Разрешение доступа с определенных IP для Proftpd в Unix/Linux

Хотел бы сохранить заметку «Разрешение доступа с определенных IP для Proftpd в Unix/Linux» и в ней описать как можно запретить доступ к директориям моего FTP — сервера (Proftpd) для определенных IP- адресов, но к некоторым оставить доступ.

Установка Proftpd в Unix/Linux

Я описывал процесс установки на различные ОС тут:

Установка Proftpd на Debian/Ubuntu/Mint

Установка ProFTPD на CentOS

Установка Proftpd на FreeBSD из исходников

Так же, будет полезно знать:

Скачивать и закачивать файлы по FTP используя консоль

Настройка Proftpd в Unix/Linux

Отредактируем конфигурационный файл Proftpd.

Для FreeBSD он будет лежать:

# vim /usr/local/etc/proftpd.conf

Для CentOS/RedHat/Fedora он лежит:

# vim /etc/proftpd.conf

Для Debian или Ubuntu:

# vim /etc/proftpd/proftpd.conf

Я добавлю в класс ournetwork, некоторые строки с ограничением доступа, например:

<Class mynetwork>
From xx.xx.xx.xx/27
From your_IP-address/mask
From xx.xx.xx.xx/24
From xx.xx.xx.xx/32
From 31.13.45.123/16
</Class>

После этого в директории к которой нам необходимо закрыть доступ, пишем следующее:

<Limit LOGIN READ DIRS>
AllowClass mynetwork
DenyAll
</Limit>

Собственно, сейчас я запретил доступ всем, но предоставил доступ только с определенных подсетей! После чего необходимо перезапустить сервер proftpd.

FreeBSD:

# /usr/local/etc/rc.d/proftpd restart

Linux:

# service proftpd restart

Вот и все, статья «Разрешение доступа с определенных IP для Proftpd в Unix/Linux» завершена.

Проверка доступа к SFTP/FTP через curl

Недавно понял что можно проверить работу sFTP|FTP с помощью утилиты cURL и в своей статье «Проверка доступа к SFTP/FTP через curl» я расскажу как это можно сделать.

Многие скажут, зачем это нужно если есть утилита telnet. Я конечно соглашусь, но для общего ознакомления, привел статью.

Проверка доступа к SFTP через curl

На большинстве серверов уже установлены curl и scp, который можно использовать для входа на сервер SFTP или FTP. Чтобы проверить работу SFTP, выполните:

$ curl -u user_name sftp://linux-notes.org/
Enter host password for user 'user_name':

Проверка доступа к FTP через curl

Чтобы проверить работу FTP, выполните:

$ curl -u user_name ftp://linux-notes.org/
Enter host password for user 'user_name':

Вас попросят ввести пароль от указанного пользователя (У меня это user_name). Вот такая короткая тема «Проверка доступа к SFTP/FTP через curl» подошла к завершению.

Настройка vsftpd с SSL/TLS на CentOS/RedHat/Fedora

FTP —  протокол передачи файлов (способ передачи файлов) между локальным и удаленным серверам. Это самый популярный метод передачи файлов, но его перестают использовать из-за отсутствия безопасности.

Очень хорошая альтернатива — SFTP. Этот протокол реализует совместное использование файлов через SSH. Если вы хотите использовать FTP, вы должны по крайней мере обеспечить связь с SSL / TLS сертификатами.

По этому мануалу «Настройка vsftpd с SSL/TLS на CentOS/RedHat/Fedora», я тестировал свою конфигурацию vsftpd с TLS/SSL сертификатами на CentOS 6.6 и CentOS 7.

Настройку с основными параметрами я описывал ранее в своей статье, вы можете ознакомится с нею тут:
Установка vsftpd на CentOS

В той статье очень подробно расписано использование данного FTP сервиса с различными опциями.

Может быть полезна еще следующая статья:
Скачивать и закачивать файлы по FTP используя консоль 

Настройка SSL с vsftpd

Первый шаг к получению полноценного  VSFTPD  — это работать с SSL, по этому, создадим сертификат SSL. Мы на самом деле будет использовать TLS (это тоже протокол), и он является преемником от SSL и более безопасный.

Мы создадим подкаталог внутри каталога SSL для хранения наших файлов:

$ sudo mkdir /etc/ssl/private

Создадим сертификат с ключем и поместим все в однин файл, для этого можно использовать следующую команду:

$ openssl req -x509 -nodes -days 365 -newkey rsa:1024 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem

Ответьте на вопросы, которые он просит. Наиболее важным из которых является «общее имя» («Common Name») вашего сервера, который будет иметь  IP-адрес или доменное имя и будет использоваться для дальнейшего подключения.

Добавить SSL в файла конфигурации VSFTPD 

Теперь мы должны изменить нашу конфигурацию и указать на новые ключи и настройки защищенного соединения.

