FTP（六）实现基于MYSQL验证的FTP虚拟用户

实验准备：本实验在两台CentOS主机上实现，一台做为FTP服务 器，一台做数据库服务器

• 一台CentOS-7当MYSQL服务器
• 一台CentOS-6当FTP服务器
  注意，这里谁当FTP服务器很关键，因为有一个PAM模块包是CentOS-7上没有的，需要源码编译，pam_mysql，下面我先演示CentOS-6当FTP服务器的例子

CentOS-6当FTP服务器

一，配置数据库服务器

1，在数据库服务器端安装mariadb-server包

    yum –y install  mariadb-server
    systemctl  start  mariadb 
    # 设为开机自动启动
    systemctl  enable mariadb

2，为了安全起见可以运行一下mariadb安全脚本

"mysql_secure_installation"

    第一项问你：输入root密码  回车即可，因为没有
    第二项问你：需要设置root密码么，当然要  敲Y
    第三项问你：需要删除空账号用户么，当然要  敲Y
    第四项问你：禁止root用户远程登入么，根据你们公司的需要
    第五项问你：需要删除test测试数据哭么，我不需要
    第六项问你：现在重新加载权限表吗 ，当然

3，在mariadb服务器端建立虚拟用户账号

 1，创建存储虚拟用户数据库和连接的数据库用户（带有mysql>的就表示需要连接到数据库执行操作）
     #创建数据库
     mysql> CREATE DATABASE vsftpd;  
     #查看数据库是否创建成功
     mysql> SHOW DATABASES;

 2，创建管理vsftpd数据库的用户。
     mysql> GRANT all ON vsftpd.* TO   vsftpd@'192.168.136.6' IDENTIFIED BY 'centos';  

    命令解析：
        GRANT：                 创建授权用户关键字
        all  :                  表示拥有对vsftpd这个数据库的所有权限
        vsftpd.*：              表示指定vsftpd的所有表
        vsftpd@'192.168.136.6'： @ 前的vsftpd表示用户名,@ 后面的表示该用户只能在192.168.136.6这个主机登入，如果想表示一个网段可以加百分号：192.168.136.%
        IDENTIFIED BY 'centos'： 作用设置密码，centos就是该用户的密码。

准备存放用户的相关表

    #切表
        mysql> USE vsftpd; 
    #查看表
        Mysql> SHOW TABLES;  
    #创建users表
        mysql>create table users (id int auto_increment not null primary key,name varchar(30) binary not null, password varchar(50) binary not null);

    命令解析：
        create table users：创建表名为users子句
        口号里的就表结构，用逗号分开的表示字段例如：第一个字段为id，第二个字段为name，第三个字段为password

        修饰符：
        int：           表示该字段为数字，
        auto_increment：表示该字段是整数自动增长
        not null：      表示该字段不能为空
        primary key：   表示该字段为主键
        varchar(30)：   表示该字段可以是任意字符长度为30个
        binary：        作用是让字段能够用于登入验证

在user表中添加虚拟用户

根据需要添加所需要的用户，为了安全应该使用PASSWORD 函数加密其密码后存储

    #查看表结构
    mysql>DESC users;  
    #插入内容
    mysql> INSERT INTO users(name,password)    values('wang',password('wang'));  
    #插入内容
    mysql> INSERT INTO users(name,password)          values('li',password('li'));  
    #查看表内容
    mysql> SELECT * FROM users;

二，配置FTP服务器

1，在FTP服务器上安装vsftpd和pam_mysql包

 centos6：pam_mysql由epel6的源中提供   
 配置epel源：
    [epel]
    name=centos-epel
    baseurl=http://mirrors.aliyun.com/epel/6/x86_64/
    gpgcheck=0
    enable=1
 #安装模块，以及FTP服务器端包
    yum install vsftpd pam_mysql

2，创建FTP所需PAM模块认证文件

因为需要连接数据库所以之前的PAM块已经不能用了，需要自己配置

在/etc/pam.d/目录下创建一个名为vsftpd.mysql存放PAM模块的配置文件
     cd /etc/pam.d/
     touch  vsftpd.mysql 
     vim vsftpd.mysql
     添加如下几行：
     auth required pam_mysql.so user=vsftpd passwd=centos host=数据库IP地址  db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2 
     account required pam_mysql.so user=vsftpd passwd=centos host=数据库IP地址 db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2 

配置字段说明 
    • auth 表示认证 
    • account 验证账号密码正常使用 
    • required 表示认证要通过 
    • pam_mysql.so模块是默认的相对路径，是相对/lib64/security/路 径而言，也可以写绝对路径；后面为给此模块传递的参数 
    • user=vsftpd为登录mysql的用户 
    • passwd=magedu 登录mysql的的密码 
    • host=mysqlserver  mysql服务器的主机名或ip地址 
    • db=vsftpd  指定连接msyql的数据库名称 
    • table=users 指定连接数据库中的表名 
    • usercolumn=name 当做用户名的字段 
    • passwdcolumn=password 当做用户名字段的密码 
    • crypt=2 密码的加密方式为mysql password()函数加密 
    注意 ：crypt是加密方式，0表示不加密，1表示crypt(3)加密，2表示 使用mysql password()函数加密，3表示md5加密，4表示sha1 加密 

