[教學]關於FTP全部設定 
WU-FTP 
$$問題： 
??Readme 的作用 
A 提示用戶readme文件已經更新 

??如何限制來自同一地址的登陸個數 
A host-limit 

??upload 對每一個目錄都要設置嗎 
A不用，只需要對需要上傳的目錄操作。默認不允許上傳 

??匿名登陸的目錄在哪里 
A /var/ftp 

??是不是在guestgroup中指明的用戶才是guest 
A 是 

??chroot運用 
A 

???什?在登陸後ls不會列出目錄dir會？ 
A 用戶端版本問題 

$$環境： 
Redhat Linux 7.2 
Kernel 2.4.7-10 
wu-ftp-2.6.1-18 

$$命令： 
rpm -qa |grep wu-ftp 察看是否安裝了WU-FTP 
rpm -ql wu-ftpd-2.6.1-18 察看安裝了哪些WU-FTP相關文件 
/usr/sbin/ckconfig 檢查FTP伺服器的設置是否正確 
/usr/bin/ftpcount 顯示目前在線人數 
/usr/bin/ftpwho 查看目前FTP伺服器的連接情況 
/usr/sbin/ftprestart 用於重?FTP伺服器程式 
/usr/sbin/ftpshut 用於生成關閉FTP伺服器程式的文件 
/usr/sbin/in.ftpd FTP伺服器程式 
/usr/sbin/in.wuftpd --&gt;in.ftpd 
/usr/sbin/privatepw 
/usr/sbin/wu.ftpd --&gt;in.ftpd 
/usr/sbin/xferstats xferlogs分析工具 

$ckconfig 
檢查FTP伺服器的設置是否正確 
[root@localhost /]# ckconfig 
Checking _PATH_FTPUSERS :: /etc/ftpusers 
ok. 

Checking _PATH_FTPSERVERS :: /etc/ftpservers 
I can't find it... look in doc/examples for an example. 

Checking _PATH_FTPACCESS :: /etc/ftpaccess 
ok. 

Checking _PATH_PIDNAMES :: /var/run/ftp.pids-%s 
ok. 

Checking _PATH_CVT :: /etc/ftpconversions 
ok. 

Checking _PATH_XFERLOG :: /var/log/xferlog 
ok. 

Checking _PATH_PRIVATE :: /etc/ftpgroups 
ok. 

Checking _PATH_FTPHOSTS :: /etc/ftphosts 
ok. 


$ftpcount 
我們可以使用ftpcount命令十分清楚地統計出當前連接到FTP伺服器上的用戶數目，並且同時列出上限。命令輸出如下所示： 
[root@localhost /]# ftpcount 
Service class all - 1 users (no maximum) 
Service class local - 0 Users (20maximum) 
Service class remote - 5 Users (100maximum) 

$ftpwho 
我們可以使用ftpwho命令十分清楚地列出當前連接的用戶的詳細情況。 
[root@localhost /]# ftpwho 
Service class all: 
1874 ? SN 0:00 ftpd: 192.168.0.1: anonymous/: IDLE 
- 1 users (no maximum) 

$ftpshut 
我們可以使用ftpshut命令生成一個在/etc/ftpaccess中設置的shut.msg文件，用於關機設定。ftpshut命令的格式?： 

$ftpshut &lt;-l min&gt; &lt;-d min&gt; time &lt;說明&gt; 

-l 這個參數設定在關閉FTP伺服器功能前多少分鐘時停止用戶的連接； 默認10 
-d 這個參數設定在關閉FTP伺服器功能前多少分鐘時切斷用戶連接； 默認5 
time 指定關閉FTP伺服器的時間。例如6：20分則寫?0620； 

伺服器端 
[root@localhost /]# ftpshut 1005 
[root@localhost /]# less /etc/shutmsg 
2002 05 30 10 05 0010 0005 #2002年6月30號10點05分關閉，提前10分鐘拒絕連接，提前5分鐘切斷連接 

已經登陸的用戶： 
ftp&gt; ls 
200 PORT command successful. 
550-System shutdown at Sun Jun 30 10:05:00 2002 
ftp&gt; ls 
200 PORT command successful. 
221 Server shutting down. Goodbye. 

試圖登陸的用戶： 
E:\&gt;ftp 192.168.0.2 
Connected to 192.168.0.2. 
500 localhost.localdomain FTP server shut down -- please try again later. 
Connection closed by remote host. 

$ftprestart 
用於重?FTP伺服器程式 
[root@localhost /]# ftprestart 
ftprestart: /var/ftp/etc/shutmsg does not exist. 
ftprestart: /etc/shutmsg does not exist. 

[root@localhost /]# ftprestart 
ftprestart: /var/ftp/etc/shutmsg removed. 
ftprestart: /etc/shutmsg removed. 

$in.ftpd 
in.ftpd 使用的參數， 
-d 當FTP伺服器出錯時，將錯誤入系統的syslog中； 
-l 將每次FTP用戶端進行連接的入系統的syslog中； 
-t 設置FTP用戶端連接幾分鐘無操作就切斷連接； 
-a 使wu-ftp使用/etc/ftpaccess的設定； 
-A 使wu-ftp不使用/etc/ftpaccess的設定； 
-L 將FTP用戶端連線後所執行的程式記錄在系統的syslog中； 
-I 將FTP用戶端上載文件的日誌記錄在/usr/adm.xferlog文件中； 
-o 將FTP用戶端下載文件的日誌記錄在/usr/adm/xferlog文件中。 
通過對以上參數的理解，我們建議，在/etc/xinetd.d/wu-ftpd 中使用如下配置 

# default: on 
# description: The wu-ftpd FTP server serves FTP connections. It uses \ 
# normal, unencrypted usernames and passwords for authentication. 
service ftp 
{ 
disable = no 
socket_type = stream 
wait = no 
user = root 
server = /usr/sbin/in.ftpd 
server_args = -l -a 
log_on_success += DURATION USERID 
log_on_failure += USERID 
nice = 10 
} 


$$配置文件： 
/etc/ftpaccess (主要配置文件，控制存取許可權) 
/etc/ftpconvertions (配置文件壓縮/解壓縮轉換) 
/etc/ftpgroups (設定ftp自己定義的群組) 
/etc/ftphosts (設定個別的用戶許可權) 
/etc/ftpservers (設定不同IP/Domain Name以對應到不同的虛擬主機) 
/etc/ftpusers (設定哪些帳號不能用ftp連線) 
/etc/logrotate.d/ftpd 
/etc/pam.d/ftp ?? 
/etc/xinetd.d/wu-ftpd ?動腳本 
/var/ftp 匿名登陸的根目錄 

!!系統安裝了wu-ftp後，會建立一個特殊的用戶ftp，並在/var目錄下建立了一個ftp目錄，當用戶以匿名登錄上來時，將會自動定位於這個目錄下。在這個目錄下一般會建立幾個子目錄。 
/bin 存放一些供FTP用戶使用的可執行文件 
/etc 存放一些供FTP用戶使用的配置文件 
/pub 存放供下載的資訊 
/incoming 存放供上載資訊的空間 

