vsftpd、nfs、samba

s • • Linux干货

  • I/O：网络、存储

    • 存储：

      • DAS：Direct Attached Storage
        接口类型：“block”；只有块设备才能够进行分区格式化
        设备：SATA，SAS；IDE，SCSI；USB；
      • NAS：Network Attached Storage（网络附加存储）
        接口类型：”file”
        协议：CIFS(samba), NFS(Network File System)
        RPC: Remote Procedure Call
      • SAN：Storage Area Network（存储区域网络）
        接口类型：”block”，
        协议：iSCSI(IP-SAN), FCSAN, FCoE,

ftp

  • ftp：file transfer protocol，文件传输协议 ；

    • 命令连接：传输命令（客户端发给服务端的命令），服务端的21/tcp
    • 数据连接：传输数据（传输数据时建立，数据传输完拆除）

      • 主动模式：PORT
        Server: 20/tcp连接客户端的命令连接使用的端口向后的第一个可用端口；
      • 被动模式：PASV
        Server：（当进行命令连接时，告诉客户端，）服务端打开一个随机端口，并等待客户端连接

  • PAM：Pluggable Authenticate Module（插入式认证模块）

    • pam中的模块每一种提供一种认证功能或认证检查功能；配置文件在/etc/pam.d/
    • pam是一种认证框架，自己不需要认证功能，可以帮其他应用程序提供认证服务；为每一种应用程序提供库文件；
    • 高度模块化；
    • ftp默认是使用pam进行认证的；

  • ftp协议：C/S

    • Server：

      • Windows: Serv-U, IIS, Filezilla
      • 开源：wuftpd, proftpd, pureftpd, vsftpd(Very Secure FTP daemon),Filezilla, …
    • Client：

      • Windows：ftp, Filezilla, CuteFTP, FlashFXP, …
      • 开源：lftp, ftp, Filezilla, gftp, …
        多数web浏览器同样支持FTP

vsftpd

vsftpd is a Very Secure FTP daemon. It was written completely from scratch.

  • URL：

    • SCHEME://username:password@HOST:PORT/PATH/TO/FILE
    • 路径映射：每个用户的URL的/映射到当前用户的家目录 ；

  • vsftpd以ftp用户的身份运行进程，默认认用户即为ftp用户，匿名用户的默认路径即ftp用户的家目录/var/ftp

    • ftp，anonymous 也可以作为用户名使用；默认匿名登录只有下载、查看下载的权限，

    • 示例：确定用户对应的ftp的默认路径为用户家目录 

      ~]# lftp -u magedu 172.16.251.168
Password: 
lftp magedu@172.16.251.168:~> pwd
ftp://magedu@172.16.251.168/%2Fhome/magedu

~]# finger magedu
Login: magedu                     Name: magedu
Directory: /home/magedu                 Shell: /bin/bash

  • 共享服务的检查：

    • 远程登录的账号有没有本地文件系统的权限
    • 共享权限：ftp在配置中可以配置是否拥有共享权限

    注意：一个用户通过文件共享服务访问文件系统上的文件的生效权限为此二者的交集；

  • 程序环境：

    • 主程序：/usr/sbin/vsftpd
    • 主配置文件：/etc/vsftpd/vsftpd.conf
    • 数据根目录：/var/ftp

    • Systemd Unit File： /usr/lib/systemd/system/vsftpd.service

    • /usr/lib/systemd/system/vsftpd.service 作为独立守护来运行
      /usr/lib/systemd/system/vsftpd.target 作为托管到systemd上的时候运行

配置vsftpd：

  • 用户类别：

    • 匿名用户：anonymous –> 用户：ftp, 家目录映射为：/var/ftp
    • 系统用户： 至少禁止系统用户访问ftp服务，/etc/vsftpd/ftpusers，PAM（/etc/pam.d/vsftpd）；
      /etc/pam.d/vsftpd –> /etc/pam.d/password-auth –> pam_unix.so(此模块说明是根据/etc/passwd、/etc/shadow来完成认证的)