Откройте файл конфигурации Vsftpd как root:

# vim /etc/vsftpd/vsftpd.conf

В нижней части файла добавляем  SSL/TLS. Мы должны указать расположение нашего сертификата и ключей. Мы на самом деле, используем 2 в 1 и используем все в одном файле, так что мы будем указывать оба варианта в том же файле:

rsa_cert_file=/etc/ssl/private/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.pem

Далее, нам необходимо разрешить использование данных файлов, так же стоит отключить анонимных пользователей в конфиге. Мы должны также прописать настройку на использование SSL для передачи данных и входе подпрограмм:

[...]
ssl_enable=YES
allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES
[...]

Далее, мы ограничиваем тип подключения к TLS, который более безопасен, чем SSL. Мы будем делать это явно позволяя использовать TLS и отрицая использовать SSL:

[...]
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO
[...]

Добавим несколько настроек конфигурации:

[...]
require_ssl_reuse=NO
ssl_ciphers=HIGH
[...]

Сохраняем и закрываем данный конфигурационный файл.

Перезапускаем VSFTPD чтобы наши изменения применились:

# /etc/init.d/vsftpd restart

или

# service vsftpd restart

Также настраиваем его для автоматического запуска при каждой перезагрузке ОС:

# chkconfig vsftpd on

Все, сервер готов. На этом, моя тема «Настройка vsftpd с SSL/TLS на CentOS/RedHat/Fedora» завершена.

Скачивать и закачивать файлы по FTP используя консоль

FTP (File Transfer Protocol) является наиболее популярным протоколом для передачи файлов (скачиваать и загружать) из одной системы в другую систему. Это обеспечивает быстрыйспособ передачи файлов . Есть много доступных приложений  на Linux и Windows такие как VSFTPD, ProFTPD для Linux, FileZilla Server для windows  и macOS.

Есть различные способы для подключения к FTP-серверу использую графическую среду, но системный администратор должен знать силу командной строки. И в данной теме «Скачивать и закачивать файлы по FTP используя консоль» я расскажу как можно работать с командной строкой для передачи/получения данных.

1. Подключение к FTP-серверу с помощью командной строки

Для подключения к любому серверу с помошью командной строки служит терминал.

$ ftp ftp.linux-notes.org

2. Загрузить файл на FTP-сервер

Чтобы загрузить файл на сервер используют FTP put. Во-первых нужно перейти в нужную папку на FTP сервере для загрузки файла и использовать следующую команду.

ftp> cd uploads
ftp> put /home/captain/my_file.txt

3. Скачать один файл из FTP-сервер

Чтобы скачать файл из FTP-сервера, мы используем команду get. Используя эту команду мы можем загрузить один файл. Чтобы скачать какой-либо файл с сервера FTP, сперва войдите на FTP-сервер, потом перейдите в каталог и использования следующую команду, чтобы скачать любой файл:

ftp> get my_file.txt

4. Загрузить несколько файлов на FTP-сервер

Чтобы загрузить несколько файлов на FTP-сервере мы используем MPUT команду. Мы можем указать символ шаблона для загрузки нескольких файлов на сервер одновременно. Во-первых перейдите к нужной папке на FTP сервере  для загрузки файла и используйте следующую команду. Он будет загрузить все файлы с расширением .txt в каталог /home/captain для закачанных файлов на FTP-сервере.

ftp> cd uploads
ftp> lcd /home/captain/
ftp> put *.txt

5. Скачать несколько файлов с FTP-сервера

Чтобы скачать несколько файлов с FTP-сервера, мы используем MGET команду. Используя эту команду можно загружать файлы.

ftp> mget *.txt

 Команды.

!
Выйти с оболочки shell

?
Расспечатать помошь о локальной информации

append
Добавьте в файл

ascii
Установить тип передачи ASCII. Используйте это, чтобы передать текстовые файлы (HTM-файлы).

bell
Звуковой сигнал при завершении команды.

binary
Установите двоичный тип передачи. Используйте это для передачи двоичных файлов (XE-файлов и графики).

bye
Завершить сеанс подключения и работу.

cd
Изменить удаленный рабочий каталог (использование «..», чтобы перейти к родителю).

close
Завершить сеанс FTP.

delete
Удалить удаленный файл.

debug
Переключить режим отладки.

dir
Перечислите (показать) содержимое удаленного каталога.

disconnect
Завершить сеанс FTP.

get
Получить файл (смотрите также mget).

glob
Переключить расширение метасимвол из локального имени файлов.

hash
Переключить печать ‘#’ для каждого переданного буфера.

help
Показать список команд.

lcd
Изменить локальный рабочий каталог.

literal
Отправить произвольную команду FTP.

ls
Показать содержимое удаленного каталога.

mdelete
Удаление нескольких файлов.

mdir
Список содержимого нескольких удаленных каталогов.

mget
Получить несколько файлов (смотрите также get)

mkdir
Создайте каталог на удаленной машине.

mls
Список содержимого нескольких удаленных каталогов.

mput
Отправить несколько файлов (смотрите также put).

open
Подключение к удаленному FTP.