!!一般的，對/etc/ftpaccess的配置是直接作用於設置後的下一次FTP服務進程。而其他的則要對xinetd進程重新?動。 

$/etc/ftpaccess 

??autogroup 
格式：autogroup &lt;groupname&gt; &lt;class&gt; [&lt;class&gt; ...] 
功能：自動對應群組，當你定義好的那些同屬於一個class的用戶，一旦連線上來就會被對應到一個相應的群組下面，這樣你就可以用Unix的文件許可權對某一群人做限制。 
實例：autogroup guest any 

class 
格式：class &lt;class&gt; &lt;typelist&gt; &lt;addrglob&gt; [&lt;addrglob&gt; ...] 
功能：由class定義的群組用戶才可以連線進來，可以使用多層式的class來規範哪些群組的用戶能夠從哪些地方上來。 
這裏有三個重要的種類，real、anonymous和guest。 
real如果沒有列在定義中，那?這台機器中任何真實的一般用戶都無法用自己的帳號連上來。 
anonymous如果沒有在定義，就表示不讓沒有帳號的的人連上來。 
如果有定義guest，那?guest群組的人就可以上來。 
另外&lt;用戶地址&gt;是指ftp上來的用戶會用到的IP地址， 可自行設定。 
實例： class all real,guest,anonymous * 
定義了一個名?all的class，包含三種人，所有IP的連線用戶(也就是所有人都包括了)7 

class local real localhost loopback 
local這個class說，只有real的用戶可以從本機機器連上來 

class remote guest,anonymous * 
remote這個class包含了從任何地方上來的guest和anonymous用戶，但是real用戶不可登陸 

class rmtuser real !*.example.com 
rmtuser這個class包含了從外面來的(除了example.com)真實用戶 


!! 在FTP伺服器上的用戶基本上可以分?以下三類： 

real 在該FTP伺服器有合法帳號的用戶； 
Real FTP is when someone logs in with a real username and password and 
has access to the entire disk structure. This form of access can be 
extremely dangerous to system security and should be avoided unless 
absolutely necessary and well controlled. 

guest 有記錄的匿名用戶； 
Guest FTP is a form of real FTP; one logs in with a real user name and 
password, but the user is chroot'ed to his home directory and cannot 
escape from it. This is much safer, and it is a useful way for remote 
clients to maintain their Web accounts. 

anonymous 許可權最低的匿名用戶 
Anonymous FTP is well known; one logs in with the username 'anonymous' 
and an email type password. 


deny 
格式：deny &lt;拒絕連線的地址&gt; &lt;資訊文件&gt; 
功能：拒絕源位址符合的訪問，同時顯示文件的內容。也可以是某一文件，該文件包含了拒絕的ip地址類的定義。 
可以用 !nameserverd來拒絕沒有註冊功能變數名稱的用戶端請求。 
實例： deny 210.62.146.*:255.255.255.254 /etc/reject.msg 

deny !nameserverd /var/ftp/etc/noname.msg 
拒絕沒有註冊功能變數名稱的用戶端請求,並且顯示noname.msg的內容。 

noname.msg內容 
[root@localhost /var/ftp/etc]# cat noname.msg 
You are not allow! 

用戶端顯示： 
E:\&gt;ftp 192.168.0.2 
Connected to 192.168.0.2. 
220 localhost.localdomain FTP server (Version wu-2.6.1-18) ready. 
User (192.168.0.2:(none)): vip 
331 Password required for vip. 
Password: 
530-You are not allow! 
530 Login incorrect. 

!! 資訊文件用的是全路徑 

guestgroup --設定訪客群 
guestuser --設定訪客帳號 
realgroup --設定真實群組 
realuser --設定真實帳號 
格式： guestgroup &lt;groupname&gt; [&lt;groupname&gt; ...] 
guestuser &lt;username&gt; [&lt;username&gt; ...] 
realgroup &lt;groupname&gt; [&lt;groupname&gt; ...] 
realuser &lt;username&gt; [&lt;username&gt; ...] 
功能： guestgroup和guesyuser把非匿名連接視?匿名連接並chroot。 
realgroup和realuser把非匿名連接視?真實用戶連接。 
實例： guestuser * 
realgroup admin 
表示除了admin組以外的任何非匿名連接視?guest用戶連接，admin仍舊視?真實用戶連接。 

!! For guestgroup, if a REAL user is a member of any of &lt;groupname&gt;, the session is set up exactly as with anonymous FTP. In other words, a chroot() is done, and the user is no longer permitted to issue the USER and PASS commands. &lt;groupname&gt; is a valid group from /etc/group (or whatever mechanism your getgrent(3)library routine uses). 
The user's home directory must be properly set up, exactly as anonymous FTP would be. The home directory field of the passwd entry is divided into two directories. The first field is the root directory which will be the argument to the chroot(2) call.The second half is the user's home directory relative to the root directory. The two halves are separated by a "/./". 
For example, in /etc/passwd, the real entry: 
guest1:&lt;passwd&gt;:100:92:Guest Account:/ftp/./incoming:/etc/ftponly 
When guest1 successfully logs in, the ftp server will chroot("/ftp") and then chdir("/incoming"). The guest user will only be able to access the directory structure under /ftp (which will look and act as / to guest1), just as an anonymous FTP user would. 

/etc/passwd文件： 
vip:x:500:500::/home/vip/:/bin/bash 修改?： 
vip:x:500:500::/home/vip/./:/bin/bash 

/etc/ftpaccess文件中添加： 
#guestgroup 
guestgroup vip 

/home/vip文件 
. 
.. 
thisisviproot 
vip 

用戶登陸顯示： 
E:\&gt;ftp 192.168.0.2 
Connected to 192.168.0.2. 
220 localhost.localdomain FTP server (Version wu-2.6.1-18) ready. 
User (192.168.0.2:(none)): vip 
331 Password required for vip. 
Password: 
230 User vip logged in. Access restrictions apply. 
ftp&gt; ls 
200 PORT command successful. 
150 Opening ASCII mode data connection for file list. 
thisisviproot 
vip 
226 Transfer complete. 
ftp: 20 bytes received in 0.01Seconds 2.00Kbytes/sec. 
ftp&gt; pwd 
257 "/" is current directory. 

nice 
格式：nice &lt;nice-delta&gt; [&lt;class&gt;] 
功能：在Linux中，nice的值是-20(最優先)到19(最後處理)，這裏你可以指定負的值來提高某class的優先順序。 
實例： 

!! This default nice value adjustment is used to adjust the nice value of the server process only for those users who do not belong to any class for which a class-specific `nice' directive exists in the ftpaccess file. 

