加密ssl vsftp、ftp隐式加密&显式加密_如果你真的想做一件事，你一定会找到方法； 如果你不想做一件事，你一定会找到借口。
& u0 z5 Y$ g# r! X9 {1 X! x2 x1 E' ~- {6 I% {- X
FTP over SSL (Implicit)隐式ssl与FTP over SSL (Explicit)显式ssl：
! j* Z( Z' N- Z% h" [8 T' ovsftp默认启动时用的是显式ssl，也可以配置启用隐式ssl，对应端口21(可修改成990)# `7 }) O# f9 U& d& ]
- 显式ssl： 在与ftp服务器建立连接后，ftp客户端要以命令（"AUTH SSL" 或者 "AUTH TLS"）显式地告诉服务器端来初始化相应的安全连接。此时使用的是默认的ftp端口21。参考文档：RFC 2228
- 隐式ssl：当ftp客户端连接到服务器端时，服务器端自动建立安全连接。此时，客户端默认以990端口来安全连接服务器端，而服务器端端口可设置。9 @2 `( ^/ U: ^7 [) F
0 o+ B. r+ k/ g+ f6 J
ssl加密的vsftp(vsftp with OpenSSL)
$ Q( f4 O" H9 w! n- a. ftp默认的传输数据是明文，弄个抓包软件就可以通过数据包来分析到账号和密码，为了搭建一个安全性比较高ftp，可以结合SSL来解决问题
- b. 检查vsftp是否支持SSL：从2.0.0版本开始，vsftpd支持命令连接和数据连接的加密传输。vsftpd服务器版本查看：rpm -qa vsftpd 输出：vsftpd-2.2.2-11.el6.i686
- c. 检查vsftp是否支持SSL：ldd /usr/sbin/vsftpd | grep libssl，如果输出类似与libssl.so.10 => /usr/lib/libssl.so.10 (0x00dfb000)，那么支持。如果不支持，那么重新编译vsftp，然后再重新安装
- d. 用openssl生成vsftpd的证书：openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/vsftpd/vsftpd.pem -out /etc/vsftpd/vsftpd.pem
- e. 修改vsftpd.conf，设置强制启用ssl9 [" k A" U- v" c ~0 J
ssl_enable=YES
% ~& O* a( ]: y& T Z4 @allow_anon_ssl=NO
6 K% g6 {5 u$ Y. zforce_local_data_ssl=YES1 j0 P. q& x- L) I5 H
force_local_logins_ssl=YES8 Q4 V, k6 R6 Y$ G4 [3 U4 F
ssl_tlsv1=YES
5 g! e! B, B& n# D6 P4 Kssl_sslv2=NO
" o y( o0 w+ B( l' I) sssl_sslv3=NO
+ w3 V) R! |9 ]: C* Brsa_cert_file=/etc/vsftpd/vsftpd.pem
1 q$ j4 C' R) M9 T+ g' }! K# d3 zssl_ciphers=HIGH - f. 默认不启用隐式ssl功能，相应的服务器端隐式ssl默认端口是21（很多客户端隐式ssl连接时，设置的默认端口为990，因此如果服务器的不自定义成和客户端一致的话，会导致连接失败！）。如果启用了隐式ssl，那么ftp客户端也必须以隐式ssl的方式连接到21/990端口，ftp客户端的不加密连接、显式ssl连接都会超时。所以不建议开启该设置！% g7 t$ S7 V N
6 i& L. Y* B0 ]- {
! A; V1 M0 Y7 ^// ssl设置
0 s3 r6 ^) V! r% j5 e" Fssl_enable=YES* a$ N, h& t) R# _$ k6 E
allow_anon_ssl=NO1 ] z- Q0 I0 s
force_local_data_ssl=YES
' o5 M, Z4 q7 x1 G3 nforce_local_logins_ssl=YES
6 [1 G: \# k3 `ssl_tlsv1=YES" @+ k9 G: r S
ssl_sslv2=NO
7 F& J: E* u' n' }ssl_sslv3=NO
3 B5 r# \0 l1 A$ Q) O' x: Irsa_cert_file=/etc/vsftpd/vsftpd.pem
. L, D* }0 G) B* u W4 B3 V2 B1 tssl_ciphers=HIGH" N* }- E; T. f0 [! \$ t
1 X" r; l9 U* D2 x
#implicit_ssl=no // 是否启用隐式ssl功能，不建议开启
/ Y4 F: z0 n7 E0 ?6 p#listen_port=990 // 隐式ftp端口设置，如果不设置，默认还是21，但是2 }+ f/ V$ ~$ X- k% O5 U0 b
当客户端以隐式ssl连接时，默认会使用990端口，导致连接失败！！
3 w' k! _: c4 |3 e: a, t#debug_ssl=YES // 输出ssl相关的日志信息
3 ^! q! ], ~: i" v# o
# L' M$ R5 A V4 K4 q3 F1 ]5 p! Z1 }) X
|
|手机版|小黑屋|赛格电脑 华强北 电脑城 南山赛格 龙岗电子世界 龙华电脑城 沙井电脑城 松岗电脑城 pc4g.com
( 粤ICP备16039863号 )
发表于 2022-5-24 22:51:27