FTP聯(lián)機的兩種模式
FTP采用 Client/Server 架構(gòu)，F(xiàn)TP 協(xié)議比較特別的地方在于它在使用時必須建立二個聯(lián)機：一個用來傳輸指令、一個用來傳輸檔案。當我們使用 FTP 軟件連到 FTP 服務器時，客戶端會先連到服務器的連接端口21，并建立一條「控制聯(lián)機」。接下來，您會輸入賬號、密碼等指令，這些指令及 FTP 的響應都是使用都是使用「控制聯(lián)機」。當您要下載檔案時，或者是執(zhí)行 ls 以列出目錄中的檔案時，檔案或目錄列表的下載是經(jīng)另一個聯(lián)機「數(shù)據(jù)聯(lián)機」?！笖?shù)據(jù)聯(lián)機」和「控制聯(lián)機」不同的是數(shù)據(jù)聯(lián)機所傳輸?shù)臄?shù)據(jù)比較大，而控制聯(lián)機只是用來傳輸指令及簡單的響應。
基本上，一個完整的 FTP 聯(lián)機建立過程為：
客戶端打開自已機器大于 1024 的連接端口，并連到服務器的連接端口21，建立「控制聯(lián)機」。
客戶端開始對服務器下指令，告訴服務器客戶端用來傳輸檔案的連接端口為何。
服務器從連接端口20 連到客戶端所開放的端口號 (大于 1024)，以建立「數(shù)據(jù)聯(lián)機」。
上述這種聯(lián)機建立的方式是由服務器主動建立「數(shù)據(jù)聯(lián)機」，我們稱之為「主動模式」(Active Mode)?；旧现鲃幽Ｊ降倪\作在沒有防火墻或 NAT 的情形下沒有什么問題，但若客戶端有防火墻，則可能會無法建立聯(lián)機?；旧希绻蛻舳耸褂玫氖?FreeBSD 的 NAT 不會有這種問題，F(xiàn)reeBSD 會自動做轉(zhuǎn)換，但若是使用其它的防火墻就不一定可以支持 FTP 的 Active Mode。
要解決 FTP Active Mode 的問題，可以在聯(lián)機時改用「被動模式」(Passive Mode)。所謂的被動模式就是由服務器打開一個連接端口，被動地等客戶端連過來建立「數(shù)據(jù)聯(lián)機」。被動模式的聯(lián)機建立過程為：
客戶端打開自已機器大于 1024 的連接端口，并連到服務器的連接端口21，建立「控制聯(lián)機」。
客戶端開始對服務器下指令，告訴服務器進入「被動模式」。
服務器打開一個大于 1024 的連接端口，等待客戶端的聯(lián)機。
客伺端打開自已機器大于 1024 的連接端口，并連到服務器以建立「數(shù)據(jù)聯(lián)機」。
由于控制聯(lián)機及數(shù)據(jù)聯(lián)機都是由客戶端主動連過去服務器，如此即可避開防火墻及 NAT 的問題。
當您登入一臺 FTP 服務器后，如果您輸入 ls，卻等了很久都沒有響應，您可以輸入 Ctrl>+C 以中斷命令。接著輸入 passive 以進入被動模式，再打 ls 如果可以看到目錄內(nèi)容，則無法聯(lián)機的問題一定是主動模式的原故。
設定 FTP 服務器
FreeBSD 內(nèi)建有 FTP 服務器的功能，如果您要使用內(nèi)建的 ftpd，我們不需要特別進行任何安裝的動作，只要做好設定即可。
1 啟動FTP服務器
有二種方式啟動 ftpd，一種是使用 standalone daemon，另一種是使用 inetd。
使用 inetd 我們可以管理許多系統(tǒng)服務，例如 telnet、ssh、ftp 等，大部份的系統(tǒng)服務都是使用 inetd 來啟動，使用它的好處在于可以統(tǒng)一管理各種服務，并經(jīng)由它來設定服務規(guī)則，例如是否要阻擋某些 IP 來源等。不過，使用 inetd 的方式缺點是每次有聯(lián)機要求時，inetd 的 daemon 必須依聯(lián)機的種類去執(zhí)行相對映的指令，所以速度比較慢。另一種啟動 FTP 的方式是使用 standalone daemon，也就是直接執(zhí)行 FTP daemon，當它接收到新的聯(lián)機時，就 fork() 出來處理，這種方式聯(lián)機建立的速度較快，比較適合專門的 FTP 服務器。
使用 inetd，首先編輯 /etc/inetd.conf，將 ftp 設定開頭的 # 移除：
ftp stream tcp nowait root /usr/libexec/ftpd ftpd -l
ftp stream tcp6 nowait root /usr/libexec/ftpd ftpd -l
接下來，我們必須使用下列指令重跑 inetd：