defumask 
格式：defumask &lt;umask&gt; [&lt;class&gt;] 
功能：設定某class的umask 
實例： 

!! umask是建立文件時該文件的的許可權遮罩 

tcpwindow 
格式：tcpwindow &lt;size&gt; [&lt;class&gt;] 
功能：設定tcpwindow的大小 
實例： 

??keepalive 
格式：keepalive &lt;yes|no&gt; 
功能：設定是否使用TCP SO_KEEPALIVE來控制斷線情形 
實例： 

timeout --設定連線超時，用法如下： 
timeout accept 
timeout connect 
timeout data 
timeout idle 
timeout maxidle 
timeout RFC931 
格式： timeout accept &lt;seconds&gt; 
timeout connect &lt;seconds&gt; 
timeout data &lt;seconds&gt; 
timeout idle &lt;seconds&gt; 
timeout maxidle &lt;seconds&gt; 
timeout RFC931 &lt;seconds&gt; 
功能：設置各種超時。 
accept設置ftpd服務等待被動資料通道連接請求的超時。（缺省?120秒） 
connect設置ftpd服務標準資料通道連接請求的超時。（缺省?120秒） 
data設置ftpd服務等待用戶端在資料通道上多長時間沒有動作?超時。（缺省?1200秒） 
idle 設置ftpd服務等待用戶端用戶在命令通道上多長時間沒有動作?超時。（缺省?900秒） 
maxidle 設置用戶可以在用戶端設置的更長的空閒時間的上限。（缺省?10秒） 
RFC931 設置一個RFC931協定會話的最長時間。?零則取消對該協定的支援。 

file-limit 
格式：file-limit [&lt;raw&gt;] &lt;in|out|total&gt; &lt;count&gt; [&lt;class&gt;] 
功能：對某個class限制存取文件的數目，包含了in(上傳)、out(下載)，total. raw代表整個傳輸的結果，不光是資料檔案. 
實例：file-limit out 20 lvfour 
限制lvfour這個class的用戶最多只能下載20個文件 
data-limit --限制某class只能傳幾個位元組，用法跟file-limit相似 

limit-time 
格式：limit-time {*|anonymous|guest} &lt;minutes&gt; 
功能：限制一個連線只能持續多久,?了避免有人挂在站上不下來，可以用這個方法限制用戶的上線時間 
實例：limit-time guest 5 
讓guest帳號的用戶只能用5分鐘 
!! Limit the total time a session can take. By default, there is no limit. 
Real users are never limited. 

用戶端顯示： 
E:\&gt;ftp 192.168.0.2 
Connected to 192.168.0.2. 
220 localhost.localdomain FTP server (Version wu-2.6.1-18) ready. 
User (192.168.0.2:(none)): vip 
331 Password required for vip. 
Password: 
230 User vip logged in. Access restrictions apply. 
ftp&gt; ls 
421 Timeout (900 seconds): closing control connection. 
Connection closed by remote host. 

?? guestserver [&lt;hostname&gt;] 

Controls which hosts may be used for anonymous 
access. If used without &lt;hostname&gt;, denies all 
anonymous access to this site. More than one &lt;host? 
name&gt; may be specified. Anonymous access will only 
be allowed on the named machines. If access is 
denied, the user will be asked to use the first 
&lt;hostname&gt; listed. 

limit 
格式：limit [類別] [人數] [時間] [檔案名] (檔案名用全路徑) 
功能：設定某個class在某一時間區段內最多能夠幾人同時上線，後面是當超過連線數目時要顯示的資訊。 
實例： limit all 32 Any /home/ftp/etc/toomanyuser.msg 
限制所有連線在任何時間只能有32個用戶，超過則拒絕連線並顯示資訊 

limit levellone 5 Any2300-0600 /var/ftp/etc/toomanyuser.msg 
限制levellone這個class的用戶在23:00到6:00這段時間內只能有5人連線 

/etc/ftpaccess內容 
limit all 1 Any /etc/toomanyuser.msg 

/etc/toomanyuser.msg內容 
toomanyuser !try again! 

用戶端顯示： 
Connected to 192.168.0.2. 
220 localhost.localdomain FTP server (Version wu-2.6.1-18) ready. 
User (192.168.0.2:(none)): ftp 
331 Guest login ok, send your complete e-mail address as password. 
Password: 
530-toomanyuser !try again! 
530 Login incorrect. 
Login failed. 

host-limit &lt;class&gt; &lt;n&gt; &lt;times&gt; &lt;message_file&gt; 

Limit &lt;class&gt; to &lt;n&gt; simultaneous connections per 
host IP address at times &lt;times&gt;, displaying &lt;mes 
sage_file&gt; if the user is denied access. Limit check 
is performed at login time only. If multiple "host- 
limit" commands can apply to the current session, the 
first applicable one is used. Failing to define a 
valid limit, or a limit of -1, is equivalent to 
unlimited. &lt;times&gt; is in same format as the times in 
the UUCP L.sys file. 

/etc/ftpaccess內容 
host-limit all 1 Any /etc/toomanyconnact.msg 

/etc/toomanyconnect.msg內容 
toomanyconnect !try again! 

用戶端顯示： 
Connected to 192.168.0.2. 
220 localhost.localdomain FTP server (Version wu-2.6.1-18) ready. 
User (192.168.0.2:(none)): vip 
331 Password required for vip. 
Password: 
530-toomanyconnect ! try again! 
530 Login incorrect. 
Login failed. 
ftp&gt; 


noretrieve 
格式：noretrieve [absolute|relative] ([class=&lt;classname&gt;]|[user=&lt;username&gt;]) ... [-] &lt;filename&gt; &lt;filename&gt;... 
!!absolute或relative指文件是用絕對路徑還是相對路徑 
功能：設定哪些文件不可下載 
實例： noretrieve /etc/passwd core 
不允許下載/etc/passwd core 
noretrieve /etc /home/*/.htaccess 


allow-retrieve 
格式：allow[absolute/relative][class= ]…[-][&lt;檔案名&gt;…] 
功能：設定哪些文件在noretrieve後仍可下載 

loginfails --設置登入錯誤可嘗試的次數 
格式：loginfails [次數] 
功能：當用戶連線時可能打錯ID或密碼，這個設定可以讓他打錯幾次以後就斷線，避免有人用窮舉法猜測密碼。 
實例：loginfails 3： 密碼輸入錯誤三次就切斷連接。 

??private --設定線上是否可以執行SITE GROUP/SITE GPASS 
當開放SITE GROUP與SITE GPASS指令時，可以用這兩個指令切換到/etc/ftpgroup的群組。一般而言我們不會用到這個功能，以避免安全漏洞。 
格式：private [yes/no] 
功能：設定是否支援群組對文件的取用。 
實例：private yes：支援群組對文件的取用。 
private [&lt;yes|no&gt;] 

After user logs in, the SITE GROUP and SITE GPASS 
commands may be used to specify an enhanced access 
group and associated password. If the group name and 
password are valid, the user becomes (via setegid()) 
a member of the group specified in the group access 
file /etc/ftpgroups. 

If no parameter is given, the default is "no" and 
SITE GROUP/GPASS will not be honored. 

The format of the group access file is: 
access_group_name:encrypted_password:real_group_name 
where access_group_name is an arbitrary (alphanumeric 
+ punctuation) string. encrypted_password is the 
password encrypted via crypt(3), exactly like in 
/etc/passwd. real_group_name is the name of a valid 
group listed in /etc/group. 

NOTE: For this option to work for anonymous FTP 
users, the ftp server must keep /etc/group perma 
nently open and the group access file is loaded into 
memory. This means that (1) the ftp server now has 
an additional file descriptor open, and (2) the nec 
essary passwords and access privileges granted to 
users via SITE GROUP will be static for the duration 
of an FTP session. If you have an urgent need to 
change the access groups and/or passwords *NOW*, you 
just kill all of the running FTP servers. 


greeting --顯示Server的版本資訊，用法如下： 
格式： greeting full|brief|terse 
greeting text &lt;message&gt; 

功能： 當用戶登入畫面顯示的server資訊， 
full是預設值，包含版本號以及hostname， 
brief只有hostname， 
terse只有“FTP server ready”的資訊。 
text &lt;message&gt; 顯示自定義的資訊 
實例： greeting text Colormouse's FTP! 
greeting text terse 

signoff full|brief|terse 
signoff text &lt;message&gt; 

Allows you to control how much information is given out when the remote user 
logs out. 'signoff full' is the default and shows the transfer counts (if 
compiled into the daemon), and a thank-you message showing the host name. 
'signoff brief' whose shows only the thank-you message. 'signoff terse' 
simply says "Goodbye." Although full is the default, terse is recommended. 

