新加載防火墻

firewall-cmd --list-all #查看新添加的規則是否成功。

以上兩種方法使用哪一種都可以。

2、被動(PASV)模式FTP防火墻配置

如果FTP開啟被動(PASV)模式，就需要修改配置文件(vsftpd.conf)，指定一個端口范圍，然后根據這個端口范圍來配置防火墻。

下面是配置文件指定的端口范圍

pasv_enable=YES

pasv_min_port=59800

pasv_max_port=59900

CentOS6系統iptables的配置

iptables -t filter --line-number -nL INPUT#顯示現有防火墻規則，查看是否開啟21號端口。

iptables -t filter -I INPUT -p tcp -m tcp --dport 21 -m state --state NEW -j ACCEPT#如沒有開啟端口，添加規則，開啟21號端口。

iptables -t filter -I INPUT -p tcp -m tcp --dport 59800:59900 -m state --state NEW -j ACCEPT#開啟被動端口。

service iptables save#保存防火墻設置。

service iptables restart #重啟防火墻。

iptables -t filter --line-number -nL INPUT #查看新添加的規則是否成功。

RHEL7系統firewalld的配置

方法1—通過添加FTP服務規則，開啟防火墻通道。

firewall-cmd --list-services #查看防火墻是否允許FTP服務通過。

firewall-cmd --permanent --zone=public --add-service=ftp #如沒有允許FTP服務通過，添加防火墻規則允許其通過。

firewall-cmd --permanent --zone=public --add-port=59800-59900/tcp #開啟被動端口。

firewall-cmd --reload #重新加載防火墻。

firewall-cmd --list-all #查看新添加的防火墻規則是否允許FTP服務通過。

方法2—通過添加端口規則，開啟防火墻通道。

firewall-cmd --list-ports #查看防火墻是否開啟21端口。

firewall-cmd --permanent --zone=public --add-port=21/tcp #如沒有開啟端口，添加規則，開啟21號端口。

firewall-cmd --permanent --zone=public --add-port=59800-59900/tcp #開啟被動端口。

firewall-cmd --reload #重新加載防火墻。

firewall-cmd --list-all #查看新添加的規則是否成功。

以上兩種方法使用哪一種都可以。

注：在Windows下用ftp命令連接，都是采用主動模式連接，可以采用圖形界面的FTP工具軟件，默認一般為被動模式。

二、SELinux中關于vsftpd服務的說明

1、vsftp 的 SELinux 的文件類型

SElinux 一共定義了兩種文件類型用于設置 vsftp 服務器。

public_content_t

說明：vsftpd服務可以讀取的文件和目錄，其他服務如 Apache、Samba 和 NFS 也可以，但是 public_content_t 類型的文件不能被寫入，即使 Linux 權限允許。

public_content_rw_t

說明：vsftpd服務可以讀取和寫入的文件和目錄，其他服務其他服務如 Apache，Samba 和 NFS 也可以，不過必須開放相關的布爾變量。

2、vsftp 的布爾變量

下面是常用的布爾變量。

allow_ftpd_anon_write

說明：關閉這個布爾變量會阻止 vsftpd 讀取 public_content_rw_t 類型的文件和目錄。如果允許用戶通過 FTP 上傳文件。必須開放這個布爾變量。

allow_ftpd_full_access

說明：當開放這個布爾變量時只有 Linux(DAC)的權限來控制訪問，通過驗證的用戶可以讀取和寫入標記為 public_content_t 或 public_content_rw_t 類型的文件。

allow_ftpd_use_cif

說明：當開放這個布爾變量時 vsftpd 允許 cifs_t 類型的文件和目錄，因此這個布爾變量啟用，可以讓你的 FTP 服務器可以使用 Samba 文件系統。

allow_ftpd_use_nfs vsftpd

說明：當開放這個布爾變量時 vsftpd 允許 nfs_t 類型的文件和目錄，因此這個布爾變量啟用，可以讓你的 FTP 服務器可以使用 NFS 文件系統。

ftp_home_dir

說明：當開放這個布爾變量時認證用戶可以讀寫自己的主目錄中的文件。

ftpd_connect_db

說明：當開放這個布爾變量時允許 vsftpd 連接數據庫。

httpd_enable_ftp_server

說明：當開放這個布爾變量時容許的 httpd 作為 FTP 服務器，并且監聽 FTP 端口。

tftp_anon_write

說明：當開放這個布爾變量時允許 TFTP 訪問一個公共的目錄。

注：關于SELinux 環境下的 FTP 配置將在實例中加以說明。

三、匿名認證登錄FTP配置

匿名方式登錄FTP服務器是一種最不安全的認證方式，因為任何人都可以無需密碼訪問FTP服務器中的數據。但在企業內部局域網中可以通過這種方式共享一些不重要的數據文件(比如軟件的共享等)。

vsftpd服務程序安裝完成并啟動服務后，默認是開啟匿名訪問的，但只是提供查看和下載文件的權限，如果需要開放匿名用戶的上傳、創建、刪除、更名文件的權限，就需要做一些相應的配置，針對匿名用戶放開這些權限會帶來潛在的危險，這里為了在Linux系統中練習配置vsftpd服務程序而放開了這些權限，不建議在生產環境中使用匿名登錄方式。

1、配置軟件環境說明

CentOS6系統：

CentOS release 6.10 (Final)

vsftpd-2.2.2-24.el6.x86_64

RHEL7系統

Red Hat Enterprise Linux Server release 7.6 (Maipo)

vsftpd-3.0.2-25.el7.x86_64