prompt
Грубое интерактивное приглашение на нескольких команд (это переключение)

put
Отправить один файл (смотрите также mput).

pwd
Распечатать рабочую папку (где ты находишся сейчас) на удаленной машине.

quit
Завершить сеанс подключения и работу.

quote
Отправить произвольную команду FTP. Вы можете просмотреть список raw команд FTP на www.nsftools.com/tips/RawFTP.htm

recv
Receive file

remotehelp
Get help from remote server

rename
Получить файл.

rmdir
Удалить каталог на удаленной машине.

send
Отправить один файл.

status
Показать текущее состояние.

trace
Переключить трассировку пакетов.

type
Установить тип файла передачи

user
Отправить новую информацию пользователя.

verbose
Переключить подробный режим.

Тема «Скачивать и закачивать файлы по FTP используя консоль» завершена.

Установка VSFTPD с виртуальными пользователями на CentOS

Хочу рассказать как я устанавливал  VSFTPD на CentOS, будет работать и на RedHat и Fedora. В данной статье «Установка VSFTPD с виртуальными пользователями на CentOS» я приведу подробные инструкции по установке и настройке данного FTP сервера под названием VSFTPD.

vsftpd (англ. Very Secure FTP Daemon) — это один из FTP-серверов который поддерживает IPv6 и SSLи он есть сервером ФТП по умолчанию во многих ОС.

Основные возможности VSFTPD

• Поддерживает виртуальные ip.
• Поддерживает виртуальных пользователей.
•  Поддерживает работы через [x]inetd так и отдельно.
•  Можно настроить ФПТ доступ для каждого пользователя.
•  увеличение полосы пропускания.
•  Поддерживает настройки для каждого ip.
•  Поддерживает лимитов для каждого ip.
•  Поддерживает протокол IPv6.

Устанавливка пакета с VSFTPd.

# yum -y install vsftpd

Сейчас, установим пакет баз данных (нужен будет для хранения пользователей)

# yum install compat-db

Создаем пользователя для ftp (у меня это  virtualftp):

# adduser -d /home/virtualftp/ virtualftp -s /sbin/nologin

Нужно отредактировать конфиг vsftpd сервера:

# vim /etc/vsftpd/vsftpd.conf
[...]

pam_service_name=vsftpd-db

[...]

В этот файл так же добавляем блок о виртуальных пользователях (я этот блок добавил в самы низ открытого файла).

# Virtual users will be logged into /home/vweb/[username]/
user_sub_token=$USER
local_root=/home/virtualftp/$USER
guest_enable=YES
guest_username=virtualftp
# Umask applied for virtual users and anon
anon_umask=0022
# Allows uploading by virtual users
anon_upload_enable=YES
# Allows creation of directories by virtual users
anon_mkdir_write_enable=YES
# Allows deletion of files and directories by virtual users
anon_other_write_enable=YES

Сейчас необходимо создать  так же файл для хранения всех пользователей:

# vim /etc/pam.d/vsftpd-db

session optional pam_keyinit.so force revoke
auth required /lib64/security/pam_userdb.so debug db=/etc/vsftpd/login
account required /lib64/security/pam_userdb.so debug db=/etc/vsftpd/login

При этом файл с паролями будет в /etc/vsftpd/login.db

Создадим файл с пользователями FTP:

# vim /etc/vsftpd/login.txt

В этот файл нужно прописать пользователей с ихними паролями в таком виде:

your_user1
your_pass1
your_user2
your_pass2

После этого нужно сгенерировать файл с паролями для всех пользователей:

# rm /etc/vsftpd/login.db
# db42_load -T -t hash -f /etc/vsftpd/login.txt /etc/vsftpd/login.db
# chmod 600 /etc/vsftpd/ftpusers /etc/vsftpd/login.txt

Создадим папки для пользователей

# mkdir -p /home/virtualftp/your_user1
# mkdir -p /home/virtualftp/your_user2

Выставляем права для сервера:

# chown -R virtualftp:virtualftp /home/virtualftp/
# chmod -R 644 /home/virtualftp/
# find /home/virtualftp/ -type d -exec chmod 755 {} \;

Запустим VSFTPd

# service vsftpd start

Я добавлю VSFTPD в автозагрузку ОС:

# chkconfig vsftpd on

После этого можно пользоваться данным FTP сервером.

Если установлен IPtables, то также должны добавить несколько правил в брандмауэре, чтобы принять соединения на FTP порты.
Чтобы открыть порты в IPTables введите следующие команды:

# iptables -I INPUT -m state --state NEW -m tcp -p tcp --dport 20 -j ACCEPT
# iptables -I INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT

Затем, сохраняем новые правила:

# service iptables save

Перезагружаем iptables:

# service iptables restart

Установка VSFTPD с виртуальными пользователями на CentOS  завершена.

