Skonfiguruj Pure-FTPd z TLS na Debianie 9

• Krok pierwszy - instalacja
• Krok drugi - Konfiguracja
• Krok trzeci - Utwórz użytkowników
• Krok czwarty - obsługa TLS

Pure-FTPd to szybki i lekki serwer FTP zbudowany z myślą o bezpieczeństwie. W tym samouczku pokażę, jak zainstalować i używać Pure FTP w 4 prostych krokach. Ten przewodnik wyjaśnia, jak zainstalować Pure FTPd na Debian 9.

Krok pierwszy - instalacja

Pure-FTPd znajduje się w stabilnym repozytorium Debiana, więc nie ma potrzeby dodawania żadnych dodatkowych repozytoriów do twojego systemu.

Uruchom następującą komendę z uprawnieniami administratora:

apt install -y pure-ftpd-common pure-ftpd 

Krok drugi - Konfiguracja

Istnieje wiele opcji, za pomocą których można zmienić zachowanie aplikacji. Opcje te można zastosować do demona Pure-FTPd podczas uruchamiania lub można je utrwalić, tworząc niezbędne pliki w confkatalogu.

Chcemy, aby:

• Twórz wirtualnych użytkowników.
• Automatyczne tworzenie katalogów domowych dla użytkowników.
• Użytkownicy Limit ( chroot) mają dostęp tylko do własnego katalogu domowego.

Włącz bazę danych Pure-FTPd i wyłącz uwierzytelnianie PAM i Unix, aby umożliwić użytkownikom wirtualnym:

ln -s /etc/pure-ftpd/conf/PureDB /etc/pure-ftpd/auth/50pure
echo no > /etc/pure-ftpd/conf/PAMAuthentication
echo no > /etc/pure-ftpd/conf/UnixAuthentication

Ustaw Pure-FTPd, aby tworzył katalogi domowe dla użytkowników przy pierwszym logowaniu:

echo "yes" > /etc/pure-ftpd/conf/CreateHomeDir

Chroot wszystkich.

echo "yes" > /etc/pure-ftpd/conf/ChrootEveryone

Jeśli chcesz dowiedzieć się o innych opcjach, odwiedź oficjalną stronę dokumentacji .

Krok trzeci - Utwórz użytkowników

Pure-FTPd może obsługiwać użytkowników wirtualnych, co oznacza, że ​​są przechowywane w bazie danych Pure-FTPd i nie są powiązane z użytkownikami systemu Linux.

Aby Pure-FTPd zarządzał plikami z wirtualnymi użytkownikami, musimy utworzyć użytkownika i grupę Linux, w której wszyscy wirtualni użytkownicy będą powiązani. Wszyscy wirtualni użytkownicy mogą korzystać z tego samego użytkownika systemu i grupy, o ile zostali chrootowani.

Uruchom następujące polecenia, aby utworzyć użytkownika i grupę systemową:

groupadd ftpusr
useradd -g ftpusr -d /dev/null -s /etc ftpusr

Uwaga : nie chcemy, aby ten użytkownik miał katalog domowy lub możliwość logowania.

Utwórz nasz katalog główny FTP:

mkdir /home/FTP

Utwórz wirtualnego użytkownika w Pure-FTPd:

pure-pw useradd alex -u ftpusr -g ftpusr -d /home/FTP/alex 

Dodaliśmy naszego pierwszego wirtualnego użytkownika ( alex) i powiązaliśmy go z użytkownikiem systemu / grupą ( ftpusr). Wszystkie pliki, które piszesz, alexbędą własnością ftpusrsystemu.

Zaktualizuj bazę danych Pure-FTPd:

pure-pw mkdb

Sprawdź informacje o użytkowniku:

pure-pw show alex

Login              : alex
Password           : <encrypted password>
UID                : 1000 (ftpusr)
GID                : 1000 (ftpusr)
Directory          : /home/FTP/alex/./
Full name          : 
Download bandwidth : 0 Kb (unlimited)
Upload   bandwidth : 0 Kb (unlimited)
Max files          : 0 (unlimited)
Max size           : 0 Mb (unlimited)
Ratio              : 0:0 (unlimited:unlimited)
Allowed local  IPs : 
Denied  local  IPs : 
Allowed client IPs : 
Denied  client IPs : 
Time restrictions  : 0000-0000 (unlimited)
Max sim sessions   : 0 (unlimited)

Aby ułatwić życie, użyj następującego skryptu, aby dodać konta FTP:

echo -e  '#!/bin/bash\nread -p "Enter UserName: " usrname\npure-pw useradd $usrname -u ftpusr -g ftpusr -d /home/FTP/$usrname && pure-pw mkdb'  > /usr/sbin/ftp-createacc

chmod u+x /usr/sbin/ftp-createacc

Teraz tworzenie kont FTP jest proste:

ftp-createacc

Enter UserName: mike
Password: 
Enter it again:

Krok czwarty - obsługa TLS

Najpierw musimy zainstalować OpenSSL.

apt install -y openssl

Wymuś Pure-FTPd, aby używał TLS, lub możemy ustawić go jako opcjonalny, co oznacza, że ​​zarówno niepewne, jak i TLS połączenia są akceptowane

# force TLS
echo 2 > /etc/pure-ftpd/conf/TLS

# insecure + TLS
echo 1 > /etc/pure-ftpd/conf/TLS

Utwórz katalog do przechowywania naszych kluczy.

mkdir -p /etc/ssl/pure-ftpd

Wygeneruj klucz pakietu (klucz prywatny i klucz publiczny).

openssl req -x509 -nodes -days 730 -newkey rsa:2048 -keyout /etc/ssl/private/pure-ftpd.pem -out /etc/ssl/private/pure-ftpd.pem

Uruchom ponownie pure-ftpddemona.

systemctl restart pure-ftpd

Jeśli w systemie jest zainstalowana zapora ogniowa lub serwer znajduje się za NAT, musisz zdefiniować porty pasywne w Pure-FTPd i otworzyć te porty w zaporze, w przeciwnym razie pojawią się takie błędy:

Server sent passive reply with unroutable address. Passive mode failed.

Failed to retrieve directory listing.

500 I won't open a connection to 192.168.1.4 (only to 10.10.10.10).

Ustaw porty pasywne w Pure-FTPd:

echo "40110 42210" > /etc/pure-ftpd/conf/PassivePortRange

Uruchom ponownie, pure-ftpdaby zastosować zmianę.

systemctl restart pure-ftpd

W zaporze otwórz zakres portów przychodzących od 40110 do 42210 , protokół TCP.

FTP z natury nie jest bezpieczny, ale jest także szybki i łatwy w konfiguracji. Aby uzyskać bardziej bezpieczne rozwiązanie, użyj SFTP.