vsftpd 설치 및 설정

1. vsftpd 설치 확인

# rpm -qa |grep vsftpd

2. ftp 설치

# yum -y install vsftpd

3. 설치 확인

# rpm -qa |grep vsftpd

4. vsftpd.conf 설정 

# vi /etc/vsftpd/vsftpd.conf listen=YES  \\ 다수의 사용자 시 standalone이 유리 chroot_local_user=YES \\ 전체 사용자를 대상으로 FTP접속 시 유저가 홈 디렉터리를 벗어나지 못하도록 설정, YES로 설정시 chroot_list에 적힌 계정은 deny chroot_list_enable=YES \\ YES로 설정시 홈디렉터리가 아닌 실제 root디렉터리로 진입 chroot_list_file=/etc/vsftpd/chroot_list \\ chroot_list에 있는 계정으로 접속시 상위 디렉터리 이동 제한이없고, 리스트에 없는 사용자는 상위디렉터리 이동 제한 됨.(chroot_list_enable이  YES로 설정시) pam_service_name=vsftpd userlist_enable=YES tcp_wrappers=YES use_localtime=YES max_clients=30 \\ 동시 접속자 수 제한 max_per_ip=5 \\ 한 IP당 동시에 5번까지만 접속 가능, ddos(서비스거부공격)을 방어하기 위한 공격으로 활용 가능 pasv_enable=YES \\ 패시브모드 사용 pasv_min_port=50001 pasv_max_port=50005

* 그 외 추가 설정 가능

anonymous_enable=NO 

익명 사용자 금지, 비계정 로그인 지원 여부

local_enable=YES

local 계정 사용자 접속 허용, NO로 설정 시 로컬계정으로 접속 시도하면 503 This FTP server is anonymous only 에러메세지 발생

write_enable=YES \ 

ftp 전송 명령어 중 write 명령어를 허용할 것인지 설정, 기본값은 NO

local_umask=022 

같은 그룹과 others그룹의 쓰기 권한 금지, 권한 설정(=644)

anon_upload_enable=YES

익명 계정 사용자에게 파일 업로드를 허용할 것인지 여부, 기본값 NO

anon_mkdir_enable=YES

익명 계정 사용자에게 디렉터리 생성권한을 허용할 것인지 여부, 기본값 NO

ftpd_banner=Welcome to  FTP service

ftp접속 시 메시지 표시, 한글로도 사용가능

xferlog_enable=YES 

ftp접속 후 파일 업로드 및 다운로드에 대한 로그를 남길 것인지 여부, 디스크의 용량을 고려해야함, 굉장히 많은 용량이 소요되며 

xferlog_file=/var/log/xferlog

ftp 로그 파일 위치 설정

xferlog_std_format=YES

로그파일에 남길 로그파일의 포맷을 기본으로(YES), 남기지 않을지(NO)설정. 보다 자세한 로그를 남길 수 있음. 디렉터리 생성로그 및 로그인 로그 등

connect_from_port_20=YES

ftp서비스는 기본적으로 21, 20 포트 사용.(접속, 명령어 21 / 데이터전송 20), 20번 포트의 데이터 전송 연결을 허용(YES), 허용하지 않을지(NO)

session_support=YES

바이너리파일인 wtmp에 ftp접속관련 기록을 남기게 됨. 'last'라는 명령어로 ftp접속기록 확인 (last 는 각 사용자들의 접속기록을 wmtp파일에서 가져와 확인)

idle_session_timeout=6600

ftp연결에서 idle에 대한 timeout값 설정. ftp접속후 600초 동안 아무런 작업진행이 없다면 강제로 로그아웃

data_connection_timeout=120

데이터 전송시 적용되는 timeout값 설정. 큰 파일을 업로드 및 다운로드할때 전송도중 끊기는 상황이 발생하면 해당 설정을 주석처리하거나 120보다 더 크게 잡아주고 재시도.