    • 虚拟用户：非系统用户，用户账号非为可登录操作系统的用户账号（非/etc/passwd）；

    • 用户通过vsftpd服务访问到的默认路径，是用户自己的家目录；默认可以自己有权限访问的所有路径间切换；
      禁锢用户于其家目录中；

  • 配置文件：/etc/vsftpd/vsftpd.conf

    • 语法格式：
      directive value
      指令的种类：布尔型参数、数值型参数、字符型参数
      注意：directive之前不能有多余字符，顶格写；

  • 匿名用户： 

    anonymous_enable=YES                是否支持匿名登录
  anon_upload_enable=YES                上传文件
  anon_mkdir_write_enable=YES            创建目录
  anon_other_write_enable=YES            定义除了创建文件、创建目录以外的权限

  anon_umask=077
    • 示例：

      • 拥有文件系统权限：

        ~]# mkdir /var/ftp/upload
  ~]# chown ftp.ftp /var/ftp/upload/
  drwxr-xr-x. 2 ftp  ftp   6 Jun  5 21:50 upload
      • 拥有共享上传权限：

        vi /etc/vsftpd/vsftpd.conf
  启用：anon_upload_enable=YES
  ~]# systemctl restart vsftpd.service
      • 上传文件：

        ~]# ll /var/ftp/upload/
-rw-------. 1 ftp ftp 23 Jun  5 22:06 issue

        默认上传的文件的权限是600，可以修改；
        文件的属主、属组，默认是用户本身；修改：chown_uploads
        注意：关闭iptables、selinux

  • 系统用户： 

    local_enable=YES        启用本地用户
write_enable=YES        是否本地用户拥有写权限，写权限包括：upload,mkidr,other
local_umask=022
    • 辅助配置文件/etc/vsftpd/ftpusers；

      ~]# cat /etc/pam.d/vsftpd 
auth       required    pam_listfile.so item=user sense=deny file=/etc/vsftpd/ftpusers onerr=succeed
列在此文件中的用户 均禁止使用ftp服务；

    • chroot_local_user=YES
      禁锢所有本地用户于其家目录；需要事先去除用户对家目录的写权限；

    • chroot_list_enable=YES
      chroot_list_file=/etc/vsftpd/chroot_list；此文件默认不存在得事先创建

      禁锢列表中文件存在的用户于其家目录中；需要事先去除用户对家目录的写权限；

    • 传输日志：
      xferlog_enable=YES
      xferlog_file=/var/log/xferlog
      xferlog_std_format=YES

    • 守护进程的类型：

      • standalone：独立守护进程；由服务进程自行监听套按字，并接收用户访问请求；
      • transient：瞬时守护进程；由受托管方代为监听套按字，服务进程没有访问请求时不启动；当托管方收到访问请求时，才启动服务进程；

        • CentOS 6：xinetd独立守护进程, /etc/xinetd.d/,
          CentOS 7：由systemd代为监听；

    • 控制可登录vsftpd服务的用户列表：

      • userlist_enable=YES
        启用/etc/vsftpd/user_list文件来控制可登录用户；
      • userlist_deny=
        YES：意味着此为黑名单；默认
        NO：白名单；

    • 上传下载速率：

      • anon_max_rate=0
        local_max_rate=0

    • 并发连接数限制：

      • max_clients=2000
        max_per_ip=50

  • 虚拟用户：

    • 用户账号存储于何处？
      文件、MySQL、Redis、…

    • vsftpd：认证功能托管给pam；
      基于何种存储服务来存储用户信息，以及对存储服务的驱动要靠pam实现；

    • 虚拟账号同匿名账号一样也得映射成一个系统账号
      在mysql中启用一个来宾账号

    • 使用mysql安装配置vsftp的虚拟用户： 

      1、# yum install -y mariadb-devel pam-devel
2、# yum groupinstall -y "Development Tools" "Server Platform Development"
  真实需要的是：gcc ,为解决依赖关系安装包组
3、pam_mysql：
  lftp 172.16.0.1:/pub/Sources/sources/pam> mget pam_mysql-0.7RC1.tar.gz
  tar xf pam_mysql-0.7RC1.tar.gz
  cd pam_mysql-0.7RC1
  # ./configure --with-pam=/usr --with-mysql=/usr --with-pam-mods-dir=/usr/lib64/security     
  # make && make install
  pam模块存放路径：/usr/lib64/security ；查看pam-mysql是否安装成功