Скачать скрипт для установки веб-сервера на CentOS

Задача была таковой: Нужно произвести установку в автоматическом режиме сервера с apache, nginx,php, Mysql и FTP (vsftpd). Решить такую задачу очень просто, нужно написать скрипт для облегчения установки, так как я не сильно знаю скриптовый язык программирования я поискав в интернете, нашел этот замечательный скрипт.

Вы можете его посмотреть тут, а для того чтобы скачать его, просто выполните эту команду:

# wget linux-notes.org/wp-content/uploads/scripts/web-host-setup.sh

Нужно открыть сприпт и перед его запуском ознакомится и немного поправить.
Вот такой вот прикольный и полезный скрипт, на этом тема «Скачать скрипт для установки веб-сервера на CentOS» подошла к завершению.

Скачать скрипт авто бекап файлов сервера и MySQL для FTP-сервера

Это простой скрипт делает  ежедневное резервное копирования файлов и баз данных MySQL в FTP-сервере. Убедитесь, что вы установили LFtp клиент. Введите следующую команду, если вы используете CentOS / Fedora / RedHat:

# yum install lftp

Если вы используете Ubuntu / Debian/Mint:

# sudo apt-get install install lftp

Создайте папку  /backup для этого введите:

# mkdir /backup
# chmod 0600 /backup

Создадим backup.sh файл и введем кое что, а посмотреть можно тут. Чтобы скачать этот готовый скрипт, выполните:

# wget http://linux-notes.org/wp-content/uploads/scripts/backup.sh

Пропишим этот скрипт на выполнение в крон:

# crontab -e

Если вы хотите автоматического резервного копирования в 3:00 утра, добавьте следующую строку в CRONTAB

00 03 * * * /backup/backup.sh > /dev/null 2>&1

Очень простая и полезная тема «Скачать скрипт авто бекап файлов сервера и MySQL для FTP-сервера», надеюсь понравилось.

Как установить Pure-FTPd С SSL / TLS на CentOS 6

FTP является очень небезопасным протоколом, потому что все пароли и все данные передаются в открытом виде. С помощью SSL / TLS, вся коммуникация может быть зашифрована, это делание FTP гораздо более безопасным. Эта статья объясняет, как установить Pure-FTPd с SSL / TLS на CentOS 6.

Для установки Pure-FTPd на CentOS 6 Server. Пожалуйста, см. статью под названием «Как установить Pure-FTPd на CentOS 6 с помощью команды Yum«.

Создадим SSL сертификат для TLS

Чтобы включить SSL / TLS, генерируя свой сертификат с помощью команды ниже. Вы также можете использовать «реальный» сертификат, который будет лучшим решением для производственных систем. Расположение сертификата должно быть такой же, как показано ниже, а PureFTPd ищет его в этом месте. Первый шаг, введите следующую команду, чтобы установить OpenSSL:

# yum install openssl -y

Введите следующую команду, чтобы создать SSL сертификат для TLS:

# mkdir -p /etc/ssl/private/
# openssl req -x509 -nodes -days 7300 -newkey rsa:2048 -keyout /etc/ssl/private/pure-ftpd.pem -out /etc/ssl/private/pure-ftpd.pem
# chmod 600 /etc/ssl/private/pure-ftpd.pem

Включение TLS в Pure-FTPd

Для того чтобы включить TLS в Pure-FTPd, откройте /etc/pure-ftpd/pure-ftpd.conf и найти раздел, начиная с «TLS»

# vim /etc/pure-ftpd/pure-ftpd.conf

Параметр / вставить число в файле конфигурации TLS имеет следующий эффект.
* 0 отключить SSL / TLS шифрования (по умолчанию).
* 1 делает TLS опцию для пользователей.
* 2 Принужденно дает всем пользователям использовать TLS и отказываются соединения, которые не используют механизмы безопасности SSL / TLS

Для того чтобы включить TLS в Pure-FTPd и заставить всех пользователей использовать TLS, добавьте эту строку в файл конфигурации:
TLS                      2

Наконец, перезагрузите Pure-FTPd

# /etc/init.d/pure-ftpd restart

Тема «Как установить Pure-FTPd С SSL / TLS На CentOS 6» подошла к завершению, надеюсь что все понятно расписано.

Как установить Pure-FTPd на CentOS 6 через Yum

Pure-FTPd является свободным (BSD), безопасным, производство-качественным и совместимым FTP сервером. Он не обеспечивает бесполезные навороты, но основное внимание уделяется эффективности и простоте использования. Он обеспечивает простые ответы на общие нужды, плюс уникальные полезных функций для пользователей персональных компьютерам, а также хостинг-провайдеров. В этой статье я покажу вам, Как установить Pure-FTPd на CentOS 6 с помощью команды yum.

Установите дополнительные репозитории

Первый шаг требует загрузки некоторые RPM файлов, содержащие дополнительные определения репозитория YUM. Нужно подключить репозиторий EPEL.

