Налаштуйте Pure-FTPd за допомогою TLS на Debian 9

Pure-FTPd — це швидкий і легкий FTP-сервер, створений з урахуванням безпеки. У цьому підручнику я покажу вам, як встановити та використовувати Pure FTP за 4 простих кроки. У цьому посібнику пояснюється, як встановити Pure FTPd на Debian 9.

Крок перший - установка

Pure-FTPd знаходиться в стабільному репозиторії Debian, тому немає необхідності додавати додаткові репозиторії до вашої системи.

Виконайте таку команду з правами root:

apt install -y pure-ftpd-common pure-ftpd 

Крок другий - Конфігурація

Існує багато параметрів, за допомогою яких можна змінити поведінку програми. Ці параметри можна застосувати до демона Pure-FTPd під час запуску, або ви можете зробити їх постійними, створивши необхідні файли всередині confкаталогу.

Ми хочемо:

• Створення віртуальних користувачів.
• Автоматично створювати домашні каталоги для користувачів.
• Обмежте ( chroot) користувачам доступ лише до власного домашнього каталогу.

Увімкніть базу даних Pure-FTPd та вимкніть автентифікацію PAM та Unix, щоб увімкнути віртуальних користувачів:

ln -s /etc/pure-ftpd/conf/PureDB /etc/pure-ftpd/auth/50pure
echo no > /etc/pure-ftpd/conf/PAMAuthentication
echo no > /etc/pure-ftpd/conf/UnixAuthentication

Налаштуйте Pure-FTPd для створення домашніх каталогів для користувачів під час першого входу:

echo "yes" > /etc/pure-ftpd/conf/CreateHomeDir

Всіх завантажити.

echo "yes" > /etc/pure-ftpd/conf/ChrootEveryone

Якщо вам цікаво дізнатися про інші варіанти, відвідайте офіційну сторінку документації .

Крок третій - Створення користувачів

Pure-FTPd може обробляти віртуальних користувачів, що означає, що вони зберігаються в базі даних Pure-FTPd і не мають відношення до користувачів системи Linux.

Для того, щоб Pure-FTPd керував файлами з віртуальними користувачами, нам потрібно створити користувача та групу Linux, до яких будуть пов’язані всі віртуальні користувачі. Усі віртуальні користувачі можуть використовувати одного і того ж системного користувача та групу, якщо вони були chroot.

Виконайте такі команди, щоб створити користувача та групу системи:

groupadd ftpusr
useradd -g ftpusr -d /dev/null -s /etc ftpusr

Примітка . Ми не хочемо, щоб цей користувач мав домашній каталог або можливість входу.

Створіть наш кореневий каталог FTP:

mkdir /home/FTP

Створіть віртуального користувача в Pure-FTPd:

pure-pw useradd alex -u ftpusr -g ftpusr -d /home/FTP/alex 

Ми додали нашого першого віртуального користувача ( alex) і пов’язали його з системним користувачем/групою ( ftpusr). Усі файли, з якими ви пишете, alexбудуть належати ftpusrсистемі.

Оновіть базу даних Pure-FTPd:

pure-pw mkdb

Перевірте інформацію про користувача:

pure-pw show alex

Login              : alex
Password           : <encrypted password>
UID                : 1000 (ftpusr)
GID                : 1000 (ftpusr)
Directory          : /home/FTP/alex/./
Full name          : 
Download bandwidth : 0 Kb (unlimited)
Upload   bandwidth : 0 Kb (unlimited)
Max files          : 0 (unlimited)
Max size           : 0 Mb (unlimited)
Ratio              : 0:0 (unlimited:unlimited)
Allowed local  IPs : 
Denied  local  IPs : 
Allowed client IPs : 
Denied  client IPs : 
Time restrictions  : 0000-0000 (unlimited)
Max sim sessions   : 0 (unlimited)

Щоб полегшити життя, використовуйте наступний скрипт для додавання облікових записів FTP:

echo -e  '#!/bin/bash\nread -p "Enter UserName: " usrname\npure-pw useradd $usrname -u ftpusr -g ftpusr -d /home/FTP/$usrname && pure-pw mkdb'  > /usr/sbin/ftp-createacc

chmod u+x /usr/sbin/ftp-createacc

Тепер створити облікові записи FTP просто:

ftp-createacc

Enter UserName: mike
Password: 
Enter it again:

Крок четвертий - підтримка TLS

Спочатку нам потрібно встановити OpenSSL.

apt install -y openssl

Змусити Pure-FTPd використовувати TLS, або ми можемо зробити його необов’язковим, що означає, що приймаються як небезпечні, так і TLS-з’єднання

# force TLS
echo 2 > /etc/pure-ftpd/conf/TLS

# insecure + TLS
echo 1 > /etc/pure-ftpd/conf/TLS

Створіть каталог для зберігання наших ключів.

mkdir -p /etc/ssl/pure-ftpd

Згенеруйте пакетний ключ (приватний ключ і відкритий ключ).

openssl req -x509 -nodes -days 730 -newkey rsa:2048 -keyout /etc/ssl/private/pure-ftpd.pem -out /etc/ssl/private/pure-ftpd.pem

Перезапустіть pure-ftpdдемон.

systemctl restart pure-ftpd

Якщо у вашій системі встановлено брандмауер або ваш сервер знаходиться за NAT, ви повинні визначити пасивні порти в Pure-FTPd і відкрити ці порти у вашому брандмауері, інакше ви отримаєте такі помилки:

Server sent passive reply with unroutable address. Passive mode failed.

Failed to retrieve directory listing.

500 I won't open a connection to 192.168.1.4 (only to 10.10.10.10).

Встановіть пасивні порти в Pure-FTPd:

echo "40110 42210" > /etc/pure-ftpd/conf/PassivePortRange

Перезапустіть, pure-ftpdщоб застосувати зміни.

systemctl restart pure-ftpd

У вашому брандмауері відкрийте діапазон вхідних портів від 40110 до 42210 , протокол TCP.

FTP за своєю природою небезпечний, але він також швидкий і простий у налаштуванні. Для більш безпечного рішення використовуйте SFTP.