The 'text' form allows you to specify any signoff message you desire. &lt;mes 
sage&gt; can be any string; whitespace (spaces and tabs) is converted to a sing 
le space. 

stat full|brief|terse 
stat text|brieftext &lt;message&gt; 

Allows you to control how much information is given out when the remote user 
requests the server's status (the STAT command). 'stat full' is the default 
and shows the hostname and daemon version along with transfer counts (if 
compiled in) and quota information (also, if compiled in). quota informa 
tion. 'stat terse' shows only the connection status with no hostname. 
Although full is the default, brief is recommended. 

The 'text' and 'brieftext' forms allows you to specify any text you desire 
to appear where the version information would be displayed. &lt;message&gt; can 
be any string; whitespace (spaces and tabs) is converted to a single space. 


barnner --設定未進入Login畫面之前用戶看到的資訊，用法如下： 
格式：banner &lt;文件路徑&gt; 
功能：這裏?述了在用戶登入時，在還沒打ID/Password之前要出現的資訊。 
文件路徑指的是相對於真實的路徑，而不是相對於ftp的根目錄。 


hostname &lt;some.host.name&gt; 

Defines the default host name of the ftp server. This string will be 
printed on the greeting message and every time the %L magic cookie is used. 
The host name for virtual servers overrides this value. If not specified, 
the default host name for the local machine is used. 

email &lt;name&gt; 

Defines the email address of the ftp archive maintainer. This string will 
be printed every time the %E magic cookie is used. 

message 
格式：message &lt;path&gt; {&lt;when&gt; {&lt;class&gt; ...}} 
這裏的文件的路徑是相對於ftp的根目錄的，“何時”是指當你做了什?動作之後的反應，有幾個選擇： 
login(登入時) 
cwd=&lt;目錄&gt;(進入某目錄時) 
class 名稱是前面已經定義過的，允許你的資訊只對哪些人發出。 
而資訊文件的內容除了文字以外，還可以使用以下一些事先定義好的代號： 
%T(本機時間) 
%F(目前分區所剩餘的空間) 
%C(目前所在的目錄) 
%E(管理者的E-mail) 
%R(用戶端主機名稱) 
%L(本機主機名稱) 
%U(用戶名稱) 
%M(與我相同class用戶允許多少人連線) 
%N(與我相同class用戶目前有多少人連線) 
%B(絕對磁片限制大小，目前分區(單位blocks)) 
%b(preferred磁片限制大小，目前分區(單位blocks)) 
%Q(目前已使用的blocks) 
%I(最大可使用的inodes(+1)) 
%i(Preferred inodes限制) 
%q(目前使用的indoes) 
%H(超量使用磁碟空間的時間限制) 
%h(超量使用文件數目的時間限制) 
ratios: 
%xu Uploaded bytes 
%xd Downloaded bytes 
%xR Upload/Download ratio (1:n) 
%xc Credit bytes 
%xT Time limit (minutes) 
%xE Elapsed time since login (minutes) 
%xL Time left 
%xU Upload limit 
%xD Download limit 

功能：設定資訊文件 
實例：message /etc/ftpd/welcome.msg login：當用戶執行login命令時，也就是登錄到FTP伺服器上的時候，系統將顯示文件/etc/ftpd/welcome.msg的內容。 

!! The message will only be displayed once to avoid annoying the user. Remem 
ber that when MESSAGEs are triggered by an anonymous FTP user, the &lt;path&gt; 
must be relative to the base of the anonymous FTP directory tree. 


??readme --通知用戶哪些README文件已經更新 
readme README* login 
readme README* cwd=* 

log commands --記錄用戶所使用過的命令，用法如下： 
格式：log commands&lt;用戶種類&gt; 
功能：設置哪些用戶登錄後的操作記錄在文件/usr/adm/xferlog中。 
實例：log commands real ：當real用戶登錄後，將他的操作記錄下來。 

log transfers --記錄用戶所傳輸的文件，用法如下： 
格式： log transfers&lt;用戶種類&gt;&lt;傳輸方向&gt; 
功能： 設定有哪些類型的用戶傳輸文件需要記錄，包含了inbound(用戶上傳)和outbound(用戶下載)，例如： 
實例： log transfers anonymous,real inbound,outbound ：對於匿名用戶要更加的關注它們的文件操作，所 以無論上載、下載都進行記錄。 
log transfer real inbound：對於合法用戶則只記錄他的上載記錄。 

log security --記錄安全性，用法如下： 
log security&lt;用戶種類&gt; 
特別用於記錄某類用戶關於noretrive、notar等有關安全性的記錄 

log syslog 
log syslog+xferlog 
Redirects the logging messages for incoming and outgoing transfers to sys 
log. Without this option the messages are written to xferlog. 
syslog+xferlog sends the transfer log messages to both the system log and 
the xferlog. 

??Upload/Download ratios 
In order for any of these commands to work, you must compile WU-FTPD with 
--enable-ratios. 

ul-dl-rate &lt;rate&gt; [&lt;class&gt; ...] 

Specify Upload/Download ratio (1:rate). When ftp user uploaded 1 bytes, 
(s)he can take &lt;rate&gt; bytes. By default, there is no ratio. 

dl-free &lt;filename&gt; [&lt;class&gt; ...] 

The file &lt;filename&gt; can be downloaded freely (=ignoring the ratio) 

dl-free-dir &lt;dirname&gt; [&lt;class&gt; ...] 

All files in the directory &lt;dirname&gt; and its subdirectories can be down 
loaded freely (=ignoring the ratio) Note that both dl-free and dl-free-dir 
are relative to the system's root, not the chroot environment. 


alias --設定目錄別名，用法如下： 
格式：alias [目錄別名] [目錄名] 
功能：給指定目錄設置一個別名，在切換目錄時就可以使用較短的目錄別名。 
實例：alias inc： /incoming：?子目錄incoming設置一個別名inc：。 

cdpath 
功能： 設定cd更換目錄搜索順序 
實例： cdpath /pub/packages 
cdpath /.aliases 

compress,tar --設定是否自動壓縮，用法如下： 
格式: compress &lt;yes|no&gt; [&lt;classglob&gt; ...] 
tar &lt;yes|no&gt; [&lt;classglob&gt; ...] 
功能： 定義哪些人可以執行壓縮以及tar 
實例： compress yes local remote：允許local和remote兩個類別的用戶都能使用 compress(壓縮)功能。 
tar yes local remote：允許local和remote兩類的用戶都能使用tar功能。 

shutdown --通知用戶要關站了 
格式：shutdown &lt;資訊文件&gt; 
功能：如果資訊文件存在的話，當這個文件指定的某時間以後，就會拒絕連線並切斷已有的連線，等時間一到就關機。這個資訊文件的格式如下： 
&lt;年&gt;&lt;月&gt;&lt;日&gt;&lt;時&gt;&lt;分&gt;&lt;拒絕倒數&gt;&lt;斷線倒數&gt;&lt;文字&gt; (月份?0~11) 
實例：shutdown /etc/ftpd/shut.msg 

daemonaddress &lt;address&gt; 

