Как настроить FTP-сервер с VSFTPD в Ubuntu 18.04
How to Setup FTP Server with VSFTPD on Ubuntu 18.04
Хотя это руководство написано для Ubuntu 18.04, те же инструкции применимы для Ubuntu 16.04 и любого дистрибутива на основе Debian, включая Debian, Linux Mint и Elementary OS.
Для Linux доступно множество FTP-серверов с открытым исходным кодом. Наиболее популярными и широко используемыми являются PureFTPd , ProFTPD и vsftpd . В этом руководстве мы будем устанавливать vsftpd (Very Secure Ftp Daemon). Это стабильный, безопасный и быстрый FTP-сервер. Мы также покажем вам, как настроить vsftpd, чтобы ограничить пользователей их домашним каталогом и зашифровать всю передачу с помощью SSL / TLS.
Для более безопасной и быстрой передачи данных используйте SCP или SFTP .
Прежде чем приступить
Прежде чем продолжить это руководство, убедитесь, что вы вошли в систему как пользователь с привилегиями sudo .
Установка vsftpd в Ubuntu 18.04
Пакет vsftpd доступен в репозиториях Ubuntu. Чтобы установить его, просто выполните следующие команды:
Служба vsftpd автоматически запустится после завершения процесса установки. Проверьте это, распечатав статус службы:
Результат будет выглядеть примерно так, как показано ниже, показывая, что служба vsftpd активна и работает:
Настройка vsftpd
Сервер vsftpd можно настроить, отредактировав /etc/vsftpd.conf файл. Большинство настроек хорошо задокументированы в файле конфигурации. Чтобы узнать обо всех доступных вариантах, посетите официальную страницу vsftpd .
В следующих разделах мы рассмотрим некоторые важные настройки, необходимые для настройки безопасной установки vsftpd.
Начните с открытия файла конфигурации vsftpd:
1. Доступ по FTP
Мы разрешим доступ к FTP — серверу только локальным пользователям, найти anonymous_enable и local_enable директиву и подтвердить свой матч конфигурации линий ниже:
2. Включение загрузки
Раскомментируйте write_enable параметр, чтобы разрешить изменения файловой системы, такие как загрузка и удаление файлов.
3. Chroot Jail
Чтобы предотвратить доступ пользователей FTP к файлам за пределами их домашних каталогов, раскомментируйте chroot параметр.
По умолчанию, чтобы предотвратить уязвимость системы безопасности, когда включен chroot, vsftpd откажется загружать файлы, если каталог, в котором заблокированы пользователи, доступен для записи.
Используйте один из приведенных ниже методов, чтобы разрешить загрузку при включенном chroot.
Метод 1. — Рекомендуемый метод разрешения загрузки — оставить включенным chroot и настроить каталоги FTP. В этом руководстве мы создадим ftp каталог внутри дома пользователя, который будет служить корневым uploads каталогом и каталогом с возможностью записи для загрузки файлов.
Метод 2. Другой вариант — добавить следующую директиву в файл конфигурации vsftpd. Используйте эту опцию, если вам необходимо предоставить пользователю доступ с правом записи к его домашнему каталогу.
4. Пассивные FTP-соединения
Добавьте в файл конфигурации следующие строки:
5. Ограничение входа пользователя
Чтобы разрешить доступ к FTP-серверу только определенным пользователям, добавьте следующие строки в конец файла:
Когда этот параметр включен, вам необходимо явно указать, какие пользователи могут входить в систему, добавив имена пользователей в /etc/vsftpd.user_list файл (по одному пользователю в строке).
6. Защита передачи с помощью SSL / TLS
Чтобы зашифровать FTP-передачу с помощью SSL / TLS, вам потребуется сертификат SSL и настроить FTP-сервер для его использования.
Вы можете использовать существующий сертификат SSL, подписанный доверенным центром сертификации, или создать самозаверяющий сертификат.
Если у вас есть домен или субдомен, указывающий на IP-адрес FTP-сервера, вы можете легко создать бесплатный SSL-сертификат Let’s Encrypt .
Мы сгенерируем самоподписанный сертификат SSL с помощью openssl команды.
