FreeBSD6.2 FTP服务器架设详细教程

FTP协议有一个颇具特色的特点：它在工作时需要建立两条独立的连接——一条用于传输控制指令，另一条用于传输实际数据。当你使用FTP客户端连接到服务器时，首先会连接到服务器的21号端口，建立一条“控制连接”。随后，你输入的账号、密码以及各种命令，还有服务器返回的响应，都通过这条控制连接进行传输。但是当你要真正下载一个文件，或者执行ls命令列出目录内容时，这些数据就会走另一条“数据连接”。数据连接的流量通常远大于控制连接，而控制连接只负责传输指令和简单的确认信息。

一个完整的FTP连接建立过程大致如下：

• 客户端在自己的机器上随机开启一个大于1024的端口，连接到服务器的21号端口，建立控制连接。
• 客户端告知服务器：“我准备好了，数据连接要用哪个端口？”
• 服务器从自己的20号端口主动连接到客户端刚才开放的端口，建立数据连接。

这种由服务器主动发起数据连接的方式，称为主动模式。在没有任何防火墙或NAT的环境下，主动模式运行非常顺畅。但问题在于——如果客户端存在防火墙，主动模式就可能受阻。需要注意的是，FreeBSD自带的NAT会自动处理这种转换，但其他防火墙不一定支持FTP的主动模式，很容易导致连接失败。

要解决这个麻烦，可以在连接时改用被动模式。被动模式的做法正好相反：由服务器打开一个端口，被动等待客户端来连接，从而建立数据连接。具体过程如下：

• 客户端依然先开启一个大于1024的端口，连接到服务器的21号端口，建立控制连接。
• 客户端告知服务器：“我要进入被动模式。”
• 服务器打开一个大于1024的端口，然后等待客户端来连接。
• 客户端在自己的机器上再开启一个大于1024的端口，主动连接到服务器刚才打开的那个端口，建立数据连接。

因为控制连接和数据连接都是由客户端主动发起，防火墙和NAT就不会再干扰了。如果你登录一台FTP服务器后输入ls却等了很久没有反应，不妨按Ctrl+C中断命令，然后输入passive进入被动模式，再试一次ls。如果能正常列出目录，那么问题多半是主动模式引起的。

设定FTP服务器

FreeBSD系统内建了FTP服务器功能，使用的是ftpd，无需额外安装，只需做好配置即可使用。

启动FTP服务器

启动ftpd有两种方式：一种是用standalone daemon直接运行，另一种是通过inetd来托管。许多系统服务（如telnet、ssh、ftp）都倾向于使用inetd启动，其好处是可以统一管理，并且能在此基础上添加访问规则，比如屏蔽某些IP来源。但inetd也有缺点——每次有连接请求时，inetd需要根据请求类型去执行对应的程序，所以响应速度会稍慢。如果运行的是专门的FTP服务器，采用standalone方式更合适：直接将FTP daemon启动，有新连接时由它自行fork出新进程处理，速度更快。

使用inetd启动：

编辑/etc/inetd.conf，找到ftp相关配置，将行首的#去掉：

ftp     stream  tcp     nowait  root    /usr/libexec/ftpd      ftpd -l
ftp     stream  tcp6    nowait  root    /usr/libexec/ftpd      ftpd -l

修改完成后让inetd重新加载配置：

kill -1 `cat /var/run/inetd.pid`

现在FTP服务就可以使用了。

使用standalone方式启动：

首先确认inetd.conf中没有启用FTP服务。然后新建一个启动脚本/usr/local/etc/rc.d/ftpd.sh，内容如下：

#!/bin/sh
ftpd_program="/usr/libexec/ftpd"
ftpd_flags="-D -l"
case $1 in
start)
    echo "Starting FTPD"
    $ftpd_program $ftpd_flags
    ;;
stop)
    echo "Stopping FTPD"
    killall ftpd
    ;;
restart)
    $0 stop
    sleep 1
    $0 start
    ;;
esac

编辑完成后，给脚本添加执行权限：

chmod 755 /usr/local/etc/rc.d/ftpd.sh

然后就可以通过这个脚本来启动或停止FTP服务了：

/usr/local/etc/rc.d/ftpd.sh start   # 启动
/usr/local/etc/rc.d/ftpd.sh stop    # 停止

