diff options
Diffstat (limited to 'LINUX/VSFTPD.md')
| -rw-r--r-- | LINUX/VSFTPD.md | 367 |
1 files changed, 367 insertions, 0 deletions
diff --git a/LINUX/VSFTPD.md b/LINUX/VSFTPD.md new file mode 100644 index 0000000..d2e80ed --- /dev/null +++ b/LINUX/VSFTPD.md @@ -0,0 +1,367 @@ +## Обновление системных пакетов + +Перед установкой любого нового ПО рекомендуем обновлять системные пакеты до актуальных версий. Рассмотрим, какие команды для этого следует выполнить. + +1. Обновление списка доступных пакетов и их версий: + + `sudo apt update` + +2. Обновление установленных пакетов до последних версий: + + `sudo apt upgrade -y` + +Теперь система готова к установке FTP-сервера. + +## Выбор FTP-сервера на Ubuntu + +FTP-серверы широко используют для обмена файлами, так как FTP-протокол позволяет одновременно передавать большие объемы данных, например резервные копии. Быстрое копирование файлов на FTP-сервер достигается благодаря передаче данных потоком. + +Существует несколько популярных FTP-серверов для Linux. Рассмотрим некоторые из них. + +**VSFTPD (Very Secure FTP Daemon)** + +Преимущества: высокий уровень безопасности, отличная производительность, поддержка виртуальных пользователей, возможность ограничения доступа к домашним директориям. + +Недостатки: для обеспечения максимальной безопасности нужна детальная настройка. + +**ProFTPD (Professional FTP Daemon)** + +Преимущества: гибкие настройки, поддержка модулей, возможность использования конфигурации, похожей на Apache. + +Недостатки: более длительная настройка по сравнению с VSFTPD, меньшая производительность при высокой нагрузке. + +**Pure-FTPd** + +Преимущества: легкость установки и использования, высокая производительность, поддержка виртуальных пользователей. + +Недостатки: меньшее количество настроек безопасности по сравнению с VSFTPD и ProFTPD. + +### Что выбрали + +Для демонстрации установки и настройки будем использовать VSFTPD по нескольким причинам. + +- Низкий ресурсный overhead. VSFTPD потребляет минимум ресурсов, что делает его идеальным для систем с ограниченными возможностями. +- Высокая скорость передачи данных. Обеспечивает отличную производительность при передаче файлов, что важно для высоконагруженных серверов. +- Встроенная поддержка шифрования для безопасной передачи данных — SSL/TLS. +- Многоплатформенность. Работает на большинстве UNIX-подобных систем. +- Простота интеграции с системами безопасности. Легко интегрируется с PAM и другими системами аутентификации для гибкого управления доступом. + +[ + +## Создайте FTP-сервер на мощностях Selectel + +Более 100 фиксированных конфигураций с готовностью — 2 минуты. + +](https://selectel.ru/services/cloud/servers/ftp/) + +## Установка FTP-сервера на Ubuntu + +### Установка VSFTPD + +VSFTPD прост в установке — он доступен в стандартных репозиториях Ubuntu. Откроем терминал и выполним следующую команду: + + `sudo apt install vsftpd -y` + +### Запуск и настройка автозагрузки VSFTPD + +После установки запустим VSFTPD: + + `sudo systemctl start vsftpd` + +Совет: для настройки автозагрузки VSFTPD при запуске системы выполните команду sudo systemctl enable vsftpd. + +### Проверка состояния VSFTPD + +После запуска службы проверим ее состояние: + + `sudo systemctl status vsftpd` + +В выводе отобразится текущий статус службы VSFTPD. Если она запущена корректно, мы увидим сообщение, что VSFTPD активен и работает (Active: active (running)). + +Пример вывода sudo systemctl status vsftpd: + + `● vsftpd.service - vsftpd FTP server Loaded: loaded (/lib/systemd/system/vsftpd.service; enabled; vendor preset: enabled) Active: active (running) since Tue 2024-06-23 14:35:26 UTC; 2h 15min ago Main PID: 12345 (vsftpd) Tasks: 1 (limit: 4915) Memory: 1.3M CGroup: /system.slice/vsftpd.service └─12345 /usr/sbin/vsftpd /etc/vsftpd.conf` + +### Настройка файрвола для FTP + +Если на сервере включен файрвол, следует открыть порты для FTP, чтобы обеспечить доступ к серверу. + +В примере используем UFW (Uncomplicated Firewall). Команды далее