#
kill -1 `cat /var/run/inetd.pid`
現(xiàn)在您就可以開始使用 FreeBSD 的 FTP 服務了。
如果您要以獨立的 daemon 方式啟動 FTP，請先確定在 inetd.conf 中沒有啟動 FTP 服務。接下來，請在新增一個檔案 /usr/local/etc/rc.d/ftpd.sh 內(nèi)容如下：
#!/bin/sh
ftpd_program="/usr/libexec/ftpd"
ftpd_flags="-D -l"
case $1 in
start)
echo "Starting FTPD"
$ftpd_program $ftpd_flags
;;
stop)
echo "Stopping FTPD"
killall ftpd
;;
restart)
$0 stop
sleep 1
$0 start
;;
esac
編輯完后，我們必須將該檔案變成可執(zhí)行：
#
chmod 755 /usr/local/etc/rc.d/ftpd.sh
接下來，您就可以使用下列指令啟動 FTPD 了：
#
/usr/local/etc/rc.d/ftpd.sh tart
如果您要停止 FTPD 服務，則使用下列指令：
#
/usr/local/etc/rc.d/ftpd.sh stop
2 編輯歡迎信息
當我們聯(lián)機到一個 FTP 站點時，我們可以看到二個歡迎訊息，一個是登入前的訊息，另一個是登入后的訊息。開頭為 220- 的就是登入前的訊息，我們稱它為歡迎訊息。以 230- 為開頭的是登入后的訊息，我們稱它為本日訊息 (Message of the day)。這二種訊息我們都可以自行設定。
如果您要設定的是登入前的訊息，請新增一個檔案 /etc/ftpwelcome，并將您的訊息寫入該文件中。您不需要寫 220- 等數(shù)據(jù)，F(xiàn)TP 服務器會自動幫您加上這種代碼。而登入后的訊息是存放在 /etc/ftpmotd，您可以編輯該檔以進行設定。
3 FTP服務器管理
在啟動 FTP 服務器時，我們可以加入一些參數(shù)以調(diào)整服務器的行為。例如，修改預設的連接端口、記錄使用者上傳、下載的檔案等等。有些參數(shù)必須要在使用獨立的 daemon 方式啟動時才有用，而有的參數(shù)在 inetd 模式下也可以使用。下表為我們常用的參數(shù)：
| 參數(shù) |
是否只能在 Daemon 模式下使用 |
意義 |
| -a |
是 |
當您有二張網(wǎng)絡卡或是二個 IP 時，我們可以設定只接受聯(lián)機到某一個 IP 的聯(lián)機要求。例如： ftpd -D -a 192.168.0.1
此范例表示只接受使用者聯(lián)機到 192.168.0.1 這個 IP。
|
| -d |
否 |
記錄 FTP 的除錯訊息。除了加入這個參數(shù)外，您必須修改 /etc/syslog.conf，并加入下列內(nèi)容以記錄 FTP 的訊息。
!ftpd*.* /var/log/ftpd.log
|
| -h |
否 |
不要顯示 FTP 服務器的主機名稱、軟件信息、版本等。 |
| -l |
否 |
記錄 FTP 登入成功及失敗的訊息。如果您使用二次 -l，則使用者上傳、下載、刪除、建立目錄時都會留下記錄。預設的記錄會留在 /var/log/xferlog 中。 |
| -P |
是 |
我們知道 FTP 預設會****連接埠 21，以接受客戶端的聯(lián)機要求。不過如果您是以獨立的 daemon 方式啟動 FTP，則 可以使用 -P 加上連接埠號以改變預設連接埠。 |
另外，還有很多用來控制使用者權(quán)限的參數(shù)，將在后面說明。
如果您要修改 ftpd 啟動的參數(shù)，在 inetd 模式下，您可以修改 /etc/inetd.conf，并在 ftp 設定的最后面加入?yún)?shù)，如下列粗體字所示：
ftp stream tcp nowait root /usr/libexec/ftpd ftpd -l -l -d
ftp stream tcp6 nowait root /usr/libexec/ftpd ftpd -l -l -d
上面的范例中，我們多加入了參數(shù) -l -d，以記錄更多 ftpd 的訊息。
如果您是以獨立的 Daemon 方式啟動 ftpd，則請修改 /usr/local/etc/rc.d/ftpd.sh：
#!/bin/sh
ftpd_program="/usr/libexec/ftpd"
ftpd_flags="-D -l -l -d"
...
