一、实现基于MYSQL验证的vsftpd虚拟用户访问
主机：两台，一台为FTP服务器，一台为MySQL服务器
1、配置MySQL服务，并创建相应库与表，并创建授权用户
[root@mysql ~]# yum install -y mariadb-server #安装数据库服务
[root@mysql ~]# systemctl start mariadb
[root@mysql ~]# mysql
Welcome to the MariaDB monitor. Commands end with ; or \g.
Your MariaDB connection id is 2
Server version: 5.5.60-MariaDB MariaDB Server
Copyright (c) 2000, 2018, Oracle, MariaDB Corporation Ab and others.
Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.
MariaDB [(none)]> create database vsftpd; #创建库
Query OK, 1 row affected (0.00 sec)
MariaDB [(none)]> use vsftpd;
MariaDB [vsftpd]> CREATE TABLE users ( #创建用户表，用于保存用户信息
-> id INT AUTO_INCREMENT NOT NULL PRIMARY KEY,
-> name CHAR(50) BINARY NOT NULL,
-> password CHAR(48) BINARY NOT NULL);
Query OK, 0 rows affected (0.02 sec)
MariaDB [vsftpd]> insert into users (name,password) value('ftpuser1',password('centos')); #添加FTP用户
Query OK, 1 row affected (0.00 sec)
MariaDB [vsftpd]> insert into users (name,password) value('ftpuser2',password('linux')); #添加FTP用户
Query OK, 1 row affected (0.01 sec)
MariaDB [vsftpd]> grant select on vsftpd.* to vsftpd@'192.168.27.%' identified by 'centos'; #创建授权用户
Query OK, 0 rows affected (0.00 sec)
2、在FTP服务器上安装FTP服务，并编译安装pam_mysql模块
[root@ftpserver ~]# yum install -y vsftpd #安装FTP服务
[root@ftpserver ~]# ll pam_mysql-0.7RC1.tar.gz #准备pam_mysql安装包
-rw-r--r-- 1 root root 335240 Jan 9 2006 pam_mysql-0.7RC1.tar.gz
[root@ftpserver ~]# tar -xf pam_mysql-0.7RC1.tar.gz
[root@ftpserver ~]# cd pam_mysql-0.7RC1/
[root@ftpserver ~]# yum install -y gcc gcc-c++ pam-devel mariadb-devel #先安装相关依赖包
[root@ftpserver pam_mysql-0.7RC1]# ./configure --with-pam-mods-dir=/lib64/security/ #编译安装pam_mysql模块
[root@ftpserver pam_mysql-0.7RC1]# make && make install
3、创建pam认证文件
[root@ftpserver ~]# vim /etc/pam.d/vsftpd.mysql
auth required pam_mysql.so user=vsftpd passwd=centos host=192.168.27.37 db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2
account required pam_mysql.so user=vsftpd passwd=centos host=192.168.27.37 db=vsftpd table=users usercolumn=name passwdcolumn=password crypt=2
4、创建FTP虚拟用户与共享目录，并修改 /etc/vsftpd/vsftpd.conf
[root@ftpserver ~]# useradd -d /data/ftproot -s /sbin/nologin vuser #创建虚拟用户
[root@ftpserver ~]# chmod 555 /data/ftproot #设置FTP目录权限
[root@ftpserver ~]# mkdir /data/ftproot/upload #创建FTP上传目录
[root@ftpserver ~]# setfacl -m u:vuser:rwx /data/ftproot/upload #设置上传目录权限
[root@ftpserver ~]# vim /etc/vsftpd/vsftpd.conf
pam_service_name=vsftpd.mysql #修改此项
#添加以下三项
guest_enable=YES
guest_username=vuser
user_config_dir=/etc/vsftpd/vusers.d/ #独立用户配置目录
5、启动FTP服务，用数据库中的用户测试
[root@ftpserver ftproot]# systemctl start vsftpd
[root@ftpserver ftproot]# ftp 192.168.27.27
Connected to 192.168.27.27 (192.168.27.27).
(vsFTPd 3.0.2)
Name (192.168.27.27:root): ftpuser1
Please specify the password.
