linux系统FTP服务端修改主被动模式

主动与被动模式

FTP的数据连接和控制连接一般是相反方向，即服务器向客户端发起一个用于数据传输的连接。连接的端口是由服务器端和客户端协商确定的，这就是vsftpd的主动模式（port  mod）。FTP协议的这个特征对iptables防火墙和NAT的配置增加了很多困难。在FTP被动模式(passive mod)下，数据连接是由客户程序发起的，和主动模式相反。被动模式要求，FTP Server 的防火墙开放 21 和 一个范围内的端口；主动模式就是 client 端开放一个随机端口，Server端主动去连接。

选择模式的原则

• 客户端没有防火墙时，用主动模式连接即可。
• 服务器端没有防火墙时，用被动模式即可。
• 双方都有防火墙时，vsftpd设置被动端口范围，服务器端防火墙打开被动端口范围，客户端用被动模式连接即可。

配置文件说明

vim etc/vsftpd/vsftpd.conf

# 是否允许匿名登录 

anonymous_enable=YES 

# 是否允许本地用户登录 

local_enable=YES 

# 是否允许本地用户对FTP服务器文件具有写权限 

write_enable=YES 

# 本地用户主目录 

local_root=/var/ftp 

# 匿名用户主目录

 anon_root=/var/ftp/pub 

# 是否允许匿名用户上传文件，如允许，须将全局的

write_enable=YES anon_upload_enable=YES 

# 是否允许匿名用户创建新文件夹 

anon_mkdir_write_enable=YES 

# 容许匿名用户除了新建和上传外的其他权限 

anon_other_write_enable=YES 

# 本地用户掩码
 local_umask=022 

# 设置匿名登入者新增或上传档案时的umask值 

anon_umask=022 

# 是否激活目录欢迎信息功能 

dirmessage_enable=YES 

xferlog_enable=YES 

# 主动模式数据传输20端口 

connect_from_port_20=NO 

xferlog_std_format=YES 

# 是否监听ipv4 

listen=YES 

# 

listen_ipv6=YES

pam_service_name=vsftpd 

userlist_enable=YES 

tcp_wrappers=YES  

# 是否设置被动模式 

pasv_enable=YES  

# 被动模式传输使用端口 

pasv_min_port=20020 

pasv_max_port=20020  

# 被动模式返回给客户端的ip地址(服务器内网穿透时使用) 

pasv_address=0.0.0.0( 服务器外网ip )  

# 设置用户访问目录，默认只允许用户自己的ftp目录 

# 需要同时设置allow_writeable_chroot，允许受限用户的写权限，不然会报错 chroot_local_user=YES 

chroot_list_enable=YES 

chroot_list_file=/etc/vsftpd/chroot_list 

allow_writeable_chroot=YES

配置文件修改

1.被动模式

在/etc/vsftpd/vsftpd.conf中添加或修改：

pasv_enable=YES

pasv_min_port=3000

pasv_max_port=3005

在iptables中开放这段端口：

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp -m state —state NEW -m tcp —dport 21 -j ACCEPT

iptables -A INPUT -p tcp —dport 3000:3005 -j ACCEPT

2.主动模式

在/etc/vsftpd/vsftpd.conf中添加或修改：

connect_from_port_20=YES 

pasv_enable=NO

在iptables中开放端口：

iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT

重启防火墙

service iptables restart

修改配置文件后重启

systemctl restart vsftpd