Установка Pure-FTPd на Centos 6

Чтобы установить pure-ftpd, выполните следующую команду:

# yum install pure-ftpd -y

yum install pure-ftpd -y

Настройка сервера Pure-FTPd

Введите следующую команду для редактирования файла конфигурации Pure-FTPd:

# vim /etc/pure-ftpd/pure-ftpd.conf

Убедитесь, что вы включили данные опции:

# If you want simple Unix (/etc/passwd) authentication, uncomment this (Если вы хотите простой Unix (/etc/passwd) аутентификации, раскомментируйте эту строку)
UnixAuthentication            yes

Для обеспечения Pure-FTPd, убедитесь, что следующие строки есть у Вас:

# Кейдж у каждого пользователя в его домашней директории
ChrootEveryone              yes

# Если вы хотите войти все команды клиента, установите на «да».
# Эта директива может дублироваться также log ответы сервера.
VerboseLog                  yes

# Запретить анонимные соединения. Только позвольте авторизованным пользователям.
NoAnonymous                 yes

Введите следующие две команды, чтобы включить Pure-FTPd:

# chkconfig pure-ftpd on
# service pure-ftpd start

Открыть порты 21 и 20 в Iptables

Использование FTP-сервер и порт 21 и 20 (порт 21 для командной порт и порт 20 для данных). Чтобы открыть два порта 20 & 21 на Iptables давайте сделаем шаг за шагом.

Первый, введите следующую команду, чтобы загрузить два IPTABLES модуля

# modprobe ip_conntrack
# modprobe ip_conntrack_ftp

Введите следующие команды, чтобы добавить IPTABLES правила входящего запроса на порт 20 и 21

# iptables -A INPUT -p tcp -m tcp --dport 20 -j ACCEPT
# iptables -A INPUT -p tcp -m tcp --dport 21 -j ACCEPT

На этом тема «Как установить Pure-FTPd на CentOS 6 с помощью команды Yum» подошла к завершению. Если не получится установить и настроить, то пишите мне и я Вам помогу.

Установка vsftpd на CentOS

Vsftpd (‘Very Secure FTP Daemon’ — Очень безопасный FTP-демон) -это FTP-сервер для UNIX-подобных систем, в том числе CentOS / RHEL / Fedora и других дистрибутивов Linux. Он поддерживает IPv6, SSL, блокировку пользователей к своим домашним каталогам и много других дополнительных функций. В своей теме «Установка vsftpd на CentOS»  я расажу как можно установить vsftpd на CentOS в подробных примерах.

Шаг 1 — Установка Vsftpd

Вы можете быстро установить Vsftpd на свою VPS для этого в командной строке выполнить команду:

# yum install vsftpd

Нам также необходимо установить клиент FTP:

# yum install ftp

Как только файлы закончат загружаться, после чего Vsftpd будет на вашей VPS.

Шаг 2 — Настройка VSFTP

После установки VSFTP, вы можете настроить конфигурацию. Я, создам резервную копию стандартного конфигурационного файла ( всякий случай):

# cp /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf.bk

Откройте файл конфигурации:

# vim /etc/vsftpd/vsftpd.conf

Одно основное изменение, которое вы должны сделать это изменить вход для ананимуса (мне это не нужно):

[...]
anonymous_enable=NO
[...]

До этого изменения , в Vsftpd было разрешено анонимные входы на фтп сервер и неизвестные пользователи могли получать доступ к файлам нашей VPS. После этого, раскомментируйте local_enable вариант, измените его на «да».

[...]
local_enable = YES
[...]

Это даст доступ локальным пользователям к ФТП.

Далее раскомментировав команду chroot_local_user. Когда эта строка имеет значение»YES» , все локальные пользователи будут заключены в   так званые тюрьмы в пределах их возможностей и будет отказано в доступе к любой другой части сервера. Предоставляем chroot для всех пользователей:

[...]
chroot_local_user = YES
[...]

Далее, дим пользователям FTP права на запись:

[...]
write_enable=YES
[...]

Это даст пользователям FTP права на запись, так же, по необходимости отключаем 20 порт — уменьшит привилегии VSftpd:

[...]
connect_from_port_20=NO
[...]

Установим маску 022, чтобы быть уверенными в том, что для всех файлов (644) и папок (755) которые мы закачиваем, устанавливаются соответствующие права

[...]
local_umask=022 
[...]

Конфигурационный файл я настроил, но нужно еще добавить пользователя (ей). Сейчас я это сделаю и покажу что и как.