Password:
Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
Entering Passive Mode (192,168,27,27,164,138).
Here comes the directory listing.
drwxrwxr-x 2 0 0 6 Mar 09 08:57 upload
Directory send OK
二、通过NFS实现服务器/www共享访问
主机：两台，一台为NFS服务器，一台为客户端
1、配置NFS服务器
[root@NFSserver ~]# mkdir /www #新建挂载目录
[root@NFSserver ~]# vim /etc/exports
/www 192.168.27.0/24(rw,root_squash) #配置挂载目录
[root@NFSserver ~]# systemctl start nfs-server #启动NFS服务
[root@NFSserver ~]# exportfs -v #查看本机的NFS共享
/www 192.168.27.0/24(sync,wdelay,hide,no_subtree_check,sec=sys,rw,secure,root_squash,no_all_squash)
[root@NFSserver ~]# touch /www/f1.txt #创建一个文件
2、客户端挂载NFS目录
[root@Client ~]# showmount -e 192.168.27.27 #查看主机的共享信息
Export list for 192.168.27.27:
/www 192.168.27.0/24
#开始手动挂载
[root@Client ~]# mount -o rw,nosuid,fg,hard,intr 192.168.27.27:/www /data/
[root@Client ~]# cd /data
[root@Client data]# ls -l #可以挂载中的文件
total 0
-rw-r--r-- 1 root root 0 Mar 9 17:48 f1.txt
#如要实现开机挂载，则在 /etc/fstab 文件中添加一行
192.168.27.27:/www /data nfs defaults 0 0
三、配置samba共享，实现/www目录共享
主机：一台服务器端(192.168.27.27)，一台客户端(192.168.27.37);软件：samba (服务器端)，cifs-utils (客户端)，光盘yum源
1、服务器端安装安装samba包
[root@server ~]# yum install -y samba
2、创建samba用户和组，并创建samba共享目录
[root@server ~]# groupadd -r smbgroup #新建smbgroup组
[root@server ~]# useradd -s /sbin/nologin -G smbgroup smbuser1 #新建smbuser1用户，并加入smbgroup组中
[root@server ~]# id smbuser1
uid=1001(smbuser1) gid=1001(smbuser1) groups=1001(smbuser1),981(smbgroup)
[root@server ~]# smbpasswd -a smbuser1 #添加samba用户
New SMB password: #密码 centos
Retype new SMB password:
Added user smbuser1.
[root@server ~]# useradd -s /sbin/nologin smbuser2
[root@server ~]# smbpasswd -a smbuser2
New SMB password: #密码 linux
Retype new SMB password:
Added user smbuser2.
[root@server ~]# mkdir /www #新建共享目录
[root@server ~]# chgrp smbgroup /www #修改目录所属组
[root@server ~]# chmod 2775 /www
[root@server ~]# ls -ld /www
drwxr-xr-x 2 root smbgroup 6 Mar 9 19:05 /www
3、修改samba配置文件 /etc/samba/smb.conf
[root@server ~]# vim /etc/samba/smb.conf
#在结尾处添加以下自定义设置
[smbshare]
path = /www
writeable = no
write list = @smbgroup #writeable = no时只有smbgroup组的用户才有写权限
4、启动samba服务
[root@server ~]# systemctl start smb nmb
5、 客户端安装cifs-utils包，并挂载
[root@client ~]# yum install -y cifs-utils
[root@client ~]# mkdir /data/smbuser1 #创建挂载目录
[root@client ~]# mkdir /data/smbuser2 #创建挂载目录
#手动挂载，smbuser1 用户
[root@client ~]# mount -o username=smbuser1,password=centos //192.168.27.27/smbshare /data/smbuser1
#手动挂载，smbuser2 用户，使用隐藏密码的方式
[root@client ~]# mount -o username=smbuser2 //192.168.27.27/smbshare /data/smbuser2
Password for smbuser2@//192.168.2.27/smbshare: *****
6、在客户端上测试，根据上面配置，smbuser1是有写权限的，smbuser2没有写权限
[root@client ~]# cd /data/smbuser1
[root@client smbuser1]# touch f1.txt #smbuser1可以新建文件
[root@client smbuser1]# cd /data/smbuser2
[root@client smbuser2]# touch f2.txt #smbuser2不可以新建文件
touch: cannot touch ‘f2.txt’: Permission denied
四、使用rsync+inotify实现/www目录实时同步
主机：一台服务器端(192.168.27.27)，一台客户端(192.168.27.37)