4、vim /etc/my.cnf.d/server.cnf
  [mysqld]
  skip_name_resolve=ON
  innodb_file_per_table=ON
  log_bin=mysql-bin

5、systemctl start mariadb.service

6、创建数据库、授权用户、创建账号和密码；
  在mysql中创建一个用户,为了安全只授予查询权限
      GRANT SELCET ON vsftpd.* TO vsftpd@'127.0.0.1' IDENTIFIED BY 'vsftpd';      
  FLUSH PRIVILEGES;
  创建数据库
      CREATE DATABASE vsftpd;
  创建表
      CREATE TABLE users(id INT UNSIGNED NOT NULL AUTO_INCREMENT PRIMARY KEY,name VARCHAR(100) NOT NULL,password CHAR(48) NOT NULL,UNIQUE KEY(name));
  查看确认
  插入用户
      INSERT INTO users(name,password) VALUES ('tom',PASSWORD('magedu')),('jerry',PASSWORD('jerry'));
  SELECT * FROM users;

7、添加用户
  mkdir /ftproot/
  useradd -d /ftproot/vuser vuser       将/ftproot/vuser当作vuser用户登录ftp后的根目录
  chmod a-w /ftproot/vuser/
  mkdir /ftproot/vuser/pub 

8、配置vsftpd，添加或修改以下选项：编辑/etc/vsftpd/vsftpd.conf
  pam_service_name=vsftpd.vusers    #与/etc/pam.d/vsftpd.vusers文件相对应就行
  guest_enable=YES                  
  guest_username=vuser                # 映射虚拟账号，此账号为映射后的本地系统账号

9、创建配置文件：/etc/pam.d/vsftpd.vusers     # README中有编辑格式，注意：用户信息属于mysql用户
  auth required /usr/lib64/security/pam_mysql.so user=vsftpd passwd=vsftpd host=127.0.0.1 db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2
  account required /usr/lib64/security/pam_mysql.so user=vsftpd passwd=vsftpd host=127.0.0.1 db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2 

10、重启vsftpd.service

11、其他系统登录验证是否可以访问ftp

12、虚拟用户的写权限，通过匿名一样的指令进行定义；还能实现不同的用户有不同的权限；
  vim /etc/vsftpd/vsftpd.conf
      user_config_dir=/etc/vsftpd/vusers_config/
  mkdir /etc/vsftpd/vusers_config/

  每个用户创建相对应的配置文件，实现特定的权限
  vim /etc/vsftpd/vusers_config/tom 
      anon_upload_enable=YES

  vim /etc/vsftpd/vusers_config/jerry
      anon_upload_enable=YES
      anon_mkdir_write_enable=YES

nfs

  • nfs: Network File System

    • nis：Network Information Service；
      ldap：lightweight directory access protocol; ldap over ssl/tls；
  • nfsd: 2049/tcp

  • nfs服务器将本地磁盘的API改变成能够通过套接字远程调用的API；

  • rpc: remote procedure call
    辅助类的服务：rpc, portmapper rpc：远程过程调用，

    • rpc.mountd：认证；
      因为rpc端口是半随机的，客户端先连接rpc server，得到rpc mountd的所在端口后；再去连接rpc mountd，得到令牌后再去连接nfs；
    • rpc.lockd：加锁；
      避免同时读写时发生冲突
    • rpc.statd：状态；
      状态通知

  • NFS Server：

    • nfs-utils
    • /etc/exports或/etc/exports.d/*
      在这些文件中定义共享，把哪些目录共享给哪些客户端以哪些权限来访问

      • /PATH/TO/SOME_DIR clients1(export_options, …) clients2(export_options, …)

        • clients：

          single host：ipv4, ipv6, FQDN；
network：address/netmask， 支持长短格式的掩码；
wildcards：主机名通配，例如：*.magedu.com; 
netgroups：NIS域内的主机组；@group_name；
anonymous：使用*通配所有主机；
        • Options：