(anon_max_rate=0 / local_max_rate=0 / trans_chunk_size=0 → ftp 전송속도 제한, 초당 byte 수 지정 가능, 제한없이 사용하려면 0으로 설정, 이 설정은 vsftpd가 독립데몬-standalone모드로 서비스 될 때에만 적용되는 것)

ascii_upload_enable=YES

ascii_download_enable=YES

기본적으로 ascii모드로 업로드 및 다운로드 하는것은 제한되어있음. 이 설정으로 허용가능하도록 설정 가능

deny_email_enable=YES

banned_email_file=/etc/vsftpd/banned_emails

익명 접속시 기본적으로 사용되는 계정명은 anonymous, 패스워드는 이메일형식

이때 패스워드로 사용할 이메일을 사용하지 못하도록 하는 법, dos를 방어하기 위한 방법

패스워드로 허용하지 않을 메일주소를 banned_emails파일에 넣으면 됨, 해당 파일에 들어가있는 이메일 주소는 패스워드로 인정되지않음

chroot_list_enable=YES

chroot_list_file=/etc/vsftpd/chroot_list

→ 전체 사용자가 아닌 chroot에 등록되어 있는 계정에만 chroot가 적용

local_root=/home/[user] \\ 사용자 기본 root폴더 지정

passwd_chroot_enable=YES \\ passwd에서 user별로 지정

dirmessage_enable=YES \\ 디렉터리 이동시 메세지 표시 여부

log_ftp_protocols=YES \\ /var/log/vsftpd.log에 접속로그가 남도록 설정

dirmessage_enable=YES pam_service_name=vsftpd userlist_enable=YES tcp_wrappers=YES

cf) FTP JAIL 설정

* vsftpd는 기본적으로 자신의 홈 디렉터리를 벗어나지 못하도록 설정 되어있음

* home을 벗어나, chroot_list에 home디렉터리를 벗어나서 가능하도록 계정 추가 가능

(chroot → 특정사용자들에 대해 자신의 홈디렉터리를 root디렉터리로 인식하는 기능)

1) /etc/vsftpd/user_list

이 파일에 등록된 사용자들은 ftp접속 거부

vsftpd.conf 에서 userlist_deny=YES 가 기본설정

NO로 설정시 여기에 등록된 사용자들은 접속이 허용됨

2) /etc/vsftpd/ftpusers

/etc/pam.d/vsftpd를 확인해보면 /etc/vsftpd/ftpusers에 등록된 사용자들은 접속을 거부하겠다고 나와있음

즉, PAM에서 설정하여 사용하고 있는 ftp접속 거부자 리스트파일

접속을 거부하고자 하는 사용자가 있다면 ftpusers에 계정등록하면 됨

3) hosts.allow와 deny

vsftpd : [해당IP] 설정

cf) chroot 설정 (/etc/vsftpd.conf)

1. 전체 사용자를 대상으로 자기 자신 홈디렉터리를 상위디렉터리로 이동하지 못하게 설정

chroot_local_user=YES

2. 단순히 사용자를 홈디렉터리만 접근 가능하게

chroot_list_user=YES

chroot_local_user=YES

chroot_list_enable=YES

→ 둘다 YES이면 chroot_list에 등록된 사용자는 상위디렉터리 이동에 제한이 없고, 등록되지 않은 사용자는 상위디렉터리 이동에 제한이 생김

3.  특정 사용자를 제외한 나머지만 Jail 설정할 경우

chroot_local_user=YES

chroot_list_enable=YES

chroot_list_file=/etc/vsftpd/chroot_list

→ 2와는 반대로 chroot_list에 등록된 계정을 제외한 나머지가 자신의 계정에 chroot에 걸림

4. 계정마다 동적으로 설정

# vi /etc/vsftpd.conf \\ FTP설정파일 수정 chroot_local_user=YES passwd_chroot_enable=YES # vi /etc/passwd  itsyou:x:501:501::/home/itsyou:/bin/bash → 해당 계정의 홈디렉터리 폴더를 수정하면 해당 지점이 chroot가 됨 # chown -R [원하는 디렉터리] \\ 권한 설정 # vi /etc/vsftpd/chroot_list  itsyou  → 계정추가 # /etc/init.d/vsftpd start # netstat -nltp |grep vsftpd # chkconfig vsftpd on # chkconfig --list |grep vsftpd

cf) vsftpd root 접속 가능하게 하기

# vi /etc/vsftpd/user_list  # root \\ 주석처리 # vi /etc/vsftpd/ftpusers  # root \\ 주석처리 → ftp 재시작 할 필요는 없음