Дополнительные настройки для конфигурации vsftpd

allow_anon_ssl NO
Параметр YES дает возможность подключаться через SSL-соединение всем анонимным пользователям.

anon_mkdir_write_enable NO
Параметр YES дает возможность создавать каталоги анонимными пользователями (при определённых условиях), но для этого нужно будет включить опцию «write_enable»кто му же, должны присутствовать права на запись  анонимными пользователями для родительского каталога.

anon_other_write_enable NO
Параметр YES дает возможность для анонимных пользователях выполнять не только операции закачки файлов, создания папок, но и удалять  и переименовывать их.

anon_upload_enable NO
Параметр YES дает возможность для  анонимных пользователях выполнять закачку файлов на сервер ( нужно включить опцию «write_enable»,кто му же, должны присутствовать права на запись  анонимными пользователями в папке закачки). Эта опция также должен быть включена для того, чтобы виртуальные пользователи смогли закачать свои файлы, т.к по умолчанию, все виртуальные юзеры считаются анонимными.

anon_world_readable_only YES
Параметр YES нужен для того чтобы анонимные пользователи могли скачать только файлы, которые доступные на чтение всем ( владельцем которых является пользователь ftp).

anonymous_enable YES
Параметр YES дает возможность подключения анонимных пользователей к серверу с именами ftp и anonymous.

ascii_download_enable NO
Параметр YES дает возможность выбрать для скачивания файлов режим ASCII

ascii_upload_enable NO
Параметр YES дает возможность выбрать для закачивания файлов режим ASCII

async_abor_enable NO
Параметр YES дает возможность использования специальной команды FTP, известной как «async ABOR».

background YES
Параметр YES включает работу vsftpd в фоновом режиме.

check_shell YES
Внимание! Данный параметр работает только для vsftpd, собранного без «PAM»! Если опция стоит в — NO, то vsftpd не проверяет наличие shell локального пользователя в /etc/shells. Обычно же, если shell пользователя не найден в /etc/shells, то в доступе по FTP этому пользователю будет отказано!

chmod_enable YES
Параметр YES дает возможность локальному пользователю (ям) использовать команду «SITE CHMOD». Анонимные пользователи НИКОГДА не могут использовать данную команду!

chown_uploads NO
Параметр YES приводит к тому, что для всех файлов, которые закачивают анонимные пользователи, владелец будет изменён на пользователя, указанного в опцие «chown_user-name».

chroot_list_enable NO
Параметр «YES» дает возможность создавать список локальных пользователей, для которых после входа будет выполнен «chroot()» в их домашний каталог. Если опция  «chroot_local_user» установлена в «YES», то всё работает с точностью до наоборот: для локальных юзеров в предоставляемом списке НЕ БУДЕТ выполняться «chroot()». По умолчанию, список юзеров содержится в файле /etc/vsftpd/chroot_list, вы можете задать  и любое другое имя файла с помощью опции «chroot_list_file».

chroot_local_user NO
Параметр YES приводит к тому, что после входа, для локальных пользователей будет выполнен chroot() в их домашний каталог. Внимание! Данная опция может нанести ущерб безопасности, особенно в случае, когда юзере могут закачивать файлы или имеют shell доступ. Включайте его только если понимаете, что делаете!

connect_from_port_20 NO
Опция установленная в  YES дает возможность использовать порт 20 (ftp-data) на сервере для передачи данных, по соображениям безопасности, некоторые клиенты могут требовать такого поведения от сервера. Наоборот, выключение данной опции, позволяет запускать vsftpd с меньшими превилегиями.

debug_ssl NO
Опция установленная в YES приводит к протоколированию работы подключений по SSL. (Добавлено в 2.0.6)

deny_email_enable NO
Параметр YES позволяет предоставить список паролей в стиле E-mail адресов для анонимных пользователей (для которых доступ будет запрещён). По умолчанию, список содержится в файле /etc/vsftpd/banned_emails, но можно задать другой файл с помощью опции «banned_email_file».

dirlist_enable YES
Опция установленая в NO запрещает доступ на выполнение команд для просмотра содержимого папок.

dirmessage_enable NO
Параметр YES дает возможность показывать сообщения пользователям, которые первый раз заходят в какой-либо каталог. По умолчанию, сообщения находятся в файлах .message, но можно указать другой файл с помощью опции «message_file».

download_enable YES
Параметр NO запрещает выполнять скачивание файлов.

dual_log_enable NO
Параметр YES включает параллельную генерацию двух журналов /var/log/xferlog и /var/log/vsftpd.log. Первый имеет стиль wu-ftpd, второй — vsftpd.

force_dot_files NO
Параметр YES дает возможность показа файлов и каталогов, имя которых начинается с точки. Исключения составляют имена «.» и «..»

force_anon_data_ssl NO
Работает только если включеа опция «ssl_enable». Параметр YES принудительно переключает соединения всех анонимных пользователей в режим SSL при скачивании и закачивании файлов.

force_anon_logins_ssl NO
Работает только если включена опция «ssl_enable». Параметр YES принудительно переключает соединения всех анонимных пользователей при отправке пароля.

force_local_data_ssl YES
Работает только если включена опция «ssl_enable». Параметр YES принудительно переключает соединения всех НЕ-анонимных пользователей в режим SSL при скачивании и закачивании файлов.

force_local_logins_ssl YES
Работает только если включен параметр «ssl_enable». Параметр YES принудительно переключает соединения всех НЕ-анонимных пользователей в режим SSL при отправке пароля.

guest_enable NO
Параметр YES говорит о том, что все анонимные соединения должны рассматриваться как «гостевые». Гостевой вход будет переназначен на пользователя, который задан параметром «guest_username».