我們只要修改 ftpd_flags 的部份，加入您所要的參數(shù)即可。
4 FTP權(quán)限控制
預設的 FTP 啟動后，使用者可以上傳、下載任何他們有權(quán)存取的檔案。在登入后，使用者可以進到任何系統(tǒng)中的目錄 (如果目錄權(quán)限允許的話)。
我們可以設定限制某些賬號不可以使用 FTP 登入。使用者在登入 FTP 服務器時，有幾個規(guī)則會拒絕該賬號登入：
如果 /var/run/nologin 存在，則所有賬號都不可以登入。這個檔案可以用來暫時停止 FTP 服務。
使用者一定要有密碼才能登入，沒有密碼的使用者無法登入。
使用者名稱不可以出現(xiàn)在 /etc/ftpusers 中。
使用者群組不可以出現(xiàn)在 /etc/ftpusers 中。
使用者所使用的 shell 必須要時合法的 shell。合法的 shell 會被定義在 /etc/shells 中。
除了匿名模式外，使用者名稱不可以是 ftp 或 anonymous。
/etc/ftpusers 定義了不可以使用 FTP 服務的使用者及群組?？匆幌略摍n案的內(nèi)容，我們可以看到該檔案中已經(jīng)有一些使用者不可以登入 FTP。這些使用者都是系統(tǒng)預設的賬號，我們也可以經(jīng)由修改它來加入其它使用者。在 /etc/ftpusers 中，如果開頭是 "@" 表示群組名稱。
除了控制使用者賬號外，在「inetd」模式下，我們還可以控制聯(lián)機來源。所有 FreeBSD 中由 inetd 所啟動的服務都可以經(jīng)由修改 /etc/hosts.allow 以使用 TCP Wrappd 來限制聯(lián)機來源。下列為預設的 /etc/hosts.allow 內(nèi)容：
# Provide a small amount of protection for ftpd
ftpd : localhost : allow
ftpd : .nice.guy.example.com : allow
ftpd : .evil.cracker.example.com : deny
ftpd : ALL : allow
如果我們要限制某幾個 IP 或網(wǎng)域不能使用 FTP，可以使用下列范例：
# Provide a small amount of protection for ftpd
ftpd : localhost : allow
ftpd : 210.122.13.5 : deny
ftpd : .evil.cracker : deny
ftpd : ALL : allow
如果您要設定只有某些來源可以使用 FTP，而拒絕大多數(shù)的主機，則可以設定：
# Provide a small amount of protection for ftpd
ftpd : localhost : allow
ftpd : 192.168.0. : allow
ftpd : my.friend.com : allow
ftpd : ALL : deny
在使用者登入后，只要目錄、檔案權(quán)限許可，它們可以自由的上傳、下載檔案。如果您希望加以限制讀寫的權(quán)限，可以在啟動 FTP 時加上下列幾個參數(shù)：
| 參數(shù) |
意義 |
| -o |
限制所有使用者只能上傳檔案，而無法下載任何檔案。 |
| -r |
限制所有使用者對于服務器內(nèi)所有檔案只能只讀，不可以建立目錄、上傳、更改檔名、或任何會動到檔案目錄的指令。 |
上述的參數(shù)必須在啟動 FTP 服務器時指定
