深度VPS » VSFTP

VSFTP开启PASV模式

deepvps — Thu, 08 Mar 2012 14:30:25 +0000

今天deepvps配置一个VPS的VSFTP后，发FTP居然不能用。连接FTP的时候提示PASV 模式失败，尝试 PORT 模式。后来发现是iptables防火墙挡住了PASV的端口。放开端口就好了。

VSFTP的配置很简单，不再多说。但在有iptables的情况下，要开启pasv模式，是要作一些配置的。

/etc/vsftpd/vsftpd.conf
未尾添加：

pasv_enable=YES
pasv_min_port=40000
pasv_max_port=40080
pasv_promiscuous=YES

/etc/sysconfig/iptables
加入：

-A RH-Firewall-1-INPUT -m state –state NEW -m tcp -p tcp –dport 21 -j ACCEPT
-A RH-Firewall-1-INPUT -m state –state NEW -m tcp -p tcp –dport 40000:40080 -j ACCEPT

重启iptables & vsftpd，就可以使用pasv模式了。

解决Linux VPS vsftp/proftpd FTP时间差八小时

deepvps — Tue, 31 Aug 2010 02:11:14 +0000

美国的vps大多都是国外的时间，让我们的程序总是不适应。那么如何调整linux的时间为北京时间？修改linux vps的时间和时区，有什么办法？

第一步，校正VPS时区设置:
首先，需要ssh登录vps或服务器：

date 可以查看时间和时区。然后：

rm -rf /etc/localtime
ln -s /usr/share/zoneinfo/Asia/Shanghai /etc/localtime

再date看看，是不是时间正确了。如果已经正确，那么OK搞定。

SSH操作范例：

[root@deepvps.com~]# date
Tue August 31 03:07:52 UTC 2010
[root@deepvps.com~]# rm -rf /etc/localtime
[root@deepvps.com~]# ln -s /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
[root@deepvps.com~]# date
Tue August 31 10:07:52 CST 2010

如果还是有些不对，那么需要用命令 ntpdate stdtime.sinica.edu.tw 来校准时间。

ntpdate stdtime.sinica.edu.tw 如果提示无此命令，那么需要先安装 ntpdate

centos 安装方法： yum -y install ntpdate ntp

Ubuntu安装方法： sudo apt-get install -y ntpdate ntp

校准后，如果时间还是不对，那么就是其他的问题了。如果是linux vps，那么可能就是母服务器的时间不对，没有办法了。

第二步，修改FTP软件配置:
proftpd修改如下：
找到

/usr/local/proftpd/etc/proftpd.conf
或者
/etc/proftpd.conf

用vi打开

vi proftpd.conf

找到

UseReverseDNS off

下面加入（不使用GMT时间）：

TimesGMT off

按ESC键,执行下面的保存命令

:wq

重新启动proftpd

/etc/init.d/proftpd restart

vsftp修改如下：
编辑vsftpd.conf

vi /etc/vsftpd/vsftpd.conf

最下面加入

use_localtime=YES

或者原先有设置use_localtime=NO，改为

use_localtime=YES

按ESC键,执行下面的保存命令

:wq

重新启动proftpd

/etc/init.d/vsftpd restart

一点小问题的解决提示：vsftp修改好后，deepvps的FTP时间还是一直显示不对，仔细检查修改方法没有发现错误。后来找来朋友测试，他那边FTP显示正常。随及想到可能是FTP软件的问题，换了Cuteftp测试正常，后来仔细检查自己常用的FlashFXP，发现是里面有个时区选项没有选择正确。本地客户端flashfxp时区选项需要选择与服务器时间一致/使用服务器时间。

用fail2ban阻止SSH和VSFTP暴力破解密码

deepvps — Sat, 19 Jun 2010 02:03:56 +0000

最近deepvps发现自己的VPS每天都被不停的探测SSH和VSFTP的密码。虽然已经做了一些简单的防护，但是总觉的不保险。为了彻底解决这个问题。deepvps发现了fail2ban这款软件不错，可以有效阻止这样的攻击，下面是基本的安装配置方法：