3，建立系统普通用户，用作于虚拟用户映射的用户

一，创建用户，共享目录

    #创建虚拟用户映射的系统用户及对应的目录 
        useradd -s /sbin/nologin -d /var/ftproot vuser 
    #修改对应的目录权限，因为FTP共享根目录不能有写权限    
        chmod 555 /var/ftproot 
    #创建可以上传下载的共享目录
        mkdir /var/ftproot/{upload,pub}
    #并给vuser用户ACL权限
        setfacl –m u:vuser:rwx /var/ftproot/upload 

修改主配置文件

确认/etc/vsftpd.conf中是否已经启用了以下选项
    #支持匿名用户登入
        anonymous_enable=YES 
    #添加下面两项 ，作用是支持虚拟用户映射为某一个系统用户
        guest_enable=YES 
        guest_username=vuser 
    #修改下面一项，原系统用户无法登录 
        pam_service_name=vsftpd.mysql 

4,启动FTP服务

    #启动服务
        service vsftpd start
    #开机自动启动
        chkconfig vsftpd on
    #查看端口打开情况
    ss -ntlp|grep :21 

5，SELinux相关配置

   1，restorecon  -R /lib64/security 
   2，setsebool -P ftpd_connect_db 1 
   3，setsebool -P ftp_home_dir 1 
   4，chcon -R -t public_content_rw_t /var/ftproot/ 

最后测试

   1，li用户登入测试：成功
        [root@ansible-7 ~]# ftp 192.168.136.6
        Connected to 192.168.136.6 (192.168.136.6).
        220 (vsFTPd 2.2.2)
        Name (192.168.136.6:root): li
        331 Please specify the password.
        Password:
        230 Login successful.
        Remote system type is UNIX.
        Using binary mode to transfer files.
    2，wang用户登入测试：成功
        [root@ansible-7 ~]# ftp 192.168.136.6
        Connected to 192.168.136.6 (192.168.136.6).
        220 (vsFTPd 2.2.2)
        Name (192.168.136.6:root): wang
        331 Please specify the password.
        Password:
        230 Login successful.
        Remote system type is UNIX.
        Using binary mode to transfer files.

三，实现每个虚拟用户具有各自不同的权限

1，修改主配置文件

    vim /etc/vsftpd/vsftpd.conf  
    添加如下选项，作用是让虚拟用户支持独立权限配置文件，可以自定义存放目录。
    user_config_dir=/etc/vsftpd/vusers_config/ 

2，在/etc/vsftpd/vusers_config/目录下创建每个虚拟用户的权限配置文件，文件名对应用户名

    mkdir /etc/vsftpd/vusers_config/ 
    cd  /etc/vsftpd/vusers_config/ 
    touch wang 
    touch li

    "注意：虚拟用户对vsftpd服务的访问权限是通过匿名用户的相关 指令进行的。   "
    下面的权限都可以添加至文件中，需要什么权限添加什么权限

            #是否支持上传功能
            anon_upload_enable={YES|NO}
            #是否支持创建文件功能
            anon_mkdir_write_enable={YES|NO} 
            #是否支持删除文件功能
            anon_other_write_enable={YES|NO} 
            #指定虚拟账户登入的共享目录
            local_root=/ftproot   

        例如：让wang用户支持上传，下载，删除文件的权限那么只需要在wang的权限配置文件中添加如下几行
        "注意：需确保对应的映射用户对于文件系统有写权限"
        vim  wang
        anon_upload_enable=YES 
        anon_other_write_enable=YES
        anon_mkdir_write_enable=YES

CentOS-7当FTP服务器只有一个地方不同，就是需要编译安装pam_mysql模块，其他概略相同。

步骤：

 # 安装开发包组
    yum -y groupinstall "Development Tools" 
 # 安装相关依赖包
    yum -y install mariadb-devel  pam-devel vsftpd
 # 去官网下载pam_mysql-0.7RC1.tar.gz源码包        
    https://sourceforge.net/projects/pam-mysql/
 # 解压缩包
    tar xvf pam_mysql-0.7RC1.tar.gz 
 # 进入pam_mysql-0.7RC1/目录开始编译   
    cd pam_mysql-0.7RC1/ 
 # 运行configure脚本
    ./configure \
    --with-mysql=/usr \ 
    --with-pam=/usr \
    --with-pam-mods-dir=/lib64/security
 # 编译开始
    make -j 4
 # 安装程序
    make install