一般使用者登入后，預設會進入自己的家目錄中。使用者可以改變工作路徑到系統(tǒng)的任何目錄中。如果您希望使用者登入后只能在自己的家目錄中活動，而不能進入其它系統(tǒng)目錄中，可以使用 chroot 的功能。所謂的 chroot 就是將某一個目錄變成使用者看到的根目錄。例如，我們讓使用者 alex 登入后，將 /home/alex 變成根目錄。則 alex 在使用指令「cd /」時，還是會停留在 /home/alex。如果他使用指令「pwd」查看目前所在路徑，則會顯示 /。如此一來，我們就可以確保使用者不會到處亂跑，進入一些不該進入的地方。這個功能對于提升 FTP 的安全性有莫大的助益。
設定 chroot 的方法很簡單，只要修改 /etc/ftpchroot 即可。下面是一個范例：
alex
@guest
john /var/ftp
@other /var/ftp
其中第一行是設定使用者 alex 登入后，以自己的家目錄為根目錄。第二行的 @guest 表示只要是群組為 guest 的使用者，都以自己的家目錄為根目錄。而第三、四行分別表示使用者 john 及群組 other 都以 /var/ftp 為根目錄。
只要我們善用 chroot 的功能，就可以加強保護系統(tǒng)其它目錄，讓沒有權(quán)利的使用者不可以進入系統(tǒng)目錄中。建議您在開放 FTP 服務時，將所有使用者都加入 /etc/ftpchroot 中。
我們平常在登入 FreeBSD 的 FTP 站臺時，可以使用 anonymous 或是 ftp 這二個使用者登入，而且在登入時，任何密碼都可以通過。這種可以使用 anonymous 登入的 FTP 就叫作匿名 FTP。anonymous 及 ftp 這二個賬號是預設的匿名賬號，當使用者以匿名登入時，服務器會將匿名賬號對映到系統(tǒng)內(nèi)的真實使用者 ftp。所以，如果您要提供匿名的 FTP 服務，請使用下列指令新增使用者賬號 ftp：
#
pw adduser ftp
#
mkdir /home/ftp
#
chown ftp:ftp /home/ftp
我們建立了使用者 ftp 及其家目錄 /home/ftp。使用 pw 指令所建立的使用者在 /etc/master.passwd 中的密碼字段預設為 *，表示不可以登入。這個使用者除了匿名 FTP 外，將不可以使用 telnet、SSH、或是其它服務。
在新增了使用者 ftp 之后，我們就已經(jīng)支持匿名 FTP 的功能了?，F(xiàn)在您可以使用 anonymous 或 ftp 賬號登入，而且不需任何密碼。由于開放了匿名 FTP 后，任何人都可以登入系統(tǒng)，所以匿名賬號登入后一定會使用 chroot，以將匿名使用者限制在家目錄中。
除了強制使用 chroot 外，我們還可以在啟動 FTP 時加上一些參數(shù)，以針對匿名使用者進行更多的限制。下表為啟動 FTP 服務時可以使用的參數(shù)：
| 參數(shù) |
意義 |
| -M |
禁止匿名使用者建立新的目錄。 |
| -m |
允許匿名使用者覆寫一個存在的檔案。預設啟動 FTP 時，并不允許匿名使用者覆寫已經(jīng)存在的檔案。當使用者上傳檔案時，如果已經(jīng)有同檔名的檔案存在，系統(tǒng)會自動為上傳的檔案改名。 |
| -O |
讓匿名使用者只能上傳檔案，下載檔案的功能會被取消。 |
匿名使用者權(quán)限除上表中的幾個參數(shù)外，一樣可以使用 -r、-o 等用來控制一般使用者權(quán)限的參數(shù)來控制匿名使用者。
匿名的 FTP 服務器可以說是危險的開始，如果您沒有對匿名的使用者進行權(quán)限控制，在開于匿名 FTP 后，將會產(chǎn)生許多安全性的問題。
以上只是針對FreeBSD系統(tǒng)自帶的簡單ftpd進行的配置應用，如果希望架設更強大的FTP服務器，可以選用proftpd等工具來實現(xiàn)，而且在/usr/ports/ftp目錄下就已經(jīng)加入了proftpd這個工具，具體配置參考本人后續(xù)文章。