hide_ids NO
Параметр YES приводит к тому, что при показе для всех файлов и каталогов, группа и владелец всегда будут «ftp».

listen YES
Параметр YES приводит к запуску vsftpd в режиме «демона». Это означает, что vsftpd не может быть запущен из inetd. Вместо этого, vsftpd запускается напрямую один раз и далее сам будет обслуживать входящие соединения.

listen_ipv6 NO
Тоже что и для параметра listen, только vsftpd будет обслуживать IPv6, а не только IPv4. Этот параметр и параметр listen являются взаимоисключающими.

local_enable NO
Параметр YES позволяет входить по FTP локальным пользователям (из /etc/passwd или авторизуемых через PAM). Данный параметр должен быть включен, если вы хотите организовать работу НЕ-анонимных пользователей, включая и виртуальных.

lock_upload_files YES
Параметр YES включает блокировку на запись для всех закачиваемых файлов. Все скачиваемые файлы имеют разделяемую блокировку на чтение. Внимание! Перед тем как включить этот параметр помните, что злонамеренное чтение может привести к тому, что пользователи, закачивающие файлы не смогут их дозаписать.

log_ftp_protocol NO
Параметр YES приводит к протоколированию всех запросов и ответов протокола FTP, а также в выключению параметра xferlog_std_format.

ls_recurse_enable NO
Если опция установлена в YES, то она включает использоваение «ls -R». Это создаёт значительный риск безопасности, потому что выполнение «ls -R» для каталога верхнего уровня, который содежит множество подкаталогов и файлов, может привести к очень большому потреблению ресурсов.

mdtm_write YES
Если опция установлена в YES, то он включает MDTM установку времени изменения файлов (полезно для проверки доступа)

no_anon_password NO
Если опция установлена в YES, то vstpd не спрашивает пароля у анонимных пользователей.

no_log_lock NO
Параметр YES говорит vsftpd не выполнять блокировку при записи в файлы журналов. Обычно данный параметр выключен. В Solaris в связке с файловой системой Veritas иногда появляется ошибка, выражающаяся в зависании при попытке установить блокировку на файлы журналов.

one_process_model NO
Для ядер 2.4 поддерживается другая модель безопасности: один процесс на одно соединение. Такая модель менее безопасна, но более производительна. Не включайте, если не понимаете что делаете и если вашему серверу не нужна поддержка огромного количества отдельных соединений.

passwd_chroot_enable NO
Если опция установлена в YES, дает возможность совместно сchroot_local_user, включает chroot() отдельно для каждого пользователя, исходя из данных о его домашнем каталоге, взятых из /etc/passwd. При этом, значение «/./» в строке, задающей домашний каталог, означает отдельное местоположение в пути.

pasv_addr_resolve NO
Если опция установлена в YES, то дает возможность использовать имя (вместо IP адреса) в pasv_addres

pasv_enable YES
Если опция установлена в NO, то она запрещает метод PASV в полученном соединении для приёма/передачи данных.

pasv_promiscuous NO
Если опция установлена в YES, то она запрещает проверку безопасности, назначение которой убедиться, что соединение на приём/передачу данных осуществляется с того же IP-адреса, что и управляющее соединение. Включайте только если понимаете, что вы делаете! Такое необходимо только в некоторых случаях при организации безопасных туннелей или поддержке FXP.

port_enable YES
Если опция установлена в NO, то она запрещает метод PORT в полученном соединении для приёма/передачи данных.

port_promiscuous NO
Если опция установлена в YES, то она запретит проверку безопастности PORT, назначение которой убедиться, что исходяще соединение подключено именно к клиенту. Включайте только если понимаете, что делаете!

require_cert NO
Параметр YES требует от всех SSL клиентов наличия клиентского сертификата. Уменьшение подлинности, применимое к этому сертификату, управляется параметром validate_cert (добавлен в 2.0.6).

run_as_launching_user NO
Установите YES, если вы хотите запускать vsftpd от пользователя, который собственно и производит запуск. Обычно это нужно в тех случаях, когда доступ от пользователя root недоступен. СЕРЬЁЗНЕЙШЕЕ ЗАМЕЧАНИЕ! НЕ включайте этот параметр пока вы полностью не осознаете то, что вы делаете, так как использование этого параметра может создать серьёзную проблему с безопасностью. Особенно важно, чтобы vsftpd не мог использовать / в качестве корневого каталога, а также используйте chroot для ограничения доступа к файлам, когда включен данный параметр (даже если vsftpd запущен от root). Менее подходящим решением может быть использование deny_file с такими аргментами как {/*,*..*}, но надёжность такого решения не может сравниться с chroot, так что сильно на это не полагайтесь. При использовании этого параметра, вводятся ограничения на другие опции. Например не ждите, что будут работать опции требущие привелегий, такие как неанонимные входы, закачка файлов с изменением владельца, соединение по 20 порту и подключение по портам меньше, чем 1024, а также и другие подобные.