一、下载安装
#wget http://cdnetworks-kr-2.dl.sourceforge.net/project/fail2ban/fail2ban-stable/fail2ban-0.8.4/fail2ban-0.8.4.tar.bz2

#tar xvfj fail2ban-0.8.4.tar.bz2
#cd fail2ban-0.8.4
#python setup.py install
#cd files
# cp ./redhat-initd /etc/init.d/fail2ban
# chkconfig –add fail2ban
#service fail2ban start

注意：如果重起iptables 记的一定还要重起fail2ban，不然他就不能生效，fail2ban的过滤表是在iptables 启动后在加入的。

二、配置
1、fail2ban本身配置
默认fail2ban.conf里面就三个参数，而且都有注释。
#默认日志的级别
loglevel = 3
#日志的存放路径
logtarget = /var/log/fail2ban.log
#socket的位置
socket = /tmp/fail2ban.sock

2、fail2ban防护配置
全局设置
# vi /etc/fail2ban/jail.conf
# 忽悠 IP范围如果有二组以上用空白做为间隔
ignoreip = 127.0.0.1
# 设定 IP 被封锁的时间(秒)，如果值为 -1，代表永远封锁
bantime = 86400
# 设定在多少时间内达到 maxretry 的次数就封锁
findtime = 600
# 设定在多少时间内达到 maxretry 的次数就封锁
maxretry = 3
# 允许尝试的次数

分类设置
#针对sshd暴力入侵防护

[ssh-iptables]

enabled = true
filter = sshd
action = iptables[name=SSH, port=ssh, protocol=tcp]
sendmail-whois[name=SSH, dest=you@mail.com, sender=fail2ban@mail.com]
logpath = /var/log/secure
# 如果有个别的次数设定就设在这里
maxretry = 3

#针对vsftpd暴力入侵防护

[vsftpd-iptables]

enabled = true
filter = vsftpd
action = iptables[name=VSFTPD, port=ftp, protocol=tcp]
sendmail-whois[name=VSFTPD, dest=you@mail.com]
logpath = /var/log/secure
maxretry = 3

建议设置成maxretry为 3 表示3次错误就封锁，另外logpath(Centos5和Rhel5中)要改成/var/log/secure。

然后我们设置启动服务：
#chkconfig –level 345 fail2ban on
#service fail2ban start

三、测试：
查看iptables 的规则多出了 iptables-ssh的规则

iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination
fail2ban-SSH tcp — anywhere anywhere tcp dpt:ssh
fail2ban-SSH tcp — anywhere anywhere tcp dpt:ssh

Chain fail2ban-SSH (2 references)
target prot opt source destination
DROP all — 122.102.64.54 anywhere

# 这有一个被阻止的IP 拒绝时间根据在你的配置文件设置时间有关我设置的是一天
RETURN all — anywhere anywhere

++++++++++++++++++++++++++++++++++++++++++++++++++++++++
在其他的机器上ssh 192.168.1.2
连续三次输错密码

使用命令fail2ban-client status ssh-iptables
查看阻止状态

或者

fail2ban-client status
Status
|- Number of jail: 1
`- Jail list: ssh-iptables

++++++++++++++++++++++++++++++++++++++++++++++++++++++++

我们在来看看fail2ban的日志记录

2010-05-17 16:57:23,964 fail2ban.actions: WARNING [ssh-iptables] Ban 192.168.1.1
2010-05-17 21:35:00,449 fail2ban.actions: WARNING [ssh-iptables] Ban 218.108.85.244
2010-05-18 03:56:34,986 fail2ban.actions: WARNING [ssh-iptables] Ban 59.39.66.30

记录了被阻止的IP，成功阻止了ssh 密码猜测

这里只是只介绍了保护SSH和VPSFTP方法，配置文件中还有其他的服务配置，有时间了大家可以自己研究一下。