могут отличаться в зависимости от вашего брандмауэра. + + +1. По умолчанию FTP использует порты 20 и 21 (TCP-трафик), а также диапазон 30000-31000 (пассивный режим FTP). Чтобы открыть их, выполним команды: + + `sudo ufw allow 20/tcp sudo ufw allow 21/tcp sudo ufw allow 30000:31000/tcp` + +2. Перезапустим файрвол для применения изменений: + + `sudo ufw reload` + +3. Убедимся, что правила файрвола применены корректно: + + `sudo ufw status` + +Пример вывода sudo ufw status: + + `Status: active To Action From -- ------ ---- 20/tcp ALLOW Anywhere 21/tcp ALLOW Anywhere 30000:31000/tcp ALLOW Anywhere 22/tcp ALLOW Anywhere` + +## Настройка FTP-сервера в Ubuntu + +### Основная настройка + +Конфигурационный файл VSFTPD находится в директории /etc/vsftpd.conf. Чтобы его отредактировать, можно воспользоваться любым текстовым редактором, например nano: + + `sudo nano /etc/vsftpd.conf` + +Для обеспечения безопасности и эффективности работы сервера изменим конфигурационный файл VSFTPD в соответствии с настройками. + +1. Отключим анонимный доступ, заменив значение параметра anonymous_enable на NO: + + `anonymous_enable=NO` + +2. Для разрешения входа на сервер локальным пользователям установим значение параметра local_enable на YES: + + `local_enable=YES` + +3. Разрешим команды записи. Чтобы пользователи могли загружать файлы на сервер, установим значение параметра write_enable на YES: + + `write_enable=YES` + +4. Настроим права доступа для новых файлов, создаваемых пользователями. Их автоматическое назначение осуществляется с помощью параметра local_umask. Значение 022 позволяет владельцу файла записывать, читать и выполнять, а всем остальным — читать и выполнять: + + `local_umask=022` + +Набор прав состоит из трех цифр: + +- первая — права владельца, +- вторая — права группы владельца, +- третья — права остальных пользователей. + +Каждая из них может принимать значения: + +- 0 — нет прав; +- 1 — выполнение; +- 2 — запись; +- 3 — запись и выполнение; +- 4 — чтение; +- 5 — чтение и выполнение; +- 6 — чтение и запись; +- 7 — чтение, запись и выполнение. + +Новые файлы и директории будут создаваться с правами, которые исходят из полного набора (777) за вычетом значений local_umask. Например, маска 022 означает набор прав 755. + +5. Включим отображение приветственных сообщений при входе в директории: + + `dirmessage_enable=YES` + +Для настройки текста сообщений следует перейти в интересующую директорию и создать в ней файл .message. Когда пользователь будет переходить в данную директорию, он будет получать сообщение, текст которого указан в файле. + +6. Для корректной работы файрвола установим использование порта 20 для передачи данных: + + `connect_from_port_20=YES` + +7. Чтобы ограничить пользователей их домашними директориями, установим значение параметра chroot_local_user на YES: + + `chroot_local_user=YES allow_writeable_chroot=YES` + +Параметр allow_writeable_chroot используется, чтобы разрешить запись в домашнюю директорию пользователя при использовании chroot_local_user=YES. + +8. Зададим корневую директорию для каждого пользователя: + + `user_sub_token=$USER local_root=/home/$USER/ftp` + +9. После внесения всех изменений сохраним файл (**Ctrl+O** в nano), закроем редактор (**Ctrl+X** в nano) и перезапустим службу VSFTPD для применения изменений: + + `sudo systemctl restart vsftpd` + +### Тестирование VSFTPD + +1. Проверим корректность применения настроек. Для начала создадим тестового пользователя: + + `sudo adduser testuser sudo passwd testuser` + +2. Создадим необходимые директории и настроим на них права: + + `sudo mkdir -p /home/testuser/ftp/upload sudo chown nobody:nogroup /home/testuser/ftp sudo chmod a-w /home/testuser/ftp sudo chown -R testuser:testuser /home/testuser/ftp/upload` + +3. Добавим пользователя в список пользователей VSFTPD: + + `echo "testuser" | sudo tee -a /etc/vsftpd.userlist` + +4. Подключимся к серверу с учетными данными тестового пользователя и убедимся в возможности загружать файлы в директорию /upload. Можно