Следующая команда создаст 2048-битный закрытый ключ и самозаверяющий сертификат, действительный в течение 10 лет. И закрытый ключ, и сертификат будут сохранены в одном файле:
После создания SSL-сертификата откройте файл конфигурации vsftpd:
Найдите rsa_cert_file и rsa_private_key_file директивы, изменять их значение в pam пути к файлу и установить ssl_enable директиву YES :
Если не указано иное, FTP-сервер будет использовать только TLS для безопасных соединений.
Перезапустите службу vsftpd
После того, как вы закончите редактирование, конфигурационный файл vsftpd (без комментариев) должен выглядеть примерно так:
Сохраните файл и перезапустите службу vsftpd, чтобы изменения вступили в силу:
Открытие брандмауэра
Если вы используете брандмауэр UFW, вам необходимо разрешить FTP-трафик.
Чтобы открыть порт 21 (командный порт FTP), порт 20 ( порт данных FTP) и 30000-31000 (диапазон пассивных портов), выполните следующие команды:
Чтобы избежать блокировки, откройте порт 22 :
Перезагрузите правила UFW, отключив и снова включив UFW:
Чтобы проверить запуск изменений:
Создание пользователя FTP
Чтобы протестировать наш FTP-сервер, мы создадим нового пользователя.
- Если у вас уже есть пользователь, которому вы хотите предоставить доступ по FTP, пропустите 1-й шаг.
- Если вы установили allow_writeable_chroot=YES в своем файле конфигурации, пропустите 3-й шаг.
Создайте нового пользователя с именем newftpuser :
Добавьте пользователя в список разрешенных пользователей FTP:
Создайте дерево каталогов FTP и установите правильные разрешения :
Как обсуждалось в предыдущем разделе, пользователь сможет загружать свои файлы в ftp/upload каталог.
На этом этапе ваш FTP-сервер полностью функционален, и вы должны иметь возможность подключиться к своему серверу с помощью любого FTP-клиента, который может быть настроен для использования шифрования TLS, например FileZilla .
Отключение доступа к оболочке
По умолчанию при создании пользователя, если это не указано явно, у пользователя будет SSH-доступ к серверу.
Чтобы отключить доступ к оболочке, мы создадим новую оболочку, которая просто напечатает сообщение, сообщающее пользователю, что его учетная запись ограничена только доступом по FTP.
Создайте /bin/ftponly оболочку и сделайте ее исполняемой:
Добавьте новую оболочку в список допустимых оболочек в /etc/shells файле:
Измените оболочку пользователя на /bin/ftponly :
Используйте ту же команду, чтобы изменить оболочку всех пользователей, которым вы хотите предоставить только доступ по FTP.
Заключение
В этом руководстве вы узнали, как установить и настроить безопасный и быстрый FTP-сервер в вашей системе Ubuntu 18.04.
Как открыть порты на Windows 10 — пошаговая инструкция
Все про Windows 10
У многих пользователей Windows 10 возникает необходимость открыть закрытые порты в брандмауэре. Как правило открытие определенных портов, требуется для торрентов, систем удаленного доступа и других приложений использующих сетевое подключение. В материале подробно рассмотрим как работать с сетевыми портами и как открыть порты на OS Windows 10.
Открываем порты в Windows 10
- Нажимаем на клавиатуре Win + R;
- В открывшемся окне «Выполнить», вводим команду firewall.cpl и нажимаем «ОК». Либо переходите в проводнике по адресу: Панель управления\Все элементы панели управления\Брандмауэр Защитника Windows;
- Откроется окно настроек брандмауэра, в меню расположенном с левой стороны выберите «Дополнительные параметры»;
- В левой части окна выбираете пункт «Правила для входящих подключений», далее в правой части окна нажимаете «Создать правило»;
- Выбираете пункт «Для порта» и кликните кнопку «Далее»;
- Далее создаем правило для 2-х протоколов TCP и UDP, поочередно. Для обоих протоколов процедура одинаковая. В первую очередь выберите «Протокол TCP», укажите требуемый порт и нажмите «Далее»;
Список популярных портов:
21 — протокол FTP;
22 – SSH соединение;
80 — это порт протокола HTTP;
110 – протокол электронной почты POP3;
143 – протокол электронной почты IMAP;
443 — протокол HTTPS;
3389 — только для TCP, используется для удалённых подключений RDPl;
25565 – игра Minecraft;
33033 – торрент клиенты. - Выбираем пункт «Разрешить подключение» и нажимаем «Далее»;
- Отмечаем требуемые профили и нажимаем «Далее»;
- В открывшемся окне вводим «Имя» и «Описание» профиля. После чего, нажимаем готово для сохранения.
