主页 / server / 问题 / 942141
Accepted
ThaChillera
Asked: 2018-11-30 05:05:52 +0800 CST

带有 chroot_local_user 的 vsftpd 需要客户端证书

  • 772

在设置我的 FTPS 服务器时，我想启用 chroot_local_user。禁用时一切正常。但是，如果我启用此功能，WinSCP 将无法连接并声称我需要客户端证书才能连接。Filezilla 彻底失败。

如果我将 require_cert 显式设置为 NO（即使它是默认设置），此问题仍然存在。

我该如何解决这个问题？

将用户限制在其主文件夹中的替代解决方案也是可以接受的。

谢谢

chroot

2 个回答

  1. Best Answer

    WinSCP 错误消息可能是错误的（或仅仅是推测）。当我不久前尝试设置 vsftpd 时，chroot_local_user我发现如果用户在 chroot 目录中具有写入权限，vsftpd 将拒绝登录（出于安全原因）。这在vsftpd 常见问题解答中有点隐藏：

    问）帮助！我收到错误消息“拒绝使用可写根运行”。

    A) vsftpd 可以防止危险的配置。此消息的原因通常是 ftp 主目录的不可靠所有权。主目录不应归 ftp 用户自己所有。它也不应该被 ftp 用户写入。解决此问题的一种方法是：

    chown root ~ftp; chmod -w ~ftp

    另一个原因可能是在未正确设置目录所有权的情况下尝试使用 chroot_local_user。

    要对此进行调试，请添加log_die=YES到您的 vsftpd.conf。然后日志将显示如下内容：

    Nov 29 16:08:55 yourhost vsftpd[2866]: pam_userdb(vsftpd:auth): user 'testuser' granted access
Nov 29 16:08:55 yourhost vsftpd[2872]: ERROR: vsftpd: refusing to run with writable root inside chroot()

    这不是只读访问的问题，但如果您的用户应该能够上传文件，您必须在相应用户拥有的 chroot 目录中创建一个文件夹。如果您想提供对用户主目录的 ftps 访问，它会变得有点麻烦。您可能必须插入一个额外的层次结构级别，即/home/someuser变为/home/someuser/someuser.

    为了快速测试，我发现 curl 非常方便，例如测试上传：

    curl -T /tmp/blub -u testuser:testpass ftps://yourserver.example.com/in/
    • 1

  2. 我遇到了这个问题。Cyber​​duck（并且只有 Cyber​​duck）正在向我的 vsftp 服务器请求客户端证书。

    我的解决方案是将其添加到 /etc/vsftpd.conf：

    ssl_request_cert=NO

    • 0

相关问题