использовать любой FTP-клиент, в рамках инструкции будем пользоваться FileZilla. + +### Настройка часового пояса + +Чтобы сервер использовал локальное время, откроем конфигурационный файл VSFTPD и установим параметр use_localtime на YES: + + `use_localtime=YES` + +### Настройка логов + +Для настройки логирования перейдем в конфигурационный файл VSFTPD и включим логирование всех FTP-транзакций: + + `xferlog_enable=YES xferlog_std_format=YES` + +Параметр xferlog_std_format позволяет использовать стандартный формат логов. + +Также следует указать корректный путь к файлу логов (обычно /var/log/vsftpd.log): + + `xferlog_file=/var/log/vsftpd.log` + +### Настройка PAM-сервиса + +PAM (Pluggable Authentication Modules) — это система аутентификации, используемая в UNIX-подобных ОС, включая Linux. PAM позволяет администраторам настраивать политику аутентификации для различных приложений и служб. Для этого используется набор модулей, которые могут быть включены и настроены по мере необходимости. + +Для использования PAM необходимо предварительно включить его в файле /etc/vsftpd.conf. + +1. Откроем файл /etc/vsftpd.conf: + + `sudo nano /etc/vsftpd.conf` + +2. Отредактируем строку pam_service_name: + + `pam_service_name=vsftpd` + +Для дальнейшей настройки сервиса PAM в VSFTPD следует внести изменения в файл /etc/pam.d/vsftpd. Внутри него — инструкции, которые PAM использует для управления аутентификацией пользователей при подключении к FTP-серверу. + +3. Откроем файл конфигурации PAM для VSFTPD: + + `sudo nano /etc/pam.d/vsftpd` + +4. Настроим параметры аутентификации в соответствии со списком: + + `auth required pam_listfile.so item=user sense=deny file=/etc/vsftpd.ftpusers onerr=succeed auth required pam_shells.so auth include common-auth account include common-account session include common-session` + +- auth required pam_listfile.so item=user sense=deny file=/etc/vsftpd.ftpusers onerr=succeed — отказывает в доступе пользователям из файла /etc/vsftpd.ftpusers. +- auth required pam_shells.so — проверяет, что оболочка пользователя разрешена. +- auth include common-auth — включает общие правила аутентификации. +- account include common-account — включает общие правила управления учетными записями. +- session include common-session — включает общие правила управления сеансами. + +5. Создадим файл списка пользователей: + + `sudo nano /etc/vsftpd.ftpusers` + +Добавим имена пользователей, которым следует запретить доступ (по одному на строку). + +6. Перезапустим службу VSFTPD: + + `sudo systemctl restart vsftpd` + +## Создание пользователей + +### Создание + +Для создания нового пользователя на сервере выполним команду: + + `sudo adduser ftpuser` + +Далее следует ввести пароль для нового пользователя и несколько дополнительных данных (имя, номер телефона и прочее). Можно оставить эти поля пустыми, нажав **Enter**. + +Для назначения или изменения пароля пользователя нужно выполнить команду sudo passwd ftpuser, ввести новый пароль и подтвердить его. + +### Настройка домашних папок + +1. Создадим домашнюю папку пользователя: + + `sudo mkdir -p /home/ftpuser/ftp` + +2. Домашний каталог пользователя должен быть защищен от записи, чтобы соблюсти требования безопасности VSFTPD: + + `sudo chown nobody:nogroup /home/ftpuser/ftp sudo chmod a-w /home/ftpuser/ftp` + +3. Далее создадим папку, в которую пользователь сможет загружать файлы, и настроим права доступа: + + `sudo mkdir -p /home/ftpuser/ftp/upload sudo chown -R ftpuser:ftpuser /home/ftpuser/ftp/upload sudo chmod -R 0755 /home/ftpuser/ftp/upload` + +### Настройка анонимного или только авторизованного доступа + +VSFTPD поддерживает доступ как анонимных, так и авторизованных пользователей. Для настройки политики следует внести изменения в конфигурационный файл. + +#### Анонимный доступ + +Если нам нужно разрешить анонимный доступ к FTP-серверу, следует указать для параметра anonymous_enable значение YES в конфигурационном файле /etc/vsftpd.conf: + + `anonymous_enable=YES` + +#### Авторизованный