CentOSFTP服务器共享文件夹管理

一场景与方案选型

常见需求包括：为多个用户提供一个可读写的公共目录、为每个用户隔离个人目录、仅开放只读的公共资料库、以及更安全的SFTP共享。下表给出常用方案与要点：

场景推荐方案关键要点
多用户公共目录（可读写）vsftpd+共享组+ACL共享目录属主root:共享组，权限770；用户加入共享组；必要时用ACL给个别用户额外授权
用户个人目录隔离vsftpd+chroot启用chroot锁定用户到家目录；如需可写，使用allow_writeable_chroot或“可写子目录”方案
只读公共资料库vsftpd匿名或本地只读匿名根目录设为只读共享目录；或本地用户只读策略
更安全的共享（SFTP）OpenSSHSFTP+chroot使用组限制、目录root属主、权限755、子目录授权上传，必要时ForceCommandinternal-sftp

上述做法在CentOS上均易落地，且便于权限审计与维护。

二快速搭建vsftpd公共共享目录（本地用户）

安装与启动

安装：sudoyuminstall-yvsftpd

开机自启并启动：sudosystemctlenable--nowvsftpd

检查端口：sudoss-tlnp|grep:21

创建共享目录与组

目录：sudomkdir-p/ftp/share

组：sudogroupaddftpgrp

权限：sudochownroot:ftpgrp/ftp/share&&sudochmod770/ftp/share

创建用户并加入共享组（禁止登录shell，仅用于FTP）

sudouseradd-d/ftp/share-s/sbin/nologinftpuser1

sudousermod-aGftpgrpftpuser1

如需个人隔离目录：sudomkdir-p/ftp/home/ftpuser1&&sudochownftpuser1:ftpuser1/ftp/home/ftpuser1&&sudochmod700/ftp/home/ftpuser1

配置vsftpd（/etc/vsftpd/vsftpd.conf）

核心：

anonymous_enable=NO

local_enable=YES

write_enable=YES

local_umask=022

chroot_local_user=YES

allow_writeable_chroot=YES

listen=YES

可选：启用用户名单

userlist_enable=YES

userlist_file=/etc/vsftpd/user_list

userlist_deny=NO（白名单模式）

防火墙放行

被动模式需放行FTP数据端口范围（示例30000–31000）：

sudofirewall-cmd--permanent--add-service=ftp

sudofirewall-cmd--permanent--add-port=30000-31000/tcp

sudofirewall-cmd--reload

重启生效：sudosystemctlrestartvsftpd

客户端测试

使用FileZilla/命令行ftp连接，验证登录、列目录、上传/下载、公共目录写入与隔离目录不可越权访问。

三权限与SELinux要点

共享目录推荐“root属主+共享组+770”，必要时用ACL精细化授权：

例：sudosetfacl-mu:ftpuser2:rwx/ftp/share（仅给特定用户额外写权限）

SELinux（若启用）

允许本地用户家目录访问：sudosetsebool-Pftp_home_diron

若自定义目录，修正类型：sudochcon-Rtpublic_content_rw_t/ftp/share（只读共享可用public_content_t）

chroot可写性

若chroot目录可写，vsftpd需配置allow_writeable_chroot=YES；更安全的做法是保持chroot目录只读，在内部为上传创建可写子目录（如upload，权限770并归属相应用户/组）。

四常见问题与排查

无法启动vsftpd

检查端口占用：sudoss-tlnp|grep:21；若被占用，释放或调整端口后重启服务。

登录失败或被动模式不可用

核对/etc/vsftpd/vsftpd.conf关键项（local_enable/write_enable、chroot相关、listen）；确保防火墙放行控制端口与被动端口范围。

能登录但无法写入共享目录

核对共享目录属主/属组与权限（root:ftpgrp，770），用户是否在ftpgrp；若启用SELinux，检查布尔值与上下文是否正确。

用户被越权访问

确认chroot生效且用户家目录不可向上遍历；公共目录避免给“其他用户”写权限；必要时用ACL精确授权。

五SFTP共享目录管理（更安全的替代）

适用场景：需要更强的传输安全（加密通道）且以目录为边界进行隔离与授权。

基本思路

创建sftp组与共享目录：sudogroupaddsftpusers；sudomkdir-p/sftp/share

共享目录权限：sudochownroot:sftpusers/sftp/share&&sudochmod755/sftp/share

可写子目录：sudomkdir/sftp/share/upload&&sudochownftpuser1:sftpusers/sftp/share/upload&&sudochmod770/sftp/share/upload

配置/etc/ssh/sshd_config（片段）：

MatchGroupsftpusers

ChrootDirectory/sftp/%u

ForceCommandinternal-sftp

AllowTcpForwardingno

X11Forwardingno

重启SSH：sudosystemctlrestartsshd

说明

通过组限制与chroot，用户登录后根即为各自目录；在共享目录内为需要协作的用户创建可写子目录并授权，实现“公共可写、个人隔离”。