If the value is not set, then the server will listen for connections on 
every IP addresses, otherwise it will only listen on the IP address speci 
fied. 
Use of this clause is discouraged. It was added to support a single site's 
needs. It will completely break virtual hosting and the syntax is likely to 
change in a future version of the daemon. 

logfile &lt;path&gt; 

Specifies the transfer log file (xferlog) for the default server. Virtual 
hosts can override this with the virtual logfile option. If omitted, a 
default log file is used. 


virtual --設定虛擬FTP站臺 
格式：virtual &lt;address&gt; &lt;root|banner|logfile&gt; &lt;path&gt; 
virtual &lt;address&gt; &lt;hostname|email&gt; &lt;string&gt; 
virtual &lt;address&gt; allow &lt;username&gt; [&lt;username&gt; ...] 
virtual &lt;address&gt; deny &lt;username&gt; [&lt;username&gt; ...] 
功能：wu-ftpd提供了虛擬主機的功能，也就是說，在同一台機器上提供了不同FTP站臺，以主機名稱或IP來區分；當然你要用名稱的話，還需要跟DNS配合才行。virtual有很多個設定： 
address（可以是主機名或IP位址） 
root指的是ftp的根目錄， 
banner是歡迎資訊， 
logfile指的是這個虛擬站臺的log文件 
用戶可以查到hostname和管理者email， 
實例： virtual virtual.com.bj root /home/ftp2 
virtual virtual.com.bj banner /etc/vftpbanner.2 
virtual virtual.com.bj logfile /etc/viftplog.2 
用戶可以查到hostname和管理者email 
virtual 210.62.146.50 hostname virtual.site.com.bj 
virtual vritual.site.com.bj email ftpown@virtual.site.com.bj 
設定是否允許連線 
virtual virtual.site.com.bj allow * 
virtual virtual.site.com.bj deny badman 

virtual &lt;address&gt; private 

Normally, anonymous users are allowed to log in on the virtual server. This 
option denies them access. 

virtual &lt;address&gt; passwd &lt;file&gt; 

Use a different passwd file for the virtual domain. The daemon needs to be 
compiled with --enable-passwd (or OTHER_PASSWD) for this option to work. 

virtual &lt;address&gt; shadow &lt;file&gt; 

Use a different shadow file for this virtual domain. The daemon needs to be 
compiled with --enable-passwd (or OTHER_PASSWD) for this option to work. 

defaultserver deny &lt;用戶&gt;[&lt;用戶&gt;……] 
defaultserver allow &lt;用戶&gt;[&lt;用戶&gt;……] 
功能：當我們使用了虛擬主機，原先的deny，allow設定不知道要設哪個server，所以會無效，用defaultserver代表原來的主機 
實例： defaultserver private 主站臺拒絕anonymous用戶 
defaultserver deny * 主站臺拒絕所有連接 

??passive address &lt;externalip&gt; &lt;cidr&gt; 
Allows control of the address reported in response to a PASV command. When 
any control connection matching the &lt;cidr&gt; requests a passive data connec 
tion (PASV), the &lt;externalip&gt; address is reported. NOTE: this does not 
change the address the daemone actually listens on, only the address 
reported to the client. This feature allows the daemon to operate correctly 
behind IP-renumbering firewalls. 
For example: 
passive address 10.0.1.15 10.0.0.0/8 
passive address 192.168.1.5 0.0.0.0/0 
Clients connecting from the class-A network 10 will be told the passive con 
nection is listening on IP-address 10.0.1.15 while all others will be told 
the connection is listening on 192.168.1.5 
Multiple passive addresses may be specified to handle complex, or multi- 
gatewayed, networks. 

??passive ports &lt;cidr&gt; &lt;min&gt; &lt;max&gt; 
Allows control of the TCP port numbers which may be used for a passive data 
connection. If the control connection matches the &lt;cidr&gt; a port in the 
range &lt;min&gt; to &lt;max&gt; will be randomly selected for the daemon to listen on. 
This feature allows firewalls to limit the ports which remote clients may 
use to connect into the protected network. 
&lt;cidr&gt; is shorthand for an IP address in dotted-quad notation followed by a 
slash and the number of left-most bits which represent the network address 
(as opposed to the machine address). For example, if you're using the 
reserved class-A network 10, instead of a netmask of 255.0.0.0 use a CIDR of 
/8 as in 10.0.0.0/8 to represent your network. 

??pasv-allow &lt;class&gt; [&lt;addrglob&gt; ...] 
??port-allow &lt;class&gt; [&lt;addrglob&gt; ...] 
Normally, the daemon does not allow a PORT command to specify an address 
different than that of the control connection. And it does not allow a PASV 
connection from another address. 
The port-allow clause provides a list of addresses which the specified class 
of user may give on a PORT command. These addresses will be allowed even if 
they do not match the IP-address of the client-side of the control connec 
tion. 
The pasv-allow clause provides a list of addresses which the specified class 
of user may make data connections from. These addresses will be allowed 
even if they do not match the IP-address of the client-side of the control 
connection. 


mailserver --指定Upload通知的mail伺服器 

incmail --指定anonymous upload的email通知地址 
virtual incmail --指定虛擬主機anonymous upload的email通知位址 
defaultserver incmail --指定預設主機anonymous upload的email通知地址 

mailfrom --通知的寄信人upload 
virtual mailfrom --虛擬主機upload通知的寄信人 
defaultserver mailfrom --預設主機upload通知的寄信人 

chmod --設定是否可以改變文件許可權 
delete --設定是否可以刪除文件 
overwrite --覆蓋文件\ 
rename --重命名文件 
格式： delete [yes/no] [real/anonymous/guest] 
overwrite [yes/no] [real/anonymous/guest] 
rename [yes/no] [real/anonymous/guest] 
chmod [yes/no] [real/anonymous/guest] 
實例： delete no anonymous,guest; 

umask --允許設定umask 
格式：umask [yes/no] [real/anonymous/guest] 
功能：設置是否允許指定用戶使用umask命令。默認是允許。 
實例：umask no anonymous：?了更好地管理FTP伺服器，一般情況下，我們不允許匿名用戶執行umask命令。 

passwd-check --設定anonymous FTP的密碼檢查程度，用法如下： 
格式：passwd-check [none/trivial/rfc822] [enforce/warn] 
功能：設定對匿名用戶anonymous的密碼使用方式。 
none 表示不做密碼驗證，任何密碼都可以登錄； 
trival 表示只要輸入的密碼中含有字元“@”就可以登錄； 
rfc822 表示密碼一定要符合RFC822中所規定的E-Mail格式才能登錄； 
enfore 表示輸入的密碼不符合以上指定的格式就不讓登錄； 
warn 表示密碼不符合規定時只出現警告資訊，仍然能夠登錄。 
實例：passwd-check rfc822 warn：希望能夠得到符合規定的E-Mail作?密碼，但如果不是，也允許登錄。 

deny=email --拒絕特定的email當密碼 

path-filer --攝定哪些檔案名不可使用 
格式：path-filter &lt;typelist&gt; &lt;mesg&gt; &lt;allowed_charset&gt; {&lt;disallowed regexp&gt; ...} 
實例： path-filter anonymous /etc/pathmsg ^[-A-Za-z0-9_\.]*$ ^\. ^- 
path-filter guest /etc/pathmsg ^[-A-Za-z0-9_\.]*$ ^\. ^- 
For example: 
path-filter anonymous /etc/pathmsg ^[-A-Za-z0-9._]*$ ^\. ^- 
specifies that all upload filenames for anonymous users must be made of only 
the characters A-Z, a-z, 0-9, and "._-" and may not begin with a "." or a 
"-". If the filename is invalid, /etc/pathmsg will be displayed to the 
user. 

