ProFTPD權(quán)限的設(shè)置：本文主要講的是ProFTPD的訪問控制。主要通過 Allow、Deny、Order、Limit四個指令來實現(xiàn)。其中Allow和Deny就是允許或不允許用戶或主機進行操作，Order確定規(guī)則的運用順序，即是先運用Allow規(guī)則還是Deny規(guī)則。Limit就是限制用戶或主機能夠執(zhí)行哪些操作，下面就進行詳細的說明：

　　1、Allow

　　Allow指令位于 標記之間，明確的指明哪些用戶、主機或網(wǎng)絡(luò)能夠執(zhí)行Limit指令指定的命令或操作。Allow一般和Order、Deny一起實現(xiàn)精確的訪問控制。Allow后面可以使用關(guān)鍵字ALL或NONE來指定所有主機或用戶的權(quán)限，默認是ALL。如果對單獨的用戶或主機進行控制，那么必須指定用戶名或主機名，出于安全和性能考慮主機名***使用IP地址標識。當(dāng)然也可以使用掩碼來指定一個網(wǎng)段的訪問控制權(quán)限。下面是一個簡單的例子：　

　　Order allow,deny  
 
　　Allow from 192.168.1.96，trusted-domain.com  
 
　　Deny from all　  
 

　　這個例子的意思就是只允許主機192.168.1.96、trusted-domain.com和10.1.1.網(wǎng)段的主機登錄。

　　2、Deny

　　Deny指令的意思和Allow指令相反，用法相似，這里就不詳細說明了。

　　3、Order

　　Order用來控制訪問控制指令的優(yōu)先權(quán)，在上面的例子中，Order allow，deny就表示先運用Allow規(guī)則然后再運用Deny規(guī)則。

　　4、Limit

　　在ProFTPD的訪問控制中我們用的比較多的應(yīng)該就是Limit了，Limit也是這四個指令中最復(fù)雜的。Limit指令是用來控制命令和行為的，它有三種參數(shù)類型：原始FTP命令、FTP命令組和ALL關(guān)鍵字。FTP命令組是多個原始FTP命令組合起來的，可以實現(xiàn)一定功能的命令集合。FTP命令組主要包括DIRS(列出目錄)、LOGIN(登錄)、READ(可讀)、WRITE(可寫)。這三種參數(shù)是有優(yōu)先級的：原始FTP命令 > FTP命令組 > ALL關(guān)鍵字。 也就是說，如果Limit指令的參數(shù)中既有原始FTP命令也有FTP命令組，那么就只有原始FTP命令起作用而FTP命令組就會被忽視掉。

　　Limit指令一般用在標記間。在ProFTPD下子目錄會繼承父目錄的屬性，這就意味著用在標記間的Limit指令不僅會控制指定目錄的訪問權(quán)限而且會控制該目錄下的所有子目錄及文件的訪問權(quán)限。Limit可以用來限制某個目錄下的命令，但是不可以覆蓋目錄的系統(tǒng)權(quán)限。也就是說Linux系統(tǒng)權(quán)限仍然起作用。如果設(shè)置了目錄test的 允許寫，但是該用戶對test目錄只有讀權(quán)限，這時該用戶就不能向test目錄寫入。

　　在 標記塊中，除了可以使用Allow、Deny、Order指令外，還可以使用 AllowUser、AllowGroup、AllowAll、AllowClass、DenyUser、DenyGroup、DenyAll和 DenyClass等指令。

　　5、實例

　　下面就來舉幾個例子說明上述指令的用法：

　　（1）指定某個目錄只能由管理員刪除，其他用戶只能上傳下載　　

　　AllowUser ftpadm  
 
　　DenyAll　  

　　（2）指定某臺主機對某個目錄的訪問權(quán)限　　

　　DenyAll　　  
 
　　Order allow,deny  
 
　　Allow from 192.168.1.93  
 
　　Deny from all　　  
 
　　Order allow,deny  
 
　　Allow from 192.168.1.96  
 
　　Allow from 192.168.1.93  
 
　　Deny from all　　  
 

　　這里實現(xiàn)了主機192.168.1.93對目錄/path/to/dir有讀寫權(quán)限，而主機192.168.1.96只有只讀權(quán)限。在這里需要說明的是，在塊中所有的命令默認都是允許的。上面的例子中首先對所有用戶關(guān)閉WRITE 命令，然后再對指定的主機打開相應(yīng)的命令。這里注意 下的Allow from 192.168.1.93語句，如果刪除這條語句那么主機192.168.1.93在該目錄下就不可以下載，也就是說主機192.168.1.93就會沒有READ權(quán)限。即使你在 里加上READ( )也不行。

　　（3）只允許匿名用戶登錄　

　　DenyAll　　  
 
　　AllowAll　　  
 

　　LOGIN命令用來限制登錄，該命令對于塊是無效的。像下面這種使用方式是無法工作的：　　

　　enyUser foo　

　　6、總結(jié)

　　***總結(jié)一下：

　　繼承性 ：子目錄會繼承其父目錄的屬性。

　　優(yōu)先級 ：優(yōu)先級由大到小的順序：

　　原始FTP命令(LIST DELE等) > 命令組(DIRS READ WRITE) > ALL關(guān)鍵字

　　訪問控制的應(yīng)用順序 ：不論出現(xiàn)順序如何，先應(yīng)用拒絕(Deny)，后應(yīng)用允許(Allow)

　　系統(tǒng)權(quán)限 ：Linux系統(tǒng)權(quán)限仍然起作用。如果設(shè)置了目錄test的 允許寫，但是該用戶對test目錄只有讀權(quán)限，這是該用戶就不能向test目錄寫入。

　　默認值 ：在塊中，默認是允許所有的命令和操作。

【編輯推薦】

1. ProFTPD.conf的詳細配置方法
2. Proftpd配置文件結(jié)構(gòu)分析
3. ProFTP下的參數(shù)說明
4. Porftpd.conf的配置格式
5. lampp的ProFTPd下新增FTP用戶的方法
6. Debian下配置ProFTPd服務(wù)器
7. Centos下ProFTPD配置FTP服務(wù)器