最后有一点需要注意的是，在Debian中，pure-ftpd默认时inetd方式，如果要改成standalone方式的话需要修改/etc/default/pure-ftpd-common:
STANDALONE_OR_INET=standalone

同时将/etc/inetd.conf中的ftp disable掉
update-inetd —disable ftp

重启inetd和pure-ftpd

/etc/init.d/openbsd-inetd restart
/etc/init.d/pure-ftpd-ldap restart

下面让我们来看看如何实现上面的三种应用。

应用场景一：

因为提供的是公共下载服务，所以不需要对用户进行验证，这可以通过简单的匿名FTP来实现。

1、创建ftp帐号和组

Pure-FTPd以系统是否有ftp来判断是否开通匿名FTP服务，所以需要先创建一个ftp帐号和组。由于该帐号仅仅用于文件权限控制，不需要登录，所以创建的时候shell设为/bin/false，提高安全性。

groupadd ftp
useradd -s /bin/false -m -c Anonymous ftp -d /home/ftp ftp ftp

2、限制匿名用户权限

cd /etc/pure-ftpd/conf
echo yes > AnonymousOnly
echo no > NoAnonymous

只允许匿名用户

echo no > AnonymousCanCreateDirs

不允许匿名用户创建目录

echo yes > AnonymousCantUpload

不允许匿名用户上传

echo no > AllowAnonymousFXP

不允许匿名FXP

echo yes > ChrootEveryone

将匿名用户chroot到ftp的家目录/home/ftp，提高安全性

3、限速

企业用户如果太多的话就需要对速率进行限制，否则容易引起性能问题，甚至DDOS。
echo 10000 > AnonymousBandwidth

只允许所有匿名用户共用10000 Kb/s（10Mb/s）的带宽

4、限用户进程

同时一个IP只允许开启一个登陆进程

echo 1 > MaxClientsPerIP

5、配置共享文件夹

将共享文件夹拷贝到/home/ftp，例如software

cp -r software /home/ftp
chown -R ftp:ftp /home/ftp/software
chmod -R 550 /home/ftp/software

说明：这里需要将权限设为550，如果设为只读的话用户无法进入software这个目录中。

6、绑定IP地址和端口

Pure-FTPd默认下会监听所有的网卡地址，默认的端口是21
我们只需要让它监听本机的eth0就OK了，eth0连接的是企业的内网段，假设为192.168.100.1/24
echo yes > IPV4Only
echo 192.168.100.1,21 > Bind

7、重启服务器

/etc/init.d/pure-ftpd restart
大功告成，一个简单、高效的匿名FTP服务器就这样安装成功了。

应用场景二：
在第二种应用中，需要利用系统内置的backup目录来登陆FTP，接着上传备份文件至中央服务器，所以需要开启系统账户的验证功能，当然还有恰当的权限控制和上传带宽限制，否则巨大的备份文件会吞噬整条分节点到中央节点的广域/Internet链路带宽。

待续

应用场景三：
在这个场景中可以通过Pure-FTPd + LDAP来实现。因为LDAP的账户信息（LDAP术语：“条目”）中包括了以下属性：
1、该用户是否能否使用FTP，也就是说必须通过LDAP验证才能让他接入私人网络硬盘；
2、磁盘限额，Pure-FTPd根据该属性来限制用户所能使用的磁盘空间；
3、上传/下载速率，Pure-FTPd将通过这两个属性来限制用户使用FTP时的速率，以免过大的传输速率导致系统负载过大。
通过以上属性，我们就可以利用LDAP来很好地控制用户的私人网络硬盘了。

安装的时候选择的是pure-ftpd-ldap，所以默认就已经开启了LDAP验证的选项。不过还需要对LDAP进行其他的相关配置。
2、修改/etc/pure-ftpd/db/ldap.conf