upload --設定upload許可權 
upload [absolute|relative] ([class=&lt;classname&gt;]|[user=&lt;username&gt;])... [-] &lt;root- 
dir&gt; &lt;dirglob&gt; &lt;yes|no&gt; &lt;owner&gt; &lt;group&gt; &lt;mode&gt; ["dirs"|"nodirs"] [&lt;d_mode&gt;] 
[&lt;dirowner&gt; &lt;dirgroup&gt;] 

用來對我們要設定的目錄做許可權設定： 
absoulte/relative使用絕對路徑或是相對路徑 
class=指定某個class 
root-dir指的是對哪些root-dir的人，也就是chroot後的登入目錄，應用這個規則設定的目錄指的就是我們要限制的目錄 
yes/no指得是能否在此目錄下開新文件 
owner,group指出是開出來的文件擁有者及群組 
Mode指的是文件許可權 
dirs/nodirs指的是能否開新目錄 
d_mode設定建立新目錄時目錄的許可權，如果不設定會根據mode來設定 

格式： upload [根目錄] [上載目錄] [yes/no] [用戶] [許可權] [dirs/nodirs] 
功能： 對可以上載的目錄進行更加詳細的設置。 
實例： upload /home/ftpd * no：表示在子目錄/home/ftpd下不允許上載； 
upload /home/ftpd /bin no：表示在子目錄/home/ftpd/bin下不允許上載； 
upload /home/ftpd /etc no：表示在子目錄/home/ftpd/etc下不允許上載； 
upload /home/ftpd /pub yes real 0644 dirs：允許用伺服器上的合法用戶在子目錄/home/ftpd/pub 目錄下能上載許可權?0644(也就是-rw-r--r--)的文件，而且在這個目錄下可以新建子目錄。 
upload /home/ftpd /incoming yes real guest anonymous 0644 dirs：允許所有的用戶在子目錄 /home/ftpd/incoming下能上載許可權?0644的文件，而且在這個目錄下可以新建子目錄。 

thoughput --控制下載速度 
格式：thoughput &lt;子目錄列表&gt;&lt;文件&gt; &lt;遠端地址列表&gt; 
功能：對遠端的位址，控制他抓某個子目錄下的某些文件時的速度，例如： 
實例： thoughput /e/ftp * * oo - * 
thoughput /e/ftp /sw* * 1024 0.5 * 
thoughput /e/ftp sw* readme oo - * 
thoughput /e/ftp sw* * oo - *.foo.com 
以上的設定你是否能夠看出來呢？“oo”表示不限制bytes/sec，“-”或是“1.0”都是代表一倍。 
第一行的意思是說，在/e/ftp下面的文件不限制下載速度； 
第二行說，在/sw*下面的任何文件限速?1024bytes/sec* 0.5=512bytes/sec； 
第三行又把readme文件的限速取消； 
最後一行則對*.foo.com開放全速。 

anonymous-root --對某class設定匿名用戶的根目錄 
格式：anonymous-root &lt;root-dir&gt; [&lt;class&gt;] 
實例 &lt;root-dir&gt; specifies the chroot() path for anonymous users. If no anony 
mous-root is matched, the old method of parsing the home directory for the 
'ftp' user is used. If no &lt;class&gt; is specified, this is the root directory 
for anonymous users who do not any other anonymous-root specification. Mul 
tiple classes may be given on the line. If an anonymous-root is chosen for 
the user, the 'ftp' user's home directory in the &lt;root-dir&gt;/etc/passwd file 
is used to determine the initial directory and the 'ftp' user's home direc 
tory in the system-wide /etc/passwd is not used. 

For example: 
anonymous-root /home/ftp 
anonymous-root /home/localftp localnet 
causes all anonymous users to be chroot()'d to the directory /home/ftp then, 
if the 'ftp' user exists in /home/ftp/etc/passwd, their initial CWD is that 
home directory. Anonymous users in the class localnet, however, are 
chroot()'d to the directory /home/localftp and their initial CWD is taken 
from the 'ftp' user's home directory in /home/localftp/etc/passwd. 


guest-root --預設一個guest用戶根目錄 
guest-root &lt;root-dir&gt; [&lt;uid-range&gt;] 
For example: 
guest-root /home/users 
guest-root /home/staff %100-999 sally 
guest-root /home/users/frank/ftp frank 
causes all guest users to chroot() to /home/users then starts each user in 
their home directory specified in /home/users/etc/passwd. Users in the 
range 100 through 999, inclusive, and user sally, will be chroot()'d to 
/home/staff and the CWD will be taken from their entries in 
/home/staff/etc/passwd. The single user frank will be chroot()'d to 
/home/users/owner/ftp and the CWD will be from his entry in 
/home/users/owner/ftp/etc/passwd. 

Note that order is important for both anonymous-root and guest-root. If a 
user would match multiple clauses, only the first applies; with the excep 
tion of the clause which has no &lt;class&gt; or &lt;uid-range&gt;, which applies only 
if no other clause matches. 

deny-uid，deny-gid --拒絕某段UID(GID)範圍 
allow-uid，allow-gid --允許某段UID(GID)範圍 

For example: 
deny-gid %-99 %65535 
deny-uid %-99 %65535 

restricted-uid，restricted-gid --限制用戶不能離開他的登錄目錄 
unrestricted-uid，unrestricted-gid --用戶可以離開他的登錄目錄 

An example of the use of these clauses shows their intended use. Assume 
user 'dick' has a home directory /home/dick and 'jane' /home/jane: 
guest-root /home dick jane 
restricted-uid dick jane 
While both dick and jane are chroot'd to /home, they cannot access each 
other's files because they are restricted to their home directories. 

Whereever possible, in situations such as this example, try not to rely 
solely upon the ftp restrictions. As with all other ftp access rules, try 
to use directory and file permissions to backstop the operation of the 
ftpaccess configuration. 

dns refuse_mismatch --設定DNS查到名稱與用戶設定不符的動作 
dns refuse_mismatch&lt;資訊文件&gt;[override] 
當用戶使用未註冊IP時，拒絕他的連線，override則是不理會錯誤而讓他連線，資訊文件則是我們要給用戶看的。 

dns refuse_no_reverse--設定無反查記錄拒絕連線 
dns refuse_no_reverse&lt;資訊文件&gt;[override] 
當用戶的IP反查無記錄時，拒絕他的連線 

dns resolveoptions--設定DNS解析選項 
dns resolveoptions[options] 
這裏可以設定DNS解析選項 

site-exec-max-lines &lt;number&gt; [&lt;class&gt; ...] 

