Jak nainstalovat ProFTPD s TLS na CentOS 7.2

Tento kurz popisuje instalaci a konfiguraci ProFTPD na CentOS 7.2 Server. ProFTPD je FTP démon pro operační systémy Unix a Linux a je distribuován pod licencí GNU Public License (GPL).

1 předběžná poznámka

Tento výukový program je založen na serveru CentOS, takže před pokračováním v tomto výukovém programu byste měli nastavit základní instalaci serveru CentOS 7.2. Systém by měl mít statickou IP adresu. V tomto návodu používám jako svou IP adresu 192.168.1.100 a jako název hostitele server1.example.com.

2 Instalace a konfigurace ProFTPD

2.1 Instalace:

Vyžadujeme software z úložiště EPEL, povolte jej následovně:

yum -y install epel-release

Poté importujte klíč EPEL GPG:

rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-7

a aktualizujte balíčky:

yum -y update

ProFTPD a OpenSSL nainstalujeme následovně:

yum install -y proftpd openssl proftpd-utils

Musíme službu spustit a povolit, aby se spouštěla ​​automaticky při startu.

systemctl start proftpd.service
systemctl enable proftpd.service

Pokud máte nainstalovanou bránu firewall, nakonfigurujte bránu firewall pomocí firewall-cmd, aby otevřel port FTP:

firewall-cmd --add-service=ftp --permanent
firewall-cmd --reload

Verzi ProFTPD můžeme zkontrolovat následovně:

proftpd -v

2.2 Vytváření uživatelů ProFTPD

Vytvořím skupinu ftpgroup a uživatelského tom pro ProFTPD. Nastavím /ftpshare jako domovský adresář pro uživatele tom.

groupadd ftpgroup

Dále přidám uživatele srijan do ftpgroup:

useradd  -G ftpgroup tom -s /sbin/nologin -d /ftpshare
passwd tom

[[email protected] ~]# passwd tom
Changing password for user srijan.
New password: <--ftppassword
Retype new password: <--ftppassword
passwd: all authentication tokens updated successfully.
[[email protected] ~]# 

Nastavte oprávnění pro adresář ftpshare:

chmod -R 1750 /ftpshare/

Nyní jsme připraveni na připojení ProFTPD. Spojení ale ještě nejsou zašifrovaná, to vyřešíme v další kapitole.

3 Povolení TLS v ProFTPD

Chcete-li povolit TLS v ProFTPD, otevřete /etc/proftpd/proftpd.conf. Před úpravou souboru je lepší zálohovat původní soubor a poté soubor upravit pomocí nano.

cp -pf /etc/proftpd.conf /etc/proftpd.conf.bak
nano /etc/proftpd.conf

Přidejte a upravte řádky, jak je znázorněno červeně.

[...]
DefaultRoot                     ~ !adm
PassivePorts    6000    6100
[...] 

#<IfDefine TLS>
  TLSEngine                     on
  TLSRequired                   on
  TLSRSACertificateFile         /etc/pki/tls/certs/proftpd.pem
  TLSRSACertificateKeyFile      /etc/pki/tls/certs/proftpd.pem
  TLSCipherSuite                ALL:!ADH:!DES
  TLSOptions                    NoCertRequest
  TLSVerifyClient               off
  TLSRenegotiate                ctrl 3600 data 512000 required off timeout 300
  TLSLog                        /var/log/proftpd/tls.log
#  <IfModule mod_tls_shmcache.c>
#    TLSSessionCache            shm:/file=/var/run/proftpd/sesscache
#  </IfModule>
#</IfDefine>
[...] 

Přidal jsem porty 6000 a 6100 pro povolení pasivního režimu ftp, podobně povolím pasivní režim prostřednictvím služby CentOS firewalld takto:

firewall-cmd --add-port=6000-6100/tcp --permanent
firewall-cmd --reload

Stav portů můžeme zkontrolovat následovně:

firewall-cmd --list-ports

[[email protected] ~]# firewall-cmd --list-ports
6000-6100/tcp
[[email protected] ~]#

Navíc musíme říci SELINUXu, aby povolil čtení/zápis souborů.

setsebool -P allow_ftpd_full_access=1

Abychom mohli používat TLS, musíme vytvořit SSL certifikát. Vytvořím jej v /etc/pki/tls/certs, SSL certifikát můžeme vygenerovat následovně:

openssl req -x509 -nodes -newkey rsa:1024 -keyout /etc/pki/tls/certs/proftpd.pem -out /etc/pki/tls/certs/proftpd.pem

chmod  0440 /etc/pki/tls/certs/proftpd.pem

systemctl restart proftpd.service

nano /etc/proftpd.conf

[...]
###Anonymous share#####
<Anonymous ~ftp>
  User ftp
  Group ftp

UserAlias anonymous ftp
DirFakeUser       on ftp 
DirFakeGroup on ftp
MaxClients 10

    <Directory *>    
<Limit WRITE>     
DenyAll   
</Limit> 
    </Directory>

</Anonymous>

systemctl restart proftpd.service