vsftpd
| vsftpd | |
|---|---|
| Käyttöliittymä | taustapalvelu |
| Lisenssi | GPLv2 |
| Kotisivu | security.appspot.com/vsftpd.html |
vsftpd (Very Secure FTP Daemon) on FTP taustapalvelu.
Asennus
vsftpd löytyy useimpien jakeluiden paketinhallinnasta nimellä vsftpd. Lisätietoja ohjelmien asentamisesta löytyy artikkelista Ohjelmien asentaminen.
Asetukset
Ohjelman asetustiedoston sijainti riippuu hieman jakelusta.
CentOS
/etc/vsftpd/vsftpd.conf
Debian
/etc/vsftpd.conf
Asetusten kommentoiminen ulos ei välttämättä auta, sillä vsftpd saattaa tuolloin käyttää oletusasetuksia. Asetusten muuttamisen jälkeen vsftpd tulee myös aina käynnistää uudelleen, jotta asetukset tulevat voimaan.
# service vsftpd restart
Anonyymi FTP-tunnus voidaan ottaa pois käytöstä muuttamalla anonymous_enable asetusta
anonymous_enable=NO
Kun käyttäjä yhdistää FTP-palvelimelle, voi käyttäjä liikkua koko järjestelmässä mikäli tiedostot ja hakemistot ovat luettavissa. Tämä ei ole suotavaa, sillä kuka tahansa käyttäjä voi tuolloin lukea ja ladata tiedostoja esimerkiksi /etc, /var tai /usr hakemistoista. Käyttäjien oikeudet voidaan rajata heidän omiin kotihakemistoihinsa muuttamalla chroot_local_user-asetusta.
chroot_local_user=YES
FTP on suunniteltu selväkieliseksi protokollaksi, mikä tarkoittaa sitä että tiedot kulkevat salaamattomina asiakkaan ja palvelimen välillä. Yhteys voidaan kuitenkin salata SSL/TLS-protokollalla. Ensin luodaan sertifikaatti ja salainen avain.
# openssl req -x509 -days 365 -newkey rsa:2048 -nodes -keyout /etc/vsftpd/vsftpd.pem -out /etc/vsftpd/vsftpd.pem
Tämän jälkeen tulee asetustiedostoon lisätä seuraavat muutokset:
# Otetaan TLS/SSL käyttöön ssl_enable=YES # Pakotetaan asiakasohjelma käyttämään TLS-salausta sisäänkirjautuessa allow_anon_ssl=NO force_local_data_ssl=YES force_local_logins_ssl=YES ssl_tlsv1=YES ssl_sslv2=NO ssl_sslv3=NO require_ssl_reuse=NO ssl_ciphers=HIGH # Määritellään SSL-sertifikaatti ja salainen avain rsa_cert_file=/etc/vsftpd/vsftpd.pem rsa_private_key_file=/etc/vsftpd/vsftpd.pem # Määritellään portit passiivisille yhteyksille pasv_max_port=65535 pasv_min_port=64000
vsftpd tarjoaa useita tapoja yhteyksien ja kaistan hallintaan.
# Anonyymien yhteyksien nopeus voidaan rajoittaa esimerkiksi 50KB/s anon_max_rate=50000 # Käyttäjien yhteyksien nopeus voidaan rajoittaa esimerkiksi 100KB/s local_max_rate=100000 # Yhteys katkaistaan 300 sekunnin toimettomuuden jälkeen idle_session_timeout=300 # Maksimi yhteyksien määrä yhdestä IP-osoitteesta auttaa torjumaan muun muassa palvelunestohyökkäyksiä. max_per_ip=50
Lokitus kannattaa myös ottaa käyttöön.
xferlog_enable=YES xferlog_std_format=NO xferlog_file=/var/log/vsftpd.log log_ftp_protocol=YES debug_ssl=YES