FTP(二）ftp部署與防火墻配置
阿新 • • 發佈：2017-06-22
vsftp服務部署 ftp服務與iptables防火墻
一、ftp部署
繼上文對ftp原理的分析說明，接下實戰部署ftp服務器。
1、環境
CentOS6.8 X64 vsftp
#yum install vsftpd -y
#rpm -qa |grep vsftpd
#vsftpd-2.2.2-21.el6.x86_64
2、配置
cat /etc/vsftpd/vsftpd.conf|egrep -v ‘(^$|^#)‘
#修改默認連接端口為10021 listen_port=10021 #不允許匿名連接 anonymous_enable=NO local_enable=YES write_enable=YES local_umask=022 dirmessage_enable=YES xferlog_enable=YES xferlog_std_format=YES #開啟訪問日誌 xferlog_file=/var/log/xferlog dual_log_enable=YES #開啟連接日誌 vsftpd_log_file=/var/log/vsftpd.log connect_from_port_20=YES #不允許切換到其他目錄 chroot_list_enable=YES chroot_list_file=/etc/vsftpd/chroot_list listen=YES max_clients=20 max_per_ip=2 #限制連接速率4M local_max_rate=409600 pam_service_name=vsftpd userlist_enable=YES tcp_wrappers=YES #開啟被動連接模式 pasv_enable=YES #被動連接端口 pasv_min_port=65530 pasv_max_port=65535
重啟vsftpd服務一個偵聽在10021上的ftp服務配置完成，註意被動的數據傳輸端口在沒有客戶端連接時是不會偵聽的，只有當客戶端成功連接了10021連接端口時，才會從被動連接的端口池中偵聽並等待客戶端連接傳輸數據。
二、防火墻的配置
防火墻是很重要的服務器安全保護措施，切勿在生產線上關閉防火墻，最好是默認進出和forward都為拒絕的策略。本次實戰就是這樣！
cat /etc/sysconfig/iptables
# Generated by iptables-save v1.4.7 on Wed Apr 1 11:31:59 2017 *filter #默認進入的策略為拒絕 :INPUT DROP [14:3408] #默認forward 策略為拒絕 :FORWARD DROP [0:0] #默認出去的策略為拒絕 :OUTPUT DROP [0:0] #允許本地網段訪問 -A INPUT -s 192.168.118.0/24 -j ACCEPT -A INPUT -s 127.0.0.0/8 -j ACCEPT #允許訪問ftp 10021 -A INPUT -p tcp --dport 10021 -m state --state NEW,ESTABLISHED -j ACCEPT #允許訪問 65530- 65535 ftp數據傳輸端口池 -A INPUT -p tcp --dport 65530:65535 -j ACCEPT -A INPUT -p tcp -m tcp --sport 22 -m state --state NEW,ESTABLISHED -j ACCEPT -A INPUT -p tcp -m tcp --sport 80 -m state --state NEW,ESTABLISHED -j ACCEPT -A INPUT -p icmp -s 127.0.0.1 -j ACCEPT -A INPUT -p tcp -m tcp --sport 25 -m state --state ESTABLISHED -j ACCEPT -A INPUT -p icmp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT -A INPUT -p udp -m udp --sport 53 -j ACCEPT -A INPUT -p udp -m udp --sport 123 -j ACCEPT #允許本地訪問本地網段 -A OUTPUT -d 192.168.118.0/24 -j ACCEPT -A OUTPUT -d 127.0.0.0/8 -j ACCEPT -A OUTPUT -p udp -m udp --dport 53 -j ACCEPT -A OUTPUT -p udp -m udp --dport 123 -j ACCEPT -A OUTPUT -p icmp -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT -A OUTPUT -p tcp -m state --state NEW --dport 80 -j ACCEPT -A OUTPUT -p tcp -m tcp --dport 22 -j ACCEPT -A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT -A OUTPUT -p tcp -m tcp --dport 443 -j ACCEPT -A OUTPUT -p tcp --sport 10021 -m state --state ESTABLISHED -j ACCEPT -A OUTPUT -p tcp --sport 65530:65535 -j ACCEPT -A OUTPUT -p tcp -m tcp --dport 25 -j ACCEPT -A OUTPUT -m state --state ESTABLISHED -j ACCEPT COMMIT # Completed on Wed Apr 1 11:31:59 2017
重啟防火墻即可在服務器開啟防火墻狀態下，客戶端訪問ftp服務！
本文出自 “學地止境” 博客，請務必保留此出處http://280872.blog.51cto.com/270872/1940980
FTP(二）ftp部署與防火墻配置