The SITE EXEC feature traditionally limits the number of lines of output 
which may be sent to the remote client. This clause allows you to set this 
limit. If omitted, the limit is 20 lines. A limit of 0 (zero) implies no 
limit; be very careful if you choose to remove the limit. If a clause is 
found matching the remote user's class, that limit is used. Otherwise, the 
clause with class '*', or no class given, is used. For example: 
site-exec-max-lines 200 remote 
site-exec-max-lines 0 local 
site-exec-max-lines 25 
limits output from SITE EXEC (and therefore SITE INDEX) to 200 lines for 
sets a limit of 25 lines for all other users. 


$/etc/ftphosts 
ftphosts文件其實跟ftpaccess裏面的access，deny很像，它是特別用來設定某些ID的連線，它沒有class定義，所以必須是真實用戶。 
allow|deny&lt;用戶&gt;&lt;地址&gt;[&lt;地址&gt;……] 
以下是一些例子： 
allow rose 140.0.0.0/8 
deny jack 140.123.0.0:255.255.0.0 
允許\ ose從140.*.*.*進來，拒絕jack從140.123.*.*上來 

??$/etc/ftpservers 
這個文件控制了當你有不同的IP/hostname的時候，進來的連線使用哪一個配置文件。例如： 
10.196.145.10 /etc/ftpd/ftpaccess.somedomain/ 
10.196.145.200 /etc/ftpd/ftpaccess.someotherdomain/ 
some.domain internal 
10.196.145.20 /etc/ftpd/config/faqs.org/ 
ftp.some.domain /etc/ftpd/config/faqs.org/ 

$/etc/ftpusers 
在這個文件裏記錄的用戶禁止使用FTP 

$/etc/ftpgroups 
給SITE GROUP指令使用，線上切換group。SITE EXEC容易造成安全漏洞，一般我們都不開放。 
範例： 
test:ENCRYPTED PASSWORD HERE:archive 


$/etc/ftpconversions 
用來做tar、compress、gzip等動作指令配置文件，只要用預設即可，如果你不開放即時壓縮打包，也可以把內容清除。 


$$技術支援： 
官方網站 www.wu-ftpd.org 
可以到ftp://ftp.wu-ftpd.org下載最新版本的源代碼包。 

$$配置實例： 

實例1 
$begin 
配置目標 
不允許anonymous用戶登錄，建立一個guest賬號，使公司內部人員使用，並且不允許用Telnet登錄。 

配置步驟： 
1、增加一個用戶賬號： 
useradd szanlai 
passwd szanlai 
2、定義指向用戶的shell ?空shell: 
chsh szanlai 
輸入 /bin/hello (先在/etc/shells中添加一行/bin/hello) 
以上兩步可以用一條命令做 
usedadd -d szanlai -s /bin/hello szanlai (-d 是用戶目錄，-s 是指向什?shell) 
3、修改/etc/shells文件，在shells文末增加所指向的shell 
vi shells 
4、修改/etc/passwd 文件，就是將用戶賬號目錄指成虛擬登錄根目錄，（這就是chroot所指的效果） 
eg: szanlai:x:503:504::/home/szanlai/:/bin/hello 
change szanlai:x:503:504::/home/szanlai/./:/bin/hello 
注意不要在i : 之間加上 "/" ，，，否則登錄不進 
這一個改動是將/home/szanlai/ 虛擬指向 /。 
5、之後，需做一個構架，，在szanlai目錄下新建 /bin , /etc , /lib , /dev 目錄 
(因?定義了虛擬登錄根目錄) 
6、將ls命令文件cp 一份到虛擬目錄(/home/szanlai/bin) 
cp /bin/ls /home/szanlai/bin 
7、再將ls 關聯共用文件cp進虛擬目錄（/home/szanlai/lib） 
而如何知道一個執行文件所需要的共用文件呢？ #可以在/var/ftp下獲得 
用ldd 命令可知。 
Eg : ldd /bin/ls 
再將所見到的文件全部cp 到/home/szanlai/lib 
8、將空shell 修改，， 
mknod /bin/hello c 1 3 (1 不是 L) #做新的塊文件 
再賦與許可權 chmod 666 hello 
9、再將/etc/group ,/etc/passwd 文件cp 進/home/ftp/etc 
再分別修改兩個文件。使在虛擬登錄目錄下，只能有一個用戶登入名 
10、修改ftpaccess 
一個是class 類別指向 guest 
二個是將guestgroup 指向 用戶賬號 
11、之後，就是用chmod命令來設置許可權，，， 
end 
問題： 1\在添加shell時，可不可以用諸如 "/usr/bin/passwd"這樣的命令，代替塊文件? 
2\一定要mknod /bin/hello c 1 3 之後，系統才會認這個shell嗎? 
3\在/home/szanlai下建立的目錄結構有什?用呢？用戶如何才能運行這些伺服器端命令？ 
4\怎樣才能使/home/szanlai/etc/下的passwd起作用呢？默認還是用系統的passwd資料庫！ 
5\chroot() 具體用法 szanlai:x:503:504::/home/szanlai/./:/bin/hello 
6\怎樣使telnet也chroot呢？ 
7\是否可能讓用戶維護自己的passwd? 

實例2 
$begin 

第一步：設置匿名用戶組 
anonftp安裝完成後，會自動創建一個匿名用戶組：ftp,這個用戶組是完成設置的關鍵。首先，要修改/etc/ftpaccess文件。 
# vi /etc/ftpaccess 
(有關vi編輯器的使用方法請參見有關文章) 
在文件內容中加入如下幾行: 
guestgroup ftp 
chmod yes guest 
delete yes guest 
overwrite yes guest 
rename yes guest 
其中第一行是定義ftp用戶的組名（也可以設?其他用戶組名，如：ftpgroup,不過要先創建這個用戶組）後四行是設置ftp用戶的許可權，即擁有更改文件屬性、刪除文件、覆蓋文件、重命名文件的許可權，這是一個ftp用戶所需的基本許可權，如果不設置，用戶則無法正常使用該ftp服務。 

第二步：創建ftp用戶 
# adduser test -g ftp 
創建test用戶，其組名?ftp，用戶目錄默認?/home/test 
# passwd test 
?test用戶設置密碼 

第三步：拷貝匿名用戶所需的文件 
# cp -rf /var/ftp/lib /home/test 
# cp -rf /var/ftp/bin /home/test 
所拷貝的文件是anonftp自帶的匿名用戶所需的命令文件和庫文件，如果沒有則用戶不能使用基本命令，如：ls等。 

第四步：關閉用戶的Telnet許可權，提高系統安全性。關閉Telnet許可權有多種方法，現介紹兩種比較實用的讀者可自行選擇： 
方法一：將用戶的shell設?空，使用戶無法登錄。首先，要編輯/etc/shells文件，加入一行/dev/null,然後設置test用戶的shell?/dev/null即： 
# chsh -s /dev/null test 
方法二：使用戶Telnet登錄成功後只能修改自已的密碼。同樣要編輯/etc/shell文件，加入一行 
/usr/bin/passwd,然後設置test用戶的shell?/usr/bin/passwd即： 
# chsh -s /usr/bin/passwd test 

