Bruno: /* FTP seguro */

2022-04-21T11:44:11Z

FTP seguro

Página nueva

vsftp ou (Very secure FTP) supostamente é o servidor FTP máis seguro para o mundo Linux/Unix, en canto a seguridade, rendemento e escalabilidade.

Soporta o uso de certificados dixitais SSL, sempre e cando o cliente ftp os soporte (empregar o cliente ftp-ssl en vez de ftp). Unha das peculiaridades que permite, e o uso de gaiolas chroot para os usuarios. Unha gaiola chroot, establece un directorio determinado como directorio raíz. Desde ese directorio, non se poderá acceder a ningún de nivel superior, pero si a todos os descendentes.

==Instalación==
Para instalalo, en Linux, temos que instalar o paquete ''vsftpd''
<syntaxhighlight lang="bash">
sudo apt-get install vsftpd
</syntaxhighlight>
==Configuración básica==

Os ficheiros que temos que editar para configurar o servidor son ''/etc/vsftpd.conf'' ou ''/etc/vsftpd/vsftpd.conf''

Unha vez editado o ficheiro de configuración, e feito algún cambio, estes aplícanse reiniciando o servidor:
<syntaxhighlight lang="bash">
sudo service vsftpd restart
</syntaxhighlight>
Tamén se pode configurar desde o Webmin, pero habería que instalar o módulo correspondente, módulo que non ven na instalación por defecto de Webmin. Podes descargar o módulo [http://provider4u.de/images/downloads/vsftpd.tar.gz vsftpd] e instalalo no Webmin no apartado de módulos.

Por defecto, poden acceder ao servidor FTP todos os usuarios do sistema, en modo so lectura.

===Mensaxe de benvida===

Podemos establecer unha mensaxe de benvida para os usuarios que se conectan ao sistema:
<syntaxhighlight lang="bash">
ftpd_banner=Bienvenido ao servidor FTP
</syntaxhighlight>

ou especificando un ficheiro de texto, onde se gardará a mensaxe a amosar como benvida (útil no caso de ocupar varias liñas)
<syntaxhighlight lang="bash">
banner_file=/etc/vsftpd/welcome.banner
</syntaxhighlight>

===Habilitación de escritura===
Por defecto, a escritura no sistema está deshabilitada. Para habilitala incluímos a seguinte directiva.
<syntaxhighlight lang="bash">
write_enable=YES
</syntaxhighlight>
Para os usuarios locais, esta directiva habilita tanto a subida de ficheiros, coma a creación de directorios e o renomeado.

===Permisos dos ficheiros e directorios resultantes===
O ''umask'' para os usuarios locais está establecido a '''077'''. Podemos configuralo a outro valor coa directiva
<syntaxhighlight lang="bash">
local_umask=022
</syntaxhighlight>

Estes permisos sempre se van a restar, do valor que teña a directiva '''file_open_mode''' que por defecto ten o valor '''0666''' (sempre elimina os permisos de execución).

==Gaiolas ''chroot''==
Os usuarios, por defecto, poden acceder a todos os cartafois e directorios nos cales teña permiso de lectura e acceso. Pero podemos limitar esa característica ao seu directorio persoal. Isto é o que se coñece como establecer unha gaiola ''chroot''. Configúrase coa directiva
<syntaxhighlight lang="bash">
chroot_local_user=YES
</syntaxhighlight>

===Gaiolas ''chroot'' so para certos usuarios===
Se queremos que so certos usuarios teñan activado ''chroot'', establecemos a directiva
<syntaxhighlight lang="bash">
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/users.list
</syntaxhighlight>
e no ficheiro ''/etc/vsftpd/users.list'' teremos unha lista dos usuarios afectados por ''chroot''
*Se a directiva '''chroot_local_user''' aparece no ficheiro e ten o valor '''YES''' a lista conten os '''usuarios que non teñen activado chroot'''
*Se a directiva '''chroot_local_user''' non aparece no ficheiro ou ten o valor '''NO''' a lista conten os '''usuarios que teñen activado chroot'''

===Mensaxes de erro asociadas a ''chroot''===
Se aparece un erro ao acceder os usuarios locais con esta mensaxe '''500 OOPS: vsftpd: refusing to run with writable root inside chroot()''' débese a que ''vsftpd'' non permite que os usuarios poidan escribir na súa carpeta raíz. Unha solución é quitarlle os permisos de escritura a esa carpeta. Isto fará que o usuario non poida facer nada na súa propia carpeta, así que o mellor é crearlle outra dentro con permisos normais para que poida escribir nela.

A outra alternativa para solucionar ese erro é engadir a directiva.
<syntaxhighlight lang="bash">
allow_writeable_chroot=YES
</syntaxhighlight>

{{note}}Esta directiva so estará dispoñible se a versión do servidor é a 3 ou superior.

O usuario anónimo sempre conectará dentro dunha contorna ''chroot''. E sempre será necesario que '''non teña permiso de escritura no seu HOME'''.

Se nos aparece o erro:
<syntaxhighlight lang="bash">
500 OOPS: priv_sock_get_cmd
</syntaxhighlight>
deberemos engadir a liña
<syntaxhighlight lang="bash">
seccomp_sandbox=NO
</syntaxhighlight>
Isto é un coñecido bug, que hai en versións 3.0.x con arquitectura amd64.