1、服务器端安装inotify-tools软件包(epel源)和 rsync包(光盘yum源)
[root@server ~]# yum install -y inotify-tools rsync
2、服务器端生成验证文件
[root@server ~]# echo "rsyncuser:centos" > /etc/rsync.pass
[root@server ~]# chmod 600 /etc/rsync.pass
3.、服务器端准备要备份的目录
[root@server ~]# mkdir /data
4、 服务器端修改rsync的配置文件
[root@server ~]# vim /etc/rsyncd.conf
uid = root
gid = root
use chroot = no
max connections = 0
ignore errors
exclude = lost+found/
log file = /var/log/rsyncd.log
pid file = /var/run/rsyncd.pid
lock file = /var/run/rsyncd.lock
reverse lookup = no
hosts allow = 192.168.27.0/24
[backup]
path = /data/
comment = backup
read only = no
auth users = rsyncuser
secrets file = /etc/rsync.pass
5、服务器端启动rsync服务
[root@server ~]# systemctl start rsyncd
6、客户端配置密码文件
[root@client ~]# echo "centos" > /etc/rsync.pass
[root@client ~]# chmod 600 /etc/rsync.pass
7、客户端测试同步数据 rsync -avz --password-file=/etc/rsync.pass /data/ rsyncuser@rsync服务器IP::/data
[root@client ~]# cd /data
[root@client data]# touch f1.txt #在客户端目录新建一个文件
[root@client data]# ll
total 0
-rw-r--r-- 1 root root 0 Mar 9 20:03 f1.txt
[root@server ~]# ll /data/ #此时服务器端备份目录还没有文件
total 0
[root@client data]# rsync -avz --password-file=/etc/rsync.pass /data/ [email protected]::backup #使用rsync进行同步
sending incremental file list
./
f1.txt
sent 104 bytes received 38 bytes 284.00 bytes/sec
total size is 0 speedup is 0.00
#返回服务器端查看
[root@server ~]# ll /data/ #文件已同步过来
total 0
-rw-r--r-- 1 root root 0 Mar 9 20:03 f1.txt
8、上面的同步是一次性的，要实现实时同步，可用脚本实现，后台运行即可，脚本如下
[root@client ~]# cat inotify_rsync.sh
#!/bin/bash
SRC='/data/' #本地文件夹
DEST='[email protected]::backup' # rsyncuser@rsync服务器IP::backup'
LOG='/var/log/changelist.log' #日志输出
inotifywait -mrq --timefmt '%Y-%m-%d %H:%M' --format '%T %w %f' -e create,delete,moved_to,close_write,attrib ${SRC} | while read DATE TIME DIR FILE;do
FILEPATH=${DIR}${FILE}
rsync -az --delete --password-file=/etc/rsync.pass $SRC $DEST && echo "At ${TIME} on ${DATE}, file $FILEPATH was backuped up via rsync" >> ${LOG}
done
五、使用iptable实现：放行telnet，ftp，web服务，放行samba服务，其他端口服务全部拒绝
[root@server ~]# iptables -A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
[root@server ~]# iptables -A OUTPUT -p tcp -m state --state NEW,ESTABLISHED -j ACCEPT
[root@server ~]# iptables -A INPUT -p tcp -m multiport --dports 20:23,80,139,445 -m state --state NEW -j ACCEPT
[root@server ~]# iptables -A INPUT -p udp -m multiport --dports 137,138 -m state --state NEW -j ACCEPT
[root@server ~]# iptables -A INPUT -j DROP
[root@server ~]# iptables -A OUTPUT -j DROP
[root@server ~]# iptables -vnL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
63260 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 20:23,80,139,445 state NEW
702 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 137,138 state NEW
7085 DROP all -- * * 0.0.0.0/0 0.0.0.0/0
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
36508 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 state NEW,ESTABLISHED
0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0