# vim /etc/pure-ftpd/db/ldap.conf
----8<----
LDAPServer 127.0.0.1
LDAPPort   389
LDAPBaseDN ou=People,dc=darkblue,dc=com
LDAPBindDN cn=admin,dc=darkblue,dc=com
LDAPBindPW type_admin_password_here
----8<----

ldap.conf的详细说明请参考“OpenLDAP服务”一节

3、加载pureftpd.schema

Pure-FTPd整合LDAP需要用到pureftpd.schema。pure-ftpd-ldap二进制包中没有这个，需要下载源码包，将里面的pureftpd.schema解压到/etc/ldap/schema中。

1) apt-get source pure-ftpd
gzip -d pure-ftpd-1.0.19
cp pure-ftpd-1.0.19/pureftpd.schema /etc/ldap/schema

待续

2) 在slapd.conf中添加pureftpd.schema

vi /etc/ldap/slapd.conf

snip——

include /etc/ldap/schema/pureftpd.schema

snip——

4、重启OpenLDAP服务

/etc/init.d/slapd restart

slapd.conf更新了，需要重启OpenLDAP重新读取pureftpd.schema。

5、修改OpenLDAP条目

pureftpd.schema定义了一些FTP相关的属性，为了利用LDAP承载这些FTP属性，我们需要修改OpenLDAP的条目。
如下所示：
dn: uid=carl,ou=People,dc=darkblue,dc=com
uid: carl
cn: carl
objectClass: posixAccount
objectClass: PureFTPdUser
objectClass: top
objectClass: shadowAccount
userPassword:: e2NyeXB0fSQxJHlFMFpyMFQ4JFdhaTAxc01TbGVmUHowQ0ZWNS5iSjE=
shadowLastChange: 13593
shadowMax: 99999
shadowWarning: 7
loginShell: /bin/bash
uidNumber: 1011
gidNumber: 1011
homeDirectory: /home/carl
gecos: carl,,,,LDAP account
FTPStatus: enabled
FTPQuotaMBytes: 200
FTPDownloadBandwidth: 500
FTPUploadBandwidth: 100
FTPDownloadRatio: 5
FTPUploadRatio: 1

通过该条目的相关FTP属性，我们可以控制用户
1) 能否登录
2) 能上传、下载的文件数量
3) 磁盘限额，单位MBytes
4) 上传、下载的带宽，单位KB/s
5) 上传、下载文件数量的比例

说明：account这个objectclass跟PureFTPdUser有冲突，两者不能在同一个OpenLDAP条目中出现。

6、LDAP用户的home目录
个人网络硬盘（也就是LDAP用户的home目录）里面的数据都是一些重要的文档，建议专门放在一个文件服务器srv_slave.darkblue.com中，然后通过NFS服务mount到srv_master.darkblue.com上来，这样也方便数据的管理和备份。详情请参考“NFS服务”一节。

五、SSL/TLS
FTP协议很早就诞生了，当时没有过多的考虑安全问题，用户名和密码都是明文传送的，很容易被他人窃取，例如Ethereal就可以看到这些敏感信息：
Ethereal
为了更安全的使用FTP，我们需要利用SSL/TLS来加密“控制链路”，这样在这条链路里面的控制命令，特别是用户名和密码对于sniffer来说是毫无意义的，因为他们已经被加密了，sniffer得到的只是一些乱码。“数据链路”就不需要加密了，否则性能将急剧下降。

在Pure-FTPd里配置SSL/TLS非常简单，只需要生成一个自签署的pure-ftpd.pem证书，放在/etc/ssl/private里面就可以了。当然，要生成证书需要先安装OpenSSL，可以参考“OpenVPN一节”

1、生成自签署证书：

openssl req -x509 -nodes -newkey keyout rsa:1024 \
-keyout /etc/ssl/private/pure-ftpd.pem \
-out /etc/ssl/private/pure-ftpd.pem

注意：证书名称必须是pure-ftpd.pem，而且必须放在/etc/ssl/private目录下。

2、配置Pure-FTPd

echo 2 > /etc/pure-ftpd/conf/TLS

有三个参数可以选择，
“0”表示客户端以非加密方式登录，默认情况就是如此；
“1”表示客户端可以加密和非加密两种方式连接；
“2”表示客户端必须开启加密选项才允许连接。

