16.2. FTP

要在当前会话中启动 vsftpd 服务，以 root 用户身份在 shell 提示符后输入以下内容：

~]# systemctl start vsftpd.service

要在当前会话中停止该服务，以 root 用户身份输入 ：

~]# systemctl stop vsftpd.service

要重启 vsftpd 服务，以 root 用户身份运行以下命令：

~]# systemctl restart vsftpd.service

此命令将停止并立即启动 vsftpd 服务，这是编辑此 FTP 服务器的配置文件后使配置更改生效的最有效方式。另外，您可以使用以下命令仅在 vsftpd 服务已在运行时重启它：

~]# systemctl try-restart vsftpd.service

默认情况下，vsftpd 服务在引导时 不 自动启动。要将 vsftpd 服务配置为在引导时启动，以 root 用户身份在 shell 提示符后输入以下内容：

~]# systemctl enable vsftpd.service
Created symlink from /etc/systemd/system/multi-user.target.wants/vsftpd.service to /usr/lib/systemd/system/vsftpd.service.

有关如何在 Red Hat Enterprise Linux 7 中管理系统服务的详情请参考 第 10 章 使用 systemd 管理服务。

有时，一台计算机用于为多个 FTP 域提供服务。这是一款叫做多选的技术。使用 vsftpd 进行多主页的一种方法是运行 守护进程的多个副本，每个副本都有自己的 配置文件。

要做到这一点，首先将所有相关 IP 地址 分配给系统上的网络设备或别名网络设备。有关配置网络设备、设备别名和有关网络配置脚本的其他信息的详情，请参考 Red Hat Enterprise Linux 7 网络指南。

接下来，必须将 FTP 域的 DNS 服务器配置为引用正确的计算机。有关 BIND、Red Hat Enterprise Linux 中使用的 DNS 协议实施及其配置文件的详情，请查看 Red Hat Enterprise Linux 7 网络指南。

要让 vsftpd 应答不同 IP 地址 上的请求，必须正在运行 守护进程的多个副本。为了协助启动 vsftpd 守护进程的多个实例，vsftp 软件包中提供了一个特殊的 systemd 服务单元( vsftpd @.service)，用于将 vsftpd 启动为实例化服务。

要使用此服务单元，必须为 FTP 服务器的每个必需实例创建单独的 vsftpd 配置文件，并将其放置在 /etc/vsftpd/ 目录中。请注意，每个配置文件都必须具有唯一名称（如 /etc/vsftpd/vsftpd-site-2.conf），并且必须仅可由 root 用户读取和写入。

在侦听 IPv4 网络的每个 FTP 服务器的每个配置文件中，以下指令必须是唯一的：

listen_address=N.N.N.N

使用所提供服务的 FTP 站点 的唯一 IP 地址 替换 N.N.N.N。如果站点使用 IPv6，则改为使用 listen_address6 指令。

旦 /etc/vsftpd/ 目录中存在多个配置文件，即可以 root 用户身份执行以下命令来启动 vsftpd 守护进程的各个实例：

~]# systemctl start vsftpd@configuration-file-name.service

在以上命令中，将 configuration-file-name 替换为所请求服务器配置文件的唯一名称，如 vsftpd-site-2。请注意，命令中不应包含配置文件的 .conf 扩展名。

如果要一次启动多个 vsftpd 守护进程实例，您可以使用 systemd 目标单元文件(vsftpd.target)，该文件在 vsftpd 软件包中提供。此 systemd 目标会使 /etc/vsftpd/ 目录中的每个可用的 vsftpd 配置文件启动独立的 vsftpd 守护进程。以 root 用户身份执行以下命令以启用目标：

~]# systemctl enable vsftpd.target
Created symlink from /etc/systemd/system/multi-user.target.wants/vsftpd.target to /usr/lib/systemd/system/vsftpd.target.

以上命令将 systemd 服务管理器配置为在启动时启动 vsftpd 服务（以及配置的 vsftpd 服务器实例）。要在不重启系统的情况下立即启动该服务，以 root 用户身份执行以下命令：

~]# systemctl start vsftpd.target

有关如何使用 systemd 目标管理服务的更多信息，请参阅 第 10.3 节 “使用 systemd 目标”。

要考虑逐个服务器进行更改的其他指令有：

为了消除默认在不加密的情况下传输用户名、密码和数据的 FTP 本质上不安全的性质，可以将 vsftpd 守护进程配置为使用 TLS 协议来验证连接并加密所有传输。请注意，支持 TLS 的 FTP 客户端需要与启用 TLS 的 vsftpd 通信。

将 vsftpd.conf 文件中的 ssl_enable 配置指令设置为 YES 以启用 TLS 支持。启用 ssl_enable 选项时自动激活的其他 TLS相关指令的默认设置提供了配置合理的、配置良好的 TLS 设置。此外，这包括要求仅将 TLS v1 协议用于所有连接（默认禁用使用不安全 SSL 协议版本）或强制所有非匿名登录以使用 TLS 发送密码和数据传输。

ssl_enable=YES
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO

~]# systemctl restart vsftpd.service

有关由 vsftpd 调整 TLS的使用，请参阅 vsftpd.conf(5)手册页以了解其他与 TLS 相关的配置指令 。

SELinux 策略管理 vsftpd 后台程序（以及其他 ftpd 进程 ），定义了强制访问控制，默认情况下，它基于最少所需的访问权限。要允许 FTP 守护进程访问特定文件或目录，需要为其分配适当的标签。

例如，为了能够以匿名方式共享文件，必须将 public_content_t 标签分配给要共享的文件和目录。您可以使用 chcon 命令作为 root 用户 完成此操作：

~]# chcon -R -t public_content_t /path/to/directory

在以上命令中，将 /path/to/directory 替换为您要为其分配该标签的目录的路径。同样，如果要设置用于上传文件的目录，则需要为特定目录分配 public_content_rw_t 标签。此外，allow _ftpd_anon_write SELinux 布尔值选项必须设置为 1。以 root 用户身份使用 setsebool 命令进行此操作：

~]# setsebool -P allow_ftpd_anon_write=1

如果您希望本地用户能够通过 FTP 访问其主目录（这是 Red Hat Enterprise Linux 7 中的默认设置），则需要将 ftp_home_dir 布尔值选项设置为 1。如果允许 vsftpd 以单机模式运行（Red Hat Enterprise Linux 7 上默认启用），则还需要将 ftpd_is_daemon 选项设置为 1。

有关如何配置与 FTP 相关的 SELinux 策略的更多信息，请参阅 ftpd_selinux(8)手册页，包括其他有用的标签和布尔值选项示例。另外，请参阅 Red Hat Enterprise Linux 7 SELinux 用户和管理员指南中有关 SELinux 的详情。