第五步：開通用戶的個人主頁 
在用戶目錄下建立public_html目錄即： 
# mkdir /home/test/public_html 
並在該目錄下建立index.html文件，此文件是用戶的首頁。由於 public_html 目錄和 index.html 文件是root用戶所建，其他用戶不能修改，因此需要重新設置許可權： 
# chown -R test.ftp /home/test/public_html 
# chown test.ftp /home/test/public_html/index.html 
用戶主目錄除所有者外，其他任何人均不能讀取，這樣用戶個人主頁便不能使用，因此要對用戶目錄許可權做修改即： 
# chmod 755 /home/test 

第六步：測試配置 
現在一個完整功能的ftp用戶已經創建成功，下面可以對其功能進行測試： 
(1)測試ftp服務 
使用命令：# ftp localhost登錄ftp服務，輸入test的用戶名和密碼後，可以直接進入test的主目錄，並且只能在此目錄下工作，你可以刪除、修改、覆蓋屬於test的文件，而不能進入上一級目錄查看其他文件，這樣伺服器就安全多了。 
(2)測試Telnet許可權 
通過命令：# Telnet localhost登錄，輸入test的用戶名和密碼後會發現，或者系統拒絕登錄(使用上述方法一)或者只能修改自己的密碼(使用上述方法二)必免了用戶通過Telnet登錄查看其他文件。 
(3)測試用戶個人主頁 
首先，保證Apache伺服器外於?動狀態，並開?了用戶個人主頁目錄即public_html目錄(默認是開?的)然後就可使用netscape式lynx瀏覽http://localhost/~test,如果看到前面所建立的index.html文件，那?設置就沒有問題了。(Apache的安全性設置請參閱相關文章) 

自動創建Ftp用戶 
如果需要創建許多這樣的Ftp用戶，那?這些步驟顯然比較費時，因此筆者特地寫了一個shell腳本來自動完成以上的各項工作： 
第一步：在/etc/skel目錄下建立public_html目錄，並在其目錄下建立index.html文件 
(注：/etc/skel目錄下的所有內容都將自動複製給新創建的用戶) 
第二步：拷貝/var/ftp/bin和/var/ftp/lib目錄到/etc/skel目錄下 
第三步：改寫/etc/shells文件，加入一行：/usr/bin/passwd 
第四步：用vi或其他文本編輯器在/bin下建立一個shell腳本，檔案名?addftpuser文件，內容如下： 

#! /bin/bash 
if test $# != 1 
then 
echo "Usage: addftpuser username" 
echo "Thanks." 
exit 
fi 

if test `grep ftp: /etc/group -c` != "1" 
then 
echo "Create ftp group..." 
groupadd ftp 
fi 

if test `grep $1: /etc/passwd -c` = "1" 
then 
echo "Username already have, please, change and try..." 
exit 
fi 

username=$1 
userhome=/home/$1 

echo "Create username and home directory..." 
adduser $username -g 'ftp' -d $userhome 

passwd $username 

chsh -s /usr/bin/passwd $username 
chmod 755 $userhome 

echo "Success in adding a ftp user !" 

修改addftpuser文件屬性?755，使文件可執行，今後使用時只需敲：addftpuser 用戶名，然後依提示設置用戶密碼，即可自動完成一個ftp用戶的添加。這樣，處理一批用戶時就方便多了，你可以把這個Ftp伺服器架設在局域網中，向客戶開放Ftp服務和個人主頁空間，當然也可以把它架設在Internet上。 
end 

實例3 
$begin 
1.　設置別名IP位址，即在一塊網卡上綁定多個IP位址。 
如你的內部FTP主機?192.168.11.12 

你可再綁定一個IP地址如下： 
/sbin/ifconfig　eth0:0　192.168.11.7　up 
/sbin/route　add　-host　192.168.11.7　eth0:0 

2.　修改/etc/ftpaccess,#enable　virtual　ftp　. 
加下面的行到該文件中 

virtual　192.168.11.7　root　/home/virtualftp 
virtual　192.168.11.7　banner　/home/virtualftp/banner_message 
virtual　192.168.11.7　logfile　/var/log/virtualftp/xferlog 

當然，你需要先登錄作?root，創建目錄/home/virtualftp and　/var/log/virtualftp 
你也要準備banner文件/home/virtualftp/banner_message 

上面三行的路徑和檔案名你可隨便定義。 

3.　拷貝所需要的匿名FTP文件,主要是/lib,/etc,/bin目錄 
#　cp　/home/ftp/*　/home/virtualftp　-a 

4.如可能，你也最好在DNS中定義192.168.11.7，設置成你需要的虛擬FTP 
主機名。 
end 

實例4 
$$begin 
我們大家都知道 FTP 伺服器的口令驗證是基於明碼的，因此，很容易被嗅探到。本文介紹的虛擬 FTP 伺服器採用 chroot 的辦法，雖然不能防止口令被嗅探，但是能保護你的系統在口令即使被嗅探到的情況下，仍然不能攻破。 

虛擬 FTP 服務，除了 chroot 功能以外，還採用了第二個口令資料庫來驗證用戶，這樣你就不需要建立 FTP 用戶帳號，即使口令泄漏，用戶也不能登錄到系統。 

我們採用一個叫作 vftpd 的守護程式來扮演虛擬 FTP 伺服器的角色，主要的安全特色包括： 
- 始終採用 chroot 處理用戶的 home 目錄 
- 允許用戶在沒有 shell 的情況下存取 
- VFTPD 不允許用戶的 home ?：/, /etc, /bin, /sbin, /usr/bin, /usr/sbin, /dev/, /lib, /tmp. 
- Home 目錄的路徑不能包含符號連接 
- 除了 root 用戶具有 UID 0 以外，不允許其他用戶 
- 不允許用戶的口令文件對組和其他有寫許可權 

安裝 vftpd 很簡單，目前最新的版本? 6.5.8 ，下載後 tar xvfz ... ，make ，make install ，就這?簡單。下載地址： 

http://startuplinux.com/virtualftpd.html 

大多數的配置工作都是自動完成的，唯一需要修改的是 /etc/ftppasswd 文件，這個文件包含了用戶真正的 FTP 帳號。這個文件的格式基本上 /etc/password 一樣，每行格式?： 

login:encryptedpassword:uid:gid:description:ftppath:/no/shell 


vftpd 提供了一個叫做 addvuser 的工具，能很方便的增加 FTP 用戶，修改當前用戶的口令是 "ftppasswd username"。 

如果當前確有 shell 帳戶的用戶要增加，也需要在 ftppasswd 中添加該用戶，但是口令最好不要一樣。 

對於不需要 ftp 的用戶，可以把帳號加入 /etc/ftpusers。 

最後，? /etc/ftpwelcome（連接後顯示）和 /etc/motd（成功登陸後顯示）增加 ftp 登陸資訊。 

現在可以?動進程了： 

vftpd -D -l -U 

-D 使成?守護程式在後臺運行 
-l logs FTP 在 syslog 中登陸日誌記錄 (失敗和成功的記錄) ，兩次 -l 記錄詳細資訊 
-U 允許你使用 who 命令查看當前啟動的 ftp 會話 
-A 只允許匿名用戶連接 
-S 把匿名連接的日誌記錄到 /var/log/ftpd 
-p 埠號，缺省? 21 

例如，我們可以在 rc.local 裏面寫入： 

/usr/local/bin/vftpd -D -U -l -l 

呵呵，成了。 
end