3、重启Pure-FTPd

/etc/init.d/pure-ftpd-ldap restart

至此Pure-FTPd就支持SSL/TLS加密了。

六、FTP客户端的安装和使用
在linux的控制台下，lftp是不二之选，因为它的功能非常强大。在windows环境下，最方便的无疑就是IE，IE具有ftp客户端的功能，不过如果需要更高级的功能建议使用FileZilla，该客户端是一款开源软件，功能强大，使用却很简单，支持SSL/TLS。

您可以看到速度保持在50KB/s，下图是没有配置FTPDownloadBandwidth时的截图，由此看出Pure-FTPd已经达到利用LDAP控制带宽目的。

六、Pure-FTPd在企业里的应用
需要考虑的几个问题：
1、当用户在srv_master没有根目录的时候
2、管理员对根目录做了系统级的quota，PureFTPd也有quota，两者有冲突，以谁为准？
3、每个分支机构最多只能用到多少的带宽将在哪里实现？
PureFTPd实现一部分，网管实现分支机构的带宽控制
4、每个用户都有创建、删除、修改文件和文件夹的权限。
5、srv_master能够mount其他文件服务器的目录，针对该文件目录做权限控制
6、

七、排错

pure-ftpd
pure-ftpd-common
pure-ftpd-ldap
pure-ftpd是基础的软件包，pure-ftpd-ldap是在原来的基础上增加了对ldap的支持
pure-ftpd-common是最基本的软件支撑包。前面讲的都依赖于此包。

2007-04-02
srv_master安装完pure-ftpd-ldap后，又添加了alice, bob, carl, dave到/etc/passwd中，然后使用migrationtools导入ldap，接着从/etc/passwd中删除这几个帐号，最后在ISP_server可以使用alice登录srv_master的pure-ftpd-ldap服务器。

登录后，传送vmware-tools-distrib.tar.gz到/home/alice(srv_master)，不能传送到其他目录，因为没有写入的权限。也就是说，用什么帐号登录ftp，就需要那个目录有这个帐号可以写入的权限。

2007-04-03
pureftpd.schema中定义的都是可选项，也就是说你可以只写FTPStatus（建议一定要写这个），也可以只写FTPDownloadBandwidth。

当
ldapadd -x -D ‘cn=admin,dc=darkblue,dc=com’ -W -f alice.ldif
出现下面的故障

ldap_add: Object class violation (65)
additional info: invalid structural object class chain (PureFTPd/account)
这是因为PureFTPd和account这两个objectClass不能同时出现在一个ldif中，否则会引起冲突，account没什么用，所以我们应该删除它，这样就可以导入了。

2007-04-04
If ‘ftp’ isn't a strict requirement, apache with mod_dav is a great
solution to the file transfer problem. Windows and Mac users can mount
a “web folder” or some such to access DAV directories without any need
for extra client software.

The advantages on the server are many: no wacky connection
tracking/firewall holes necessary, robustness, flexibility, ease, and
security of apache (adding SSL and/or digest authentication is also very
easy).
如果不是非得要FTP的话，apache + mod_dav会更好些。

1. apt-get install pure-ftpd-common pure-ftpd-ldap
   这样就可以实现ldap验证了，ldap不行的话就找unix系统用户
2. 下载pure-ftpd 1.19源代码，将pureftpd.schema解压到/etc/ldap/schema

3. vi /etc/ldap/slapd.conf

   snip——

   include /etc/ldap/schema/pureftpd.schema

   snip——
4. apt-get install ldapvi

5. ldapvi -D cn=Manager,dc=example,dc=com'

   snip—-
   objectClass: posixAccount
   objectClass: PureFTPdUser
   FTPStatus: enabled
   FTPDownloadBandwidth: 50

   FTPUploadBandwidth: 50

   snip—-
6. /etc/init.d/slapd restart
7. /etc/init.d/pure-ftpd-ldap restart
   客户端：
8. apt-get install lftp
9. lftp ftp_server_ip
10. testing……
11. and last: troubleshooting, tail -f /var/log/syslog and /var/log/pure-ftpd/trans.. will give you a clue.

