Настройте Pure-FTPd с TLS на Debian 9

Pure-FTPd е бърз и лек FTP сървър, създаден с мисъл за сигурността. В този урок ще ви покажа как да инсталирате и използвате Pure FTP в 4 лесни стъпки. Това ръководство обяснява как да инсталирате Pure FTPd на Debian 9.

Стъпка първа - Инсталация

Pure-FTPd е в стабилното хранилище на Debian, така че няма нужда да добавяте допълнителни хранилища към вашата система.

Изпълнете следната команда с root права:

apt install -y pure-ftpd-common pure-ftpd 

Стъпка втора - Конфигурация

Има много опции, които можете да използвате, за да промените поведението на приложението. Тези опции могат да бъдат приложени към демона на Pure-FTPd при стартиране или можете да ги направите постоянни, като създадете необходимите файлове в confдиректорията.

Ние искаме да:

• Създайте виртуални потребители.
• Автоматично създавайте домашни директории за потребителите.
• Ограничете ( chroot) потребителите да имат достъп само до собствената си домашна директория.

Активирайте базата данни на Pure-FTPd и деактивирайте PAM и Unix удостоверяването, за да активирате виртуални потребители:

ln -s /etc/pure-ftpd/conf/PureDB /etc/pure-ftpd/auth/50pure
echo no > /etc/pure-ftpd/conf/PAMAuthentication
echo no > /etc/pure-ftpd/conf/UnixAuthentication

Задайте Pure-FTPd да създава домашни директории за потребители при първото им влизане:

echo "yes" > /etc/pure-ftpd/conf/CreateHomeDir

Chroot всички.

echo "yes" > /etc/pure-ftpd/conf/ChrootEveryone

Ако се интересувате да научите за други опции, посетете официалната страница с документация .

Стъпка трета - Създайте потребители

Pure-FTPd може да обработва виртуални потребители, което означава, че те се съхраняват в базата данни на Pure-FTPd и не са свързани с потребители на системата Linux.

За да може Pure-FTPd да управлява файлове с виртуални потребители, ние трябва да създадем Linux потребител и група, в която всички виртуални потребители ще бъдат асоциирани. Всички виртуални потребители могат да използват един и същ системен потребител и група, стига да са chroot.

Изпълнете следните команди, за да създадете системния потребител и група:

groupadd ftpusr
useradd -g ftpusr -d /dev/null -s /etc ftpusr

Забележка : Не искаме този потребител да има домашна директория или възможност за влизане.

Създайте нашата основна FTP директория:

mkdir /home/FTP

Създайте виртуален потребител в Pure-FTPd:

pure-pw useradd alex -u ftpusr -g ftpusr -d /home/FTP/alex 

Добавихме нашия първи виртуален потребител ( alex) и го асоциирахме със системен потребител/група ( ftpusr). Всички файлове, с които пишете, alexще бъдат собственост ftpusrна системата.

Актуализирайте базата данни на Pure-FTPd:

pure-pw mkdb

Проверете информацията за потребителя:

pure-pw show alex

Login              : alex
Password           : <encrypted password>
UID                : 1000 (ftpusr)
GID                : 1000 (ftpusr)
Directory          : /home/FTP/alex/./
Full name          : 
Download bandwidth : 0 Kb (unlimited)
Upload   bandwidth : 0 Kb (unlimited)
Max files          : 0 (unlimited)
Max size           : 0 Mb (unlimited)
Ratio              : 0:0 (unlimited:unlimited)
Allowed local  IPs : 
Denied  local  IPs : 
Allowed client IPs : 
Denied  client IPs : 
Time restrictions  : 0000-0000 (unlimited)
Max sim sessions   : 0 (unlimited)

За да улесните живота си, използвайте следния скрипт за добавяне на FTP акаунти:

echo -e  '#!/bin/bash\nread -p "Enter UserName: " usrname\npure-pw useradd $usrname -u ftpusr -g ftpusr -d /home/FTP/$usrname && pure-pw mkdb'  > /usr/sbin/ftp-createacc

chmod u+x /usr/sbin/ftp-createacc

Сега създаването на FTP акаунти е просто:

ftp-createacc

Enter UserName: mike
Password: 
Enter it again:

Стъпка четвърта - поддръжка на TLS

Първо, трябва да инсталираме OpenSSL.

apt install -y openssl

Принуди Pure-FTPd да използва TLS или можем да го направим по избор, което означава, че се приемат както несигурни, така и TLS връзки

# force TLS
echo 2 > /etc/pure-ftpd/conf/TLS

# insecure + TLS
echo 1 > /etc/pure-ftpd/conf/TLS

Създайте директория за съхраняване на нашите ключове.

mkdir -p /etc/ssl/pure-ftpd

Генерирайте пакетен ключ (частен ключ и публичен ключ).

openssl req -x509 -nodes -days 730 -newkey rsa:2048 -keyout /etc/ssl/private/pure-ftpd.pem -out /etc/ssl/private/pure-ftpd.pem

Рестартирайте pure-ftpdдемона.

systemctl restart pure-ftpd

Ако имате инсталирана защитна стена на вашата система или вашият сървър е зад NAT, трябва да дефинирате пасивни портове в Pure-FTPd и да отворите тези портове във вашата защитна стена, в противен случай ще получите грешки като тези:

Server sent passive reply with unroutable address. Passive mode failed.

Failed to retrieve directory listing.

500 I won't open a connection to 192.168.1.4 (only to 10.10.10.10).

Задайте пасивни портове в Pure-FTPd:

echo "40110 42210" > /etc/pure-ftpd/conf/PassivePortRange

Рестартирайте, за pure-ftpdда приложите промяната.

systemctl restart pure-ftpd

Във вашата защитна стена отворете диапазона на входящи портове от 40110 до 42210 , протокол TCP.

FTP е несигурен по природа, но също така е бърз и лесен за настройка. За по-сигурно решение използвайте SFTP вместо това.