一、什么是 Linux FTP 服务虚拟用户
在 Linux 系统里，FTP（文件传输协议）服务是用来传输文件的。平常我们使用 FTP 时，可能会用系统用户来登录。但虚拟用户就不一样啦，它不是系统里真正的用户，只是为了使用 FTP 服务而创建的。打个比方，一家公司有很多部门需要使用 FTP 服务来共享文件，如果用系统用户，管理起来会很麻烦，而且不安全。这时候，虚拟用户就派上用场了，我们可以根据不同部门的需求，创建不同的虚拟用户，给他们分配不同的权限。
二、PAM 认证简介
PAM（可插拔认证模块）就像是一个关卡，负责验证用户的身份。当用户想要登录 FTP 服务时，PAM 会检查用户输入的用户名和密码是否正确。它很灵活，可以根据不同的需求进行配置。比如说，我们可以配置 PAM 让它从不同的数据源（像文件或者数据库）获取用户信息来进行验证。
三、创建虚拟账户
3.1 安装必要的软件
首先，我们要安装 vsftpd 这个 FTP 服务软件。在 CentOS 系统中，可以使用下面的命令来安装：
# 技术栈：Shell
# 安装 vsftpd 服务
yum install vsftpd -y
这个命令的意思就是通过 yum 包管理器来安装 vsftpd，-y 表示自动确认安装，不用我们手动去确认。
3.2 创建虚拟用户文件
接下来，我们要创建一个文件来存储虚拟用户的信息。这个文件就像是一个小账本，记录着每个虚拟用户的用户名和密码。
# 技术栈：Shell
# 创建虚拟用户文件
vim /etc/vsftpd/virtusers
在这个文件里，我们按照一行用户名、一行密码的格式来写，比如：
user1
password1
user2
password2
3.3 生成数据库文件
我们不能直接使用刚才创建的文本文件来进行验证，需要把它转换成数据库文件。
# 技术栈：Shell
# 生成数据库文件
db_load -T -t hash -f /etc/vsftpd/virtusers /etc/vsftpd/virtusers.db
这里的 db_load 命令就是用来生成数据库文件的，-T 表示转换，-t hash 表示使用哈希算法，-f 后面跟着的是源文件，最后面是生成的数据库文件。
3.4 创建 PAM 配置文件
现在要创建一个 PAM 配置文件，告诉 PAM 从哪里获取用户信息来进行验证。
# 技术栈：Shell
# 创建 PAM 配置文件
vim /etc/pam.d/vsftpd.vu
在这个文件里，写入下面的内容：
auth required pam_userdb.so db=/etc/vsftpd/virtusers
account required pam_userdb.so db=/etc/vsftpd/virtusers
这两行的意思就是，认证和账户管理都要使用 pam_userdb.so 这个模块，并且从 /etc/vsftpd/virtusers 这个数据库文件里获取用户信息。
3.5 创建虚拟用户映射的系统用户
虚拟用户本身没有实际的系统权限，我们要创建一个系统用户，让虚拟用户映射到这个系统用户上。
# 技术栈：Shell
# 创建系统用户
useradd -d /var/ftp/virtual -s /sbin/nologin virtual
这里创建了一个名为 virtual 的系统用户，-d 后面指定了用户的家目录，-s 后面指定了用户的登录 shell，/sbin/nologin 表示这个用户不能登录系统。
四、权限分配
4.1 配置 vsftpd 主配置文件
我们要对 vsftpd 的主配置文件进行修改，来实现权限分配。
# 技术栈：Shell
# 编辑 vsftpd 主配置文件
vim /etc/vsftpd/vsftpd.conf
在文件里添加或者修改下面的内容：
# 启用虚拟用户
guest_enable=YES
# 指定虚拟用户映射的系统用户
guest_username=virtual
# 启用 PAM 认证
pam_service_name=vsftpd.vu
# 允许用户上传文件
write_enable=YES
# 限制用户只能访问自己的家目录
chroot_local_user=YES
这里的 guest_enable=YES 表示启用虚拟用户，guest_username=virtual 表示虚拟用户映射到 virtual 这个系统用户，pam_service_name=vsftpd.vu 表示使用我们刚才创建的 PAM 配置文件，write_enable=YES 表示允许用户上传文件，chroot_local_user=YES 表示限制用户只能访问自己的家目录。
4.2 为不同用户分配不同权限
我们可以通过创建不同的配置文件来为不同的用户分配不同的权限。比如，为 user1 创建一个配置文件：
# 技术栈：Shell
# 创建用户配置文件
vim /etc/vsftpd/user_conf/user1
在这个文件里写入：
# 允许用户上传文件
write_enable=YES
# 限制用户只能访问自己的家目录
chroot_local_user=YES
这样，user1 就有了上传文件的权限，并且只能访问自己的家目录。
五、安全加固
5.1 限制访问 IP
我们可以限制只有特定的 IP 地址才能访问 FTP 服务。在 vsftpd.conf 里添加下面的内容：
# 只允许 192.168.1.0/24 网段的 IP 访问
tcp_wrappers=YES
vsftpd:192.168.1.0/24
这里的 tcp_wrappers=YES 表示启用 TCP 包装器，vsftpd:192.168.1.0/24 表示只允许 192.168.1.0/24 网段的 IP 访问。
5.2 加密传输
为了保证数据传输的安全，我们可以使用 SSL/TLS 加密。首先，生成 SSL 证书：
# 技术栈：Shell
# 生成 SSL 证书
openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem
然后，在 vsftpd.conf 里添加下面的内容：
# 启用 SSL
ssl_enable=YES
# 指定 SSL 证书文件
rsa_cert_file=/etc/ssl/private/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.pem
这样，FTP 服务就会使用 SSL/TLS 加密来传输数据。
六、应用场景
6.1 企业文件共享
企业内部不同部门之间需要共享文件，使用虚拟用户可以根据不同部门的需求分配不同的权限，保证文件的安全。比如，研发部门的用户可以上传和下载代码文件，而市场部门的用户只能下载市场资料。
6.2 个人网站文件管理
个人网站开发者可以使用 FTP 服务来上传和管理网站文件。通过创建虚拟用户，可以给不同的开发者分配不同的权限，避免误操作。
七、技术优缺点
7.1 优点
- 安全性高：虚拟用户不是系统用户，即使密码泄露，也不会对系统造成太大的影响。
- 管理方便：可以根据不同的需求创建不同的虚拟用户，并且方便地分配权限。
- 灵活性强：可以通过 PAM 认证模块灵活地配置认证方式。
7.2 缺点
- 配置复杂：需要对 vsftpd、PAM 等进行配置，对于新手来说可能有一定的难度。
- 性能有一定影响：使用虚拟用户和 PAM 认证会增加一定的系统开销。
八、注意事项
8.1 文件权限
要确保虚拟用户文件、数据库文件、PAM 配置文件等的权限设置正确，避免出现权限问题。
8.2 防火墙设置
要确保防火墙允许 FTP 服务的端口（默认是 21）通过，否则用户无法访问 FTP 服务。
8.3 证书有效期
SSL 证书有有效期，要及时更新证书，避免证书过期导致加密传输失败。
九、文章总结
通过本文，我们学习了如何在 Linux 系统中配置 FTP 服务的虚拟用户，基于 PAM 认证来创建虚拟账户，并且进行权限分配和安全加固。虚拟用户可以提高 FTP 服务的安全性和管理效率，适用于企业文件共享、个人网站文件管理等场景。在配置过程中，我们要注意文件权限、防火墙设置、证书有效期等问题。同时，我们也了解了这种技术的优缺点，在实际应用中要根据具体情况进行选择。
评论