编辑欢迎信息

连接FTP站点时，通常会看到两段欢迎信息：一段是登录前的，开头带有220-，称为欢迎信息；另一段是登录后的，开头带有230-，称为当日信息。这两段都可以自定义。

登录前的欢迎信息存放在/etc/ftpwelcome，你只需将想要显示的内容写进去即可，不需要自己添加220之类的代码，服务器会自动添加。登录后的信息存放在/etc/ftpmotd，直接编辑即可。

FTP服务器管理

启动FTP服务器时可以附加一些参数来调整行为，比如修改默认端口、记录上传下载日志等。有些参数只能在standalone模式下使用，有些在inetd模式下也能生效。下面是一些常用参数：

在inetd模式下，修改/etc/inetd.conf中ftp那一行的最后，加上参数即可，例如：

ftp  stream  tcp     nowait  root  /usr/libexec/ftpd    ftpd -l -l -d
ftp  stream  tcp6    nowait  root  /usr/libexec/ftpd    ftpd -l -l -d

如果是standalone方式，修改/usr/local/etc/rc.d/ftpd.sh中的ftpd_flags变量即可。

FTP权限控制

默认情况下，FTP启动后用户可以在权限允许的范围内上传、下载文件，并进入系统中的任意目录（如果目录权限允许）。我们可以通过一些规则来限制特定账号的登录：

• 如果/var/run/nologin存在，则所有账号都不能登录——这个文件可以用来临时暂停FTP服务。
• 用户必须有密码才能登录，没有密码的账号无法登录。
• 用户名不能出现在/etc/ftpusers中。
• 用户所属的群组不能出现在/etc/ftpusers中（群组名前加@）。
• 用户使用的shell必须是合法的shell（定义在/etc/shells中）。
• 除非是匿名模式，否则用户名不能是ftp或anonymous。

关于/etc/ftpusers： 这个文件列出了禁止使用FTP的用户和群组。默认已经包含了一些系统账号，你可以自行添加或删除。

关于/etc/hosts.allow（仅inetd模式有效）： 所有由inetd托管的服务都可以通过TCP Wrapper来控制连接来源。例如，限制某些IP或网域不能使用FTP：

ftpd : localhost : allow
ftpd : 210.122.13.5 : deny
ftpd : .evil.cracker : deny
ftpd : ALL : allow

如果只想允许特定来源访问，可以这样设置：

ftpd : localhost : allow
ftpd : 192.168.0. : allow
ftpd : my.friend.com : allow
ftpd : ALL : deny

上传和下载权限控制： 可以在启动参数中加入以下参数进行限制：

使用chroot限制用户目录： 默认情况下用户登录后会进入自己的家目录，但可以切换到其他系统目录。如果想要用户只能在自己的家目录中活动，可以使用chroot功能。所谓chroot，就是把某个目录变成用户看到的根目录。比如让用户alex登录后，将/home/alex作为根目录，那么他执行cd /还是会停留在/home/alex，执行pwd也会显示/。这样可以防止用户到处乱跑，大幅提升安全性。

配置chroot很简单，编辑/etc/ftpchroot即可。下面是一个例子：

alex
@guest
john /var/ftp
@other /var/ftp

第一行表示用户alex登录后以自己家目录为根目录；第二行的@guest表示群组guest下的所有用户都以自己家目录为根目录；第三、四行分别指定用户john和群组other以/var/ftp为根目录。建议在开放FTP服务时，将每个用户都添加到/etc/ftpchroot中。

匿名FTP： 在FreeBSD的FTP服务器上，你可以使用anonymous或ftp这两个用户名登录，密码任意。这就是匿名FTP。这两个账号会映射到系统内的真实用户ftp。要启用匿名FTP，需要先创建这个系统账号：

pw adduser ftp
mkdir /home/ftp
chown ftp:ftp /home/ftp

使用pw命令创建的用户，/etc/master.passwd中的密码字段默认是*，表示不能用于登录系统——这个账号除了匿名FTP外，不能用于telnet、SSH等其他服务。创建完成后，匿名FTP就生效了。匿名用户登录后会自动被chroot到其家目录中。

针对匿名用户，还有几个额外的启动参数可以进一步限制：

此外，前面提到的-r、-o等通用参数也同样适用于匿名用户。匿名FTP一旦开放，任何人都能登录，如果没有做好权限控制，安全风险会很高，需要谨慎对待。

以上介绍的是FreeBSD系统自带的ftpd的配置方法。如果希望搭建功能更强大的FTP服务器，可以考虑使用proftpd等工具，在FreeBSD的ports中（/usr/ports/ftp）就能找到。