2007-04-04
不能直接通过ldapvi修改ldap数据库（由migrationtools导出/etc/passwd，接着使用ldapadd导入ldap数据库）
但是可以通过ldapdelete一个DN，然后修改为

dn: uid=carl,ou=People,dc=darkblue,dc=com
uid: carl
cn:: Y2FybA==
objectClass: PureFTPdUser
objectClass: posixAccount
objectClass: top
objectClass: shadowAccount
userPassword: {crypt}$1$9zuNH5RX$sI8V6KF7AGo9t/nlpqihR0
shadowLastChange: 13603
shadowMax: 99999
shadowWarning: 7
loginShell: /bin/bash
uidNumber: 1011
gidNumber: 1011
homeDirectory: /home/carl
gecos: carl,413,66666666,
FTPStatus: enabled
FTPQuotaMBytes: 30

就没问题

有一个严重的问题，当客户端上传一个大于30M的文件时，PureFTPd不会判断该文件是否符合quota的要求，所以客户端可以先上传，当传到30M时，PureFTPd就自动断掉当前传送的session，client接着又重新开始传，周而复始。

今天用lftp测试起来它的带宽控制还是比较理想的。

2007-04-05
当修改了PureFTPd的配置后，需要重启服务进程才能生效，但是如果当前有人正在连接服务器，就无法通过/etc/init.d/pure-ftpd-ldap restart来完成重启过程。

错，在standalone模式下，是可以通过/etc/init.d/pure-ftpd-ldap restart来直接重启pureftpd的。

2007-04-10
如果已经安装了pure-ftpd，再安装pure-ftpd-ldap的时候会自动先卸载pure-ftpd。
在/etc/pure-ftpd/auth中将出现
srv_master:/etc/pure-ftpd/auth# ls
30ldap 65unix 70pam
也就是说先用ldap验证，接着是/etc/passwd，最后才是pam
通过openldap中添加的alice，可以使用ftp验证通过。

怎么去dabian的pkg中查找一个文件
apt-get install apt-file
apt-file update
apt-file search pureftpd.schema

gosa….
apt-get -d install gosa

下载pure-ftpd的源码包，里面有pureftpd.schema，这个schema在使用openldap作quota的时候需要用到，因为它里面说明了ftpstatus, ftpdownloadbandwidth等属性。
修改ldap数据有两种方式，一种通过ldapvi来直接修改，一种可以在windows客户机上面使用JXplorer来修改，虽然JXplorer直观些，但是ldapvi更方便。
ldapvi的用法
ldapvi -D cn=admin,dc=darkblue,dc=com -h 127.0.0.1

objectClass=PureFTPdUser
objectClass=account
这两个不可以共存，否则的话每个账号的ldif无法导入到ldap数据库中，它会报错说structure chain violatie这类的错误。

FTPStatus: enabled
FTPQuotaFiles: 50

每个用户只能上传、下载50个文件

这个选项没什么必要，除非是对安全性要求很高
FTPQuotaMBytes: 10
这个选项要求FTP只能处理10M的文件容量

FTPDownloadBandwidth: 50
FTPUploadBandwidth: 50
好像这个速度控制并不精确，proftpd要精确一些。

FTPDownloadRatio: 5
FTPUploadRatio: 1

FTP限速在企业中的应用，一般而言，对于使用Internet或者专线接入的分节点对带宽要有一定的控制，否则如果直接使用文件共享会占用掉所有的带宽。故可以使用针对分解点的用户做带宽控制。

sftp适合所有情况，因为ftp的历史悠久，协议设计之初没考虑安全问题，可以通过sniffer工具看账号和密码。

应用场景二：
企业用户通过LDAP验证，登陆Pure-FTPd管理自己的网络文件夹
….