secure_email_list_enable NO
Установите YES, если вы хотите, чтобы для анонимных входов, в качестве паролей, использовался только указанный вами список E-mail адресов. Это полезно для некоторого ограничения доступа к содержимому сервера, без создания виртуальных пользователей. Анонимным пользователям будет отказано во входе, если пароль, который они указали не будет в списке, который находится в файл email_password_file. Формат файла: один пароль на строку без дополнительных пробелов. Местоположение файла по умолчанию: /etc/vsftpd/email_passwords

session_support NO
сли опция установлена в YES, vsftpd будет пытаться вести сессии. При этом он будет пытаться обновлять wtmp и utmp. Если для авторизации используется PAM, то vsftpd также будет пытаться открывать pam_session при входе и закрывать его только при выходе пользователя. Если вам не нужно протоколирование сессий, вы можете запретить это, а также вы можете указать vsftpd запускать меньше процессов и/или с меньшими привелегиями. Модификация wtmp и utmp работает только, если vsftpd собран с поддержкой PAM.

setproctitle_enable NO
сли опция установлена в YES, то vsftpd будет пытаться показывать информацию о состояние сессий в списке процессов. Другими словами, показываемое имя процесса будет изменено, чтобы отражать состояние сессии vsftpd (idle, downloading и т.д.) Из соображений безопасности, возможно вам лучше оставить этот параметр выключенным.

ssl_enable NO
сли опция установлена в YES и vsftpd был собран с библиотекой openSSL, то vsftpd будет обслуживать безопасные соединения через SSL. Это относится как к управляющим соединениям, так и к соединениям передающим данные. Также необходимо, чтобы и клиент поддерживал SSL соединения. Используйте этот параметр с осторожностью, потому что vsftpd целиком полагается на библиотеку openSSL в плане безопаснотсти SSL соединений и не может гарантировать, что эта библиотека свободна от ошибок.

ssl_request_cert YES
Если опция установлена в YES, то vsftpd запрашивает (но не делает из этого необходимости) у клиента сертификат.

ssl_sslv2 NO
Применяется только если включена опция  ssl_enable.В случае если установлена опция в YES, допускаются соединения про протоколу SSL v2. Предпочтительными являются соединения по протоколу TLS V1.

ssl_sslv3 NO
Применяется только если включена опция ssl_enable.В случае если установлена опция в YES, допускаются соединения про протоколу SSL v3. Предпочтительными являются соединения по протоколу TLS V1.

ssl_tlsv1 YES
Применяется только если включена опция ssl_enable. В случае если установлена опция в YES, то допускаются соединения про протоколу TLS V1. Предпочтительными являются соединения по протоколу TLS V1.

Добавления пользователей.

Создам нового пользователя, с именем  ‘ftpuser’ и назначим ему домашнюю директорию ‘/home/ftpuser’ :

# useradd -d '/home/ftpuser' -s /sbin/nologin ftpuser

Добавим пароль для созданного пользователя :

# passwd ftpuser

Создадим домашнюю директорию для данного юзера, (если еще не добавили) :

# mkdir -p /home/ftpuser

Чтобы пользователь ftpuser мог читать и писать данные в его домашней папке, изменяем права доступа и владельца :

# chown -R ftpuser '/home/ftpuser'
# chmod 775 '/home/ftpuser'

Создам  группу ‘ftpusers’ для FTP пользователей, и добавляем в нее ‘ftpuser’ :

# groupadd ftpusers
# usermod -G ftpusers ftpuser

Правила для IPtables.

Если Вы используете IPTABLES, необходимо создать соответствующее правило для VSftpd :

# vim /etc/sysconfig/iptables

Добавьте следующую строку, перед REJECT строкой, для открытия 21 порта :

-A INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT

Сохраняем и закрываем файл, а так же ерезапустите фаервол:

# service iptables restart

Перезагрузим Vsftpd :

# service vsftpd restart

Добавим Vsftpd в автозагрузку для этого выполним:

# chkconfig vsftpd on

или

# chkconfig --levels 235 vsftpd on

Проверить уровни запуска можно вот так:

# chkconfig --list vsftpd

Должны получить что-то типа этого:

vsftpd 0:выкл 1:выкл 2:вкл 3:вкл 4:вкл 5:вкл 6:выкл

Посмотреть что сервер работает нормально, можно выполнив команду:

# ps -aux | grep vsftpd

Шаг 3 — Перейти на FTP-сервер

После того, как вы установили FTP -сервер и настроили его по своему вкусу , вы можете получить к нему доступ . Вы можете войти на FTP сервер через браузер , набрав доменное имя в адресной строке и войти в систему с соответствующим ID.
ftp://linux-notes.org/
Кроме того, вы можете добраться до FTP -сервера с помощью командной строки , набрав:

# FTP linux-notes.org

Установка vsftpd на CentOS завершена. Основная суть понятна, детали (если вдруг не понятны) спрашивайте у меня. могу помочь.