==Acceso anónimo==
Podemos tamén habilitar o acceso a usuarios anónimos, que por defecto ven deshabilitado. Habilitámolo coa directiva
<syntaxhighlight lang="bash">
anonymous_enable=YES
</syntaxhighlight>

O usuario anónimo, está engaiolado no directorio raíz (HOME) do usuario ''ftp'' do sistema. Tamén podemos facer que inicie sesión noutro directorio

<syntaxhighlight lang="bash">
anon_root=/ruta/ao/directorio/onde/iniciara/sesion/o/usuario/anonimo
</syntaxhighlight>

Por defecto, o usuario ''anonymous'' non pode subir arquivos. Se queremos permitir que os usuarios anónimos poidan subir arquivos ao servidor teremos que ter en conta que:

*O usuario ftp non debe ser propietario do directorio onde se suban os ficheiros.
*O usuario ftp non debe ser membro do grupo propietario do directorio onde se suban os ficheiros.
*O directorio anónimo debe ter os permisos de escritura correspondentes para OUTROS.

Para permitir a escritura ao usuario anónimo, tendo en conta o anterior, temos que habilitar a directiva
<syntaxhighlight lang="bash">
anon_upload_enable=YES
</syntaxhighlight>
Se a maiores, queremos permitir que poida crear directorios, empregamos a directiva

<syntaxhighlight lang="bash">
anon_mkdir_write_enable=YES
</syntaxhighlight>

O usuario propietario dos ficheiros subidos será o usuario ''ftp'' . Tamén podemos facer que o usuario propietario dese arquivo sexa calquera outro dos presentes no sistema. Iso consíguese coa directiva:

<syntaxhighlight lang="bash">
chown_uploads=YES
chown_username=whoever
</syntaxhighlight>
Recoméndase que o usuario propietario non se cambie a ''root''

==FTP seguro==

Tradicionalmente, o servizo FTP sempre foi inseguro. Cando un usuario se conecta, o seu nome de usuario e contrasinal, son transmitidos sen encriptar, podendo pasar, que alguen intercepte a comunicación e se faga coas credenciais do usuario. Afortunadamante, pódese empregar facendo que o servidor FTP empregue autenticación de OpenSSL, facendo que o nome de usuario, o seu contrasinal e tamén os datos transferidos vaian encriptados.

Para conseguir isto, o primeiro paso é crear o certificado SSL,

<syntaxhighlight lang="bash">
sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/certs/vsftpd.pem
</syntaxhighlight>
A continuación editamos o ficheiro de configuración de vsftp e introducimos as seguintes directivas (Se algunha delas está configurada, eliminámola):

<syntaxhighlight lang="bash">
ssl_enable=YES
allow_anon_ssl=NO
force_local_data_ssl=NO
force_local_logins_ssl=NO
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO
rsa_cert_file=/etc/ssl/certs/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.pem
</syntaxhighlight>

Se queremos forzar a que os usuarios locais so se poidan conectar empregando SSL, cambiamos as seguintes directivas.
<syntaxhighlight lang="bash">
force_local_data_ssl=YES
force_local_logins_ssl=YES
</syntaxhighlight>

Cando se realice a conexión, pode verse o algoritmo de encriptación empregado:

<syntaxhighlight lang="bash" hihglight="4">
220 Welcome to blah FTP service.
Name (192.168.56.253:bruno): adminlocal
234 Proceed with negotiation.
[SSL Cipher DES-CBC3-SHA]
331 Please specify the password.
Password:
</syntaxhighlight>
Todo o que se transmita por esta canle, queda encriptado.

==Restriccións FTP==
No servidor vsftpd, podemos restrinxir o acceso por parte dos usuarios, coas seguintes directivas
*Para restrinxir o número de clientes conectados de forma simultánea:
<syntaxhighlight lang="bash">
max_clients=5
</syntaxhighlight>
*Para limitar o número máximo de conexións que se poden realizar desde un mesmo enderezo IP. Hai que ter en conta que algunhas redes acceden a través dun servidor proxy ou porta de ligazón e debido a isto poderían quedar bloqueados innecesariamente algúns accesos:
<syntaxhighlight lang="bash">
max_per_ip=4
</syntaxhighlight>
*Para limitar o ancho de banda de descarga para os usuarios locais e o usuario anónimo (en bytes por segundo). Por defecto, o valor é 0, o cal significa que non hai límite:
<syntaxhighlight lang="bash">
local_max_rate=5120
anon_max_rate=4096
</syntaxhighlight>
*Para establecer un tempo de espera para manter establecidas conexións inactivas.
<syntaxhighlight lang="bash">
idle_session_timeout=600
</syntaxhighlight>
*Para establecer un tempo de espera para manter establecidass conexións de datos inactivas.
<syntaxhighlight lang="bash">
data_connection_timeout=120
</syntaxhighlight>
*Para activar/desactivar conexións pasivas
<syntaxhighlight lang="bash">
pasv_enable=YES
</syntaxhighlight>
===Cotas de disco===
Tamén podemos establecer cotas de disco para os distintos usuarios. Para máis información, acceder ao seguinte [[Instalación de Servidor FTP vsftpd en Debian#Habilitación de cuotas en discos | enlace]]

==Logs==
Por defecto vsftpd garda un log de todas as cargas/descargas no ficheiro ''<tt>=/var/log/vsftpd.log</tt>''. Se queremos cambiar esa configuración temos estas dúas directivas:
<syntaxhighlight lang="bash">
xferlog_enable=YES
xferlog_std_format=YES
xferlog_file=/var/log/vsftpd.log
</syntaxhighlight>

==Outras referencias==
#[https://security.appspot.com/vsftpd/vsftpd_conf.html Páxina de manual de vsftpd.conf]
#[http://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-rg-es-4/s1-ftp-vsftpd-conf.html Opcións de configuración de vsftpd]
#[http://www.alcancelibre.org/staticpages/index.php/09-como-vsftpd Manual de vsftpd]

Servidor FTP vsftpd - Historial de revisiones

Bruno: /* FTP seguro */