21.1 FTP服务器原理
使用明码传输方式,且有相当多的安全危机历史。因此一般使用功能较少的vsftpd这个软件。
21.1.1 FTP功能简介
有以下功能
- 文档传输与管理
- 不同等级的用户身份:user,guest,anonymous
- 命令记录与登录文件记录
- 限制用户活动的目录:(change root,简称 chroot)
- 即将登录用户的家目录变成根目录
21.1.2 FTP的运作流程与使用用的端口号
FTP的传输使用的是TCP封包协议。
FTP服务器使用了两个联机,分别是:
- 命令信道
- 数据流通道(ftp-data)
两个联机通道的关系是怎么样的?以FTP预设的主动式(active)联机来做说明:
主动指的是FTP服务器主动联机客户端,作为数据通道;
- 建立命令通道的联机
- 客户端会随机取一个大于 1024 以上的端口 (port AA) 来与 FTP服务器端的 port 21 达成联机, 这个过程当然TCP三次握手了!
- 达成联机后客户端便可以透过这个联机来对 FTP 服务器下达指令, 包括查询文件名、下载、上传等指令
- 通知 FTP 服务器端,使用 active 且告知连接的端口号
- 客户端在需要数据的情况下,会告知服务器端要用什么方式来联机,如果是主动式 (active) 联机时, 客户端会先随机启用一个端口号 (图21.1-1 当中的 port BB) ,且透过命令通道告知 FTP 服务器这两个信息,并等待 FTP 服务器的联机;
- FTP 服务器『主动』向客户端联机
- FTP 服务器由命令通道了解客户端的需求后,会主动的由 20 这个端口号向客户端的 port BB 联机, 这个联机当然也会经过TCP三次握手!此时 FTP 的客户端与服务器端共会建立两条联机,分别用在命令的下达与数据的传递。 而预设 FTP服务器端使用的主动联机端口号就是 port 20 !
如此一来则成功的建立起『命令』与『数据传输』两个信道!不过,要注意的是,数据传输信道是在有数据传输的行为时才会建立的通道喔!并不是一开始连接到FTP 服务器就立刻建立的通道
由上可见,主动式联机使用到的端口号:
- 命令通道的 ftp (默认为 port 21)
- 数据传输的 ftp-data (默认为 port 20)
在主动联机的 FTP 服务器与客户端之间具有防火墙的联机问题
一般来说,很多的局域网络都会使用防火墙(iptables) 的 NAT 功能,那么在 NAT 后端的 FTP 用户如何连接到 FTP 服务器呢?
服务器主动连到 NAT 等待转递至客户端的联机问题:
由于透过 NAT 的转换后, FTP 服务器只能得知 NAT 的 IP 而不是客户端的IP , 因此 FTP 服务器会以 port 20 主动的向 NAT 的 port BB 发送主动联机的要求。 但你的 NAT 并没有启动 port BB 来监听 FTP 服务器的联机啊!
解决办法:
- 使用iptables所提供的FTP侦测模块
- ip_conntrack_ftp 及 ip_nat_ftp 等模块主动的分析『目标是 port 21 的联机』信息,得到port BB 的资料,
- 此时若接受到 FTP 服务器的主动联机,就能够将该封包导向正确的后端主机了。
- 客户端选择被动式(Passive)联机模式
- 主动式,是指 服务器主动联机客户端。那被动式,就是客户端联机服务器。这里都是指的数据传输联机。
21.1.3 客户端选择被动式联机模式
- 用户与服务器建立命令信道
- 客户端发出 PASV 的联机要求
- 发出联机要求,病等待服务器的回应
- FTP 服务器启动数据端口口,并通知客户端联机
- 这个端口号码不是主动式的port 20 ,而是随机的。
- 告知客户端这个 port PASV;
- 客户端随机取用大于 1024 的端口号进行连接
21.1.4 FTP的安全性问题与替代方案
ssh,提供较为安全的sftp-server。在上面传输的数据是经过加密的。
21.1.5 开放什么身份的使用者登入
- 开放实体用户的情况 (Real user)
- 系统默认并没有针对实体用户来进行『限制』的,所以他可以针对整个文件系统进行任何他所具有权限的工作。
- 限制用户能力: chroot 与 /sbin/nologin 等
- 访客身份(Guest)
- 访客身份的限制
- 上传下载档案数目与磁盘容量限制,联机时间,可用指令。
- 如chmod等就不要允许使用
- 匿名登录使用者(anonymous)
- 几乎不要给指令
- 限制文件传输的数量,尽量不给上传数据的权限
- 限制匿名者同时登录的最大联机数量。
时间: 2024-10-24 06:50:23