          General Options:
  ro：只读
  rw：读写；
  sync：同步；
  async：异步；
  secure：客户端端口小于1024，否则就要使用insecure选项；
User ID Mapping：
   root_squash：压缩root用户，一般指将其映射为nfsnobody；
   no_root_squash：不压缩root用户；
   all_squash：压缩所有用户；
   anonuid and anongid：将压缩的用户映射为此处指定的用户；

  • NFS Client: 

    mount -t nfs servername:/path/to/share /path/to/mount_point  [-rvVwfnsh ] [-o options]
  • showmount – show mount information for an NFS server

    showmount -e NFS_SERVER_IP: 查看指定的nfs server上导出的所有文件系统； 
  showmount -a：在nfs server上查看nfs服务的所有客户端列表；
  • exportfs
    -r：重新导出；
    -a：所有文件系统；
    -v：详细信息；
    -u：取消导出文件系统；

    # exportfs -ar
  # exportfs -au

samba：

smb: Service message block
cifs: common internet filesystem

  • samba：Andrew Tridgell；

    • 功能：
      文件系统共享；
      打印机共享；
      NetBIOS协议；

  • 程序环境：

    • 服务端程序包：samba，samba-common, samba-libs
      Server and Client software to interoperate with Windows machines.
    • 主配置文件：/etc/samba/smb.conf， 由samba-common包提供；
    • 主程序：

      • nmbd：NetBIOS name server
      • smbd：SMB/CIFS services
    • Unit File：

      • smb.service
      • nmb.service
    • 监听的端口：

      • 137/udp, 138/udp
      • 139/tcp, 445/tcp

  • 主配置文件的配置段：

    • ~ ]# grep -E -i “#(====| —)” /etc/samba/smb.conf

      #======================= Global Settings =====================================
# ----------------------- Network-Related Options -------------------------
# --------------------------- Logging Options -----------------------------
# ----------------------- Standalone Server Options ------------------------
# ----------------------- Domain Members Options ------------------------
# ----------------------- Domain Controller Options ------------------------
# ----------------------- Browser Control Options ----------------------------
# --------------------------- Printing Options -----------------------------
# --------------------------- File System Options ---------------------------
#============================ Share Definitions ==============================

  • windows
    d:\data\tools：共享，共享名（software）
    servicename：//172.18.0.70/software

  • 客户端程序：

    • smbclient：交互式命令行客户端，类似于lftp；
    • mount.cifs：挂载cifs文件系统的专用命令；

  • samba的配置：
    /etc/samba/smb.conf

    • 两类配置段：

      • 全局配置 

        [global]
Network-Related Options
  workgroup =
  server string = 
  interfaces = lo eth0 192.168.12.2/24 192.168.13.2/24
  hosts allow = 127.  192.168.12.  192.168.13.
Logging Options
  log file = /var/log/samba/log.%m
  max log size = 50
Standalone Server Options
  security = user
      设定安全级别：取值有四个；
          share：匿名共享；
          user：使用samba服务自我管理的账号和密码进行用户认证；用户必须是系统用户，但密码非为/etc/shadow中的密码，而由samba自行管理的文件，其密码文件的格式由passdb backend进行定义；
          server：由第三方服务进行统一认证；
          domain：使用DC进行认证；基于kerberos协议进行；
  passdb backend = tdbsam
Printing Options
  load printers = yes
  cups options = raw

      • 共享文件系统配置

        • [SHARED_NAME]

          • [homes]：为每个samba用户定义其是否能够通过samba服务访问自己的家目录；

            [homes]
      comment = Home Directories
      browseable = no               不同的用户在客户端是看不见彼此的家目录，默认为no
      writable = yes
;       valid users = %S
;       valid users = MYDOMAIN\%S
          • [printers]：定义打印服务；
          • [shared_fs]：定义共享的文件系统； 括号里的为共享名称

        • 常用指令： 

          comment：注释信息；
path：当前共享所映射的文件系统路径；
browseable：是否可浏览，指是否可被用户查看；
guest ok：是否允许来宾账号访问；
public：是否公开所有用户；
writable：是否可写；
read only：是否为只读；
write list：拥有写权限的用户列表；
  用户名
  @组名
  +组名