- Теперь необходимо создать правила для исходящих подключений. Для этого вернитесь в пункт 4, только теперь выберите «Правила для исходящих подключений», далее в правой части окна нажимаете «Создать правило»;
- Создайте правило для 2-х протоколов TCP и UDP, поочередно.
Готово! Таким образом мы открыли порты на Windows 10 для входящих и исходящих подключений.
Почему после настроек брандмауэра порты остались закрыты?
В случае если проделав все пункты, порт остался закрытым. Необходимо убедиться, что на компьютере отсутсвует другое программное обеспечение управляющее портами. Это может быть антивирус или сторонний брандмауэр.
Очень часто порты остаются закрытыми если в локальной сети используется роутер, в настройках которого запрещены подключения к требуемому порту или не настроен «проброс портов» от внешнего IP адреса к внутреннему IP. Соответсвенно необходимо изменить настройки роутера, в соответсвии с требуемыми параметрами.
Также современные провайдеры часто закрывают опасные порты, как правило открыть их возможно в личном кабинете или через службу поддержки.
TCP-порт № 21 и как он работает с FTP
Протокол передачи файлов (FTP) обеспечивает основу для передачи информации между двумя сетевыми компьютерами, так же как и протокол передачи гипертекста (HTTP) через веб-браузер. FTP, однако, работает на двух разных портах протокола управления передачей (TCP): 20 и 21. FTP-порты 20 и 21 должны быть открыты в сети для успешной передачи файлов.
После ввода правильного имени пользователя и пароля FTP через программное обеспечение клиента FTP программное обеспечение сервера FTP открывает порт 21, который по умолчанию иногда называют команда или порт управления . Затем клиент устанавливает другое соединение с сервером через порт 20, чтобы можно было осуществлять фактическую передачу файлов.
Порт по умолчанию для отправки команд и файлов по FTP можно изменить. Однако существует стандарт, так что клиентские/программные программы, маршрутизаторы и брандмауэры могут согласовывать одни и те же порты, что упрощает настройку.
Как подключиться через FTP-порт 21
Если FTP не работает, правильные порты могут быть не открыты в сети. Эта блокировка может происходить на стороне сервера или на стороне клиента. Любое программное обеспечение, блокирующее порты, необходимо изменить вручную, чтобы открыть их, включая маршрутизаторы и брандмауэры, которые могут блокировать порты, если операционная система этого не делает.
По умолчанию маршрутизаторы и брандмауэры могут не принимать соединения через порт 21. Если FTP не работает, лучше сначала проверить, правильно ли маршрутизатор перенаправляет запросы на этот порт и что брандмауэр не блокирует порт 21.
Используйте Port Checker для сканирования вашей сети, чтобы убедиться, что у маршрутизатора открыт порт 21. Функция, называемая пассивным режимом, помогает проверить наличие барьеров для доступа к порту за маршрутизатором.
В дополнение к тому, что порт 21 открыт с обеих сторон канала связи, порт 20 также должен быть разрешен в сети и через клиентское программное обеспечение. Пренебрежение открытием обоих портов предотвращает полную передачу назад и вперед.
Когда он подключен к FTP-серверу, клиентское программное обеспечение запрашивает учетные данные для входа – имя пользователя и пароль – необходимые для доступа к этому конкретному серверу. Многие FTP-серверы, если вы входите через telnet или через соединение Secure Shell, предлагают анонимные учетные данные по умолчанию.
FileZilla и WinSCP – два популярных FTP-клиента. Оба доступны бесплатно.