доступ + +Чтобы разрешить доступ к FTP-серверу авторизованным пользователям, укажем для параметра local_enable значение YES: + + `local_enable=YES` + +### Разрешение / запрет доступа по SSH + +Все настройки доступа к серверу по SSH находятся в конфигурационном файле /etc/ssh/sshd_config. В нем описываются разрешающие и запрещающие правила. + +Для разрешения или запрета доступа к серверу по SSH группе пользователей следует указать в конфигурационном файле одну из следующих строк соответственно: + + `AllowGroups ftpusers` + + `DenyGroups ftpusers` + +Чтобы разрешить или запретить доступ для отдельных пользователей, следует использовать следующие параметры: + + `AllowUsers ftpuser` + + `DenyUsers ftpuser` + +Группа ftpusers и пользователь ftpuser указаны в качестве примера. + +Для применения новых правил перезапустим службу SSH: + + `sudo systemctl restart ssh` + +Порядок правил, указанных в конфигурационном файле SSH, имеет важное значение в определении политики доступа пользователя. Например, первым указано правило, запрещающее пользователям группы ftpusers доступ по SSH, а затем указано правило, разрешающее доступ пользователю ftpuser1 (входящему в группу ftpusers). + +В таком случае у пользователя ftpuser1 будет доступ к серверу по SSH. При установке этих правил в обратном порядке, пользователь ftpuser1 не получит доступ по SSH. + +## Настройка SSL/TLS + +Обеспечение безопасности FTP-соединений может обеспечить [SSL/TLS-протокол](https://selectel.ru/blog/what-is-ssl/). + +1. Создадим директорию, в которой будут храниться SSL-сертификаты и ключи: + + `sudo mkdir /etc/ssl/private` + +2. Создадим самоподписанный сертификат: + + `sudo openssl req -x509 -nodes -days 3650 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.key -out /etc/ssl/private/vsftpd.pem` + +Ключ будет действителен в течение 10 лет. + +В процессе генерации будет предложено ввести информацию о сертификате: страну, город, организацию и т. д. Можно оставить некоторые поля пустыми, нажав **Enter**. + +3. Для использования созданного сертификата откроем конфигурационный файл VSFTPD: + + `sudo nano /etc/vsftpd.conf` + +4. Внесем в него изменения в соответствии со следующим списком: + + `rsa_cert_file=/etc/ssl/private/vsftpd.pem rsa_private_key_file=/etc/ssl/private/vsftpd.key ssl_enable=YES allow_anon_ssl=NO force_local_data_ssl=YES force_local_logins_ssl=YES ssl_tlsv1=YES ssl_sslv2=NO ssl_sslv3=NO require_ssl_reuse=NO ssl_ciphers=HIGH` + +- rsa_cert_file и rsa_private_key_file — указывают путь к сертификату и приватному ключу. +- ssl_enable=YES — включает SSL. +- allow_anon_ssl=NO — запрещает анонимный доступ через SSL. +- force_local_data_ssl=YES и force_local_logins_ssl=YES — требуют использование SSL для всех данных и логинов локальных пользователей. +- ssl_tlsv1=YES, ssl_sslv2=NO, ssl_sslv3=NO — включают TLSv1 и отключают устаревшие SSLv2 и SSLv3. +- require_ssl_reuse=NO — отключает требование повторного использования SSL-сессий. +- ssl_ciphers=HIGH — устанавливает использование только сильных шифров. + +5. После внесения изменений сохраним файл и перезапустим службу VSFTPD: + + `sudo systemctl restart vsftpd` + +При установке SSL/TLS-сертификатов подключение через FTP-клиенты осуществляется стандартным путем. + +## Проверка подключения к серверу через FTP-клиент + +Теперь FTP-сервер настроен и готов принимать безопасные соединения от клиентов. + +Популярные программы, позволяющие подключаться к FTP-серверам, — FileZilla, WinSCP, FAR Manager, Total Commander, Midnight Commander и Cyberduck. Далее будем использовать наиболее известный кроссплатформенный FTP-клиент — FileZilla. + +Для его установки в Ubuntu выполним команду: + + `sudo apt-get install filezilla` + +Для подключения к FTP-серверу следует заполнить поля **Хост** (IP-адрес сервера), **Имя пользователя**, **Пароль** и нажать на кнопку **Быстрое соединение**. После подключения к FTP-серверу в правой части окна появится список директорий, доступных для данного пользователя.
\ No newline at end of file |