    • samba用户管理：

      • smbpasswd [options] USERNAME
        -a：添加
        -x：删除
        -d：禁用
        -e：启用
      • pdbedit
        -L：列出samba服务中的所有用户；
        -a, –create：添加用户为samba用户；
        -u, –user=USER：要管理的用户；
        -x, –delete：删除用户；
        -t, –password-from-stdin：从标准输出接收字符串作为用户密码；使用空提示符，而后将密码输入两次；

    • 查看服务器端的共享： 

      smbclient -L SMB_SERVER  [-U USERNAME]
    • 交互式文件访问：

      smbclient //SMB_SERVER/SHARE_NAME [-U USERNAME]
    • 挂载访问：

      mount -t cifs //SMB_SERVER/SAHRE_NAME  -o username=USERNAME,password=PASSWORD

      注意：挂载操作的用户，与-o选项中指定用户直接产生映射关系；
      此时，访问挂载点，是以-o选项中的username指定的用户身份进行；本地用户对指定的路径访问，首先得拥有对应的本地文件系统权限；

  • smbstatus命令：
    显示samba服务的相关共享的访问状态信息；
    -b：显示简要格式信息；
    -v：显示详细格式信息；

原创文章，作者：s，如若转载，请注明出处：http://www.178linux.com/77995

赞 (0)
ss
0
上一篇 2017-06-13
下一篇 2017-06-13

相关推荐

  • 脚本数组及yum软件包管理器

    一、数组 变量：存储单个元素的内存空间 数组：存储多个元素的连续的内存空间，相当于多个变量的集合。 数组名和索引索引：编号从0开始，属于数值索引注意：索引可支持使用自定义的格式，而不仅是数值格式，即为关联索引，bash4.0版本之后开始支持。bash的数组支持稀疏格式（索引不连续） 1.定义数组声明数组：    declare …

    Linux干货 2016-08-25

  • N26-博客作业-week8

    1、写一个脚本，使用ping命令探测172.16.250.1-172.16.250.254之间的所有主机的在线状态；      在线的主机使用绿色显示；      不在线的主使用红色显示； #!/bin/bash # for i in {1..254}; do if -W 1 -c 1 ping 1…

    Linux干货 2017-03-26
  • 第十二周作业 Linux干货

    第十二周作业

      1、描述一次完整的http请求处理过程 简介 一次完整的HTTP请求过程从TCP三次握手建立连接成功后开始,客户端按照指定的格式开始向服务端发送HTTP请求，服务端接收请求后，解析HTTP请求，处理完业务逻辑，最后返回一个HTTP的响应给客户端，HTTP的响应内容同样有标准的格式。无论是什么客户端或者是什么服务端，大家只要按照HTTP的协议标准…

    2017-11-12

  • linux基础之磁盘管理

    linux基础之磁盘管理 学习linux，数据维护和管理是重中之重，而数据大部分存放在硬盘当中，因此，熟练掌握磁盘的使用和管理是运维人员的基础要求。那么，linux系统包括哪些知识点呢？ 下面，我们就详细阐述下Linux中磁盘的分区、格式化，以及一些磁盘的高级用法：磁盘配额、RAID阵列和LVM 一、硬盘 随着技术的进步，人类社会的不断发展。硬盘也经历了几代…

    Linux干货 2017-03-19

  • 20160804作业

    查出分区空间使用率的最大百分比值 查出用户UID最大值的用户名、UID及shell类型 查出/tmp的权限，以数字方式显示 统计当前连接本机的每个远程主机IP的连接数，并按从大到小排序 利用扩展正则表达式分别表示0-9、10-99、100-199、200-249、250-255        &nb…

    Linux干货 2016-08-08

  • 阿里云修改hostname主机名的一点小技巧

    CentOS 7以后修改主机名一般使用： hostnamectl set-hostname newhostname 如果仍然无效，使用vim打开/etc/cloud/cloud.cfg，将 preserve_hostname=fale 改为 preserve_hostname=true 即可。 以上在阿里云ECS上亲测有效，使用了网上查阅…

    Linux干货 2017-01-09
电话咨询
在线咨询