使用filezilla试一下

使用Unix账号验证
当在/etc/pure-ftpd/auth里面的65unix写yes的时候，debian的wrapper会自动在/etc/pure-ftpd/conf/里创建一个UNIXauthentication

unix账号必须是正常的用户账号，亦即有home目录，有bin，否则登陆失败。

unix账号登陆后，可以change root到其他目录，不过他的权限由unix系统来决定。
例如unix上有wangyp和zhouzg这两个账号，使用zhouzg登陆后，在ftp里他可以进入/home/wangyp，然而他只能下载，无法上传，因为zhouzg没有对wangyp写的权限。同样，zhouzg的本地目录也可以进入/home/wangyp，然而只能从/home/wangyp上传给/home/zhouzg，反之则不行。

如果使用了ChrootEveryone yes之后，用户就无法在ftp里面从/home/zhouzg去到/home/wangyp了。

sarge中的pure-ftpd-ldap默认情况下是不支持virtualchroot的，需要下载源代码包自行编译。
在etch下，每个flavo都有两个进程可供选择，一个是带有virtualchroot的，另一个是没有的。
其实virtualchroot挺好用的，安全问题可以通过良好的规划来避免。

pure-ftpd的验证过程根据/etc/pure-ftpd/auth里面文件的先后顺序来判断，例如：
30ldap
65unix
70pam
就应该是ldap —> unix —> pam

====================================================
让我们先看看如何配置Pure-FTPd来实现应用一。每个企业用户都拥有200MB的私人网络硬盘，也就是说需要在文件服务器上为每个用户创建一个磁盘限额为200MB的目录，同时该用户具有对该文件夹完全权限。
darkblue.com使用OpenLDAP来集中管理用户身份信息，能否使用Pure-FTPd也可以由LDAP来控制，

应用二最简单，因为这是一个公共目录FTP，所有人都可以登录下载，所以就无需做用户身份验证，匿名FTP无疑是最合适的方式。

Pure-FTPd实现匿名FTP很简单
1、在系统里添加ftp用户和ftp组
groupadd ftp
useradd -s /bin/false -d /home/ftp -m -c ftp ftp
2、允许匿名用户登录
echo no > /etc/pure-ftpd/conf/NoAnonymous
3、在/home/ftp里面做公共文件夹的链接
ln -s /home/share/software /home/ftp/software
ln -s /home/share/training /home/ftp/training
ln -s /home/share/culture /home/ftp/culture

4、重启Pure-FTPd进程
/etc/init.d/pure-ftpd-ldap restart
这样就匿名用户就可以登录了，我们还需要对匿名用户做一些限制
echo no > AnonymousCanCreateDirs

不允许匿名用户创建目录

echo no > AnonymousCantUpload

不允许匿名用户上传文件

chmod -R 500 /home/share/software
chmod -R 500 /home/share/training
chmod -R 500 /home/share/culture
这样就可以允许用户进入该目录，而且只有只读、下载的权限，没有删除的权限。

需要说明的是，Pure-FTPd以系统里面是否有ftp用户和ftp组来判断能否提供匿名服务，这有点霸道，如果已经将ftp账户挪作他用的用户则需要好好考虑调整一下策略了。

应用三：

chmod 500 /home/download
这样可以让匿名用户登录，可以进入download中下载里面的文件。
如果chmod 400 /home/download是无法让用户进入download的。

以下是Pure-FTPd的选项列表：

创建一个upload:upload系统账号，在/home/upload下面创建一个incoming的目录。
chmod -R 330 incoming
接着使用upload账号登陆ftp，可以进入incoming目录，创建和删除目录，文件均可，但是不能浏览文件。
rwx的x可以让用户cd到那个目录。

创建一个download:download系统账号
mkdir software
chmod -R 550 software
touch software/file1.txt
chmod 440 software/file1.txt
touch software/file2.txt

mkdir temp
touch temp/file3.txt
chmod 440 temp/file3.txt
touch temp/file4.txt

接着使用download账号登陆ftp
发现当目录是：
dr-xr-x—- 2 download download 1024 Apr 10 19:13 software
就可以登陆，也就是说必须得有x这个权限。
紧接着，在该目录下可以下载，但是不能上传和删除，不能上传和删除的原因是因为在系统里面，software这个目录属性是只读，所以不论里面的文件属性是什么都不可以写或者删除。
然而temp目录下的文件却可以删除，那是因为temp目录属性是可写，所以不论它里面的文件属性是什么，都可以删除。当然也可以上传文件进去。