{{tag>Logiciel}} ====== VSFTPd : un serveur FTP sécurisé avec des utilisateurs virtuels ====== **__Principes appliqués__** : * **utilisateurs locaux** seuls autorisés à se connecter * **En lecture seule** * **sans accès à leurs répertoires** * **options réglées utilisateur par utilisateur** * **utilisateurs restreints à leur répertoire d'origine** * **transmissions cryptées** avec un certificat auto-signé SSLTLS. * **paramétrage par utilisateurs virtuels** * **avec une base de données de type Berkeley** dont chaque enregistrement est constitué d'un login et d'un mot de passe. * **Pour créer un nouvel utilisateur**, lui créer : * une entrée dans la base Berkeley * et un fichier de configuration personnel. Ici, le serveur est supposé se trouver sur l'emplacement $DISQUE=/srv/www **Le protocole ftp n'est pas sûr** ! L'échange du nom d'utilisateur et du mot de passe transite en clair sur le réseau. **__Ne pas utiliser via ftp un compte qui a les droits sudo !__** ===== Introduction ===== ===== Pré-requis ===== ===== Installation ===== - **Installer [[apt>vsftpd,db-util,ftp]]**~$ sudo apt install {vsftpd,db-util,ftp}Le service ftp démarre automatiquement après l'installation. - **Vérification avec le programme ftp** : * Accepter le nom d'utilisateur proposé et donner son mot de passe (nicolas / *********). * Pour sortir du ftp : **bye**~$ ftp chateau.parc Connected to chateau.parc. 220 (vsFTPd 3.0.5) Name (chateau.parc:nicolas): 331 Please specify the password. Password: 230 Login successful. Remote system type is UNIX. Using binary mode to transfer files. ftp> bye 221 Goodbye.Avec la configuration d'origine, * le serveur fonctionne avec un utilisateur (**nicolas**) disposant réellement d’un compte sur la machine serveur mais **pas en anonyme** (impossible de se connecter avec l'utilisateur anonymous) * un ls confirme que le dossier racine est le home (**/home/nicolas**) de cet utilisateur * **__L'installation de vsftpd__ a créé l'utilisateur ftp**, dont le home est **/srv/ftp** et le groupe **ftp**:~$ cat /etc/passwd | grep ftp ftp:x:132:141:ftp daemon,,,:/srv/ftp:/usr/sbin/nologin * **Si ce n'est pas le cas, il faut les créer** :~$ sudo groupadd ftp * **Si l'utilisateur ftp existe**, on peut lui donner comme home le répertoire de base du serveur ftp :...@...:~$ sudo usermod -d /srv/www ftp * **__Et l'installation d'un serveur HTTP__ crée l'utilisateur www-data**, dont le home est **/var/www**:...@...:~$ cat /etc/passwd | grep www-data www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin ===== Configuration ===== ==== Configuration de base ==== - **Création du répertoire /etc/vsftpd/user_conf/ et du fichier /etc/vsftpd/user_list**:~$ sudo mkdir -p /etc/vsftpd/user_conf ~$ sudo touch /etc/vsftpd/user_list - **Sauvegarde des fichiers de configuration originaux** :~$ sudo cp /etc/vsftpd.conf /etc/vsftpd.conf.dist ~$ sudo cp /etc/pam.d/vsftpd /etc/pam.d/vsftpd.dist Pour revenir au départ en cas de problème, il suffira de faire l'inverse :~$ sudo cp /etc/vsftpd.conf.dist /etc/vsftpd.conf ~$ sudo cp /etc/pam.d/vsftpd.dist /etc/pam.d/vsftpd - **création de l'emplacement pour la racine du serveur** : - **Créer le répertoire /srv/www** :~$ sudo mkdir -p /srv/www ~$ sudo mkdir /var/www - **Éditer avec les droits d'administration le fichier /etc/fstab** pour ajouter la ligne :/srv /srv none bind 0 0 - **Monter /srv et /var/www** :~$ sudo mount /srv ~$ sudo mount /var/www - **Création de la clé privée de 2048 bits et du certificat autosigné valable 10 ans** (la clé privée et le certificat sont enregistrés dans un même fichier) :~$ sudo openssl req -x509 -nodes -days 3650 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem (...) You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [AU]:FR State or Province Name (full name) [Some-State]: Locality Name (eg, city) []: Organization Name (eg, company) [Internet Widgits Pty Ltd]: Organizational Unit Name (eg, section) []: Common Name (e.g. server FQDN or YOUR name) []: Email Address []:nicolas@nfrappe.fr - **Éditer avec les droits d'administration le fichier /etc/vsftpd.conf** pour ajouter à la fin les commandes suivantes : (...) ############################ # Paramètres personnalisés # ############################ ########## Paramètres généraux ########## ftpd_banner=Bienvenue sur le serveur FTP de chateau.parc # Nombre maximum de connexions simultanées # Au-delà, les nouveaux clients recevront un message du genre : # "erreur: serveur occupé" max_clients=200 # Nombre maximum de connexions venant de la même IP max_per_ip=4 ########## Utilisateurs virtuels ########## # Activation des utilisateurs virtuels guest_enable=YES # nom de l'utilisateur (www-data) sous lequel ils vont fonctionner # tous les utilisateurs virtuels -> utilisateur ftp avec son home /srv/ftp ftp_username=www-data guest_username=www-data nopriv_user=www-data # Fichier de config PAM pam_service_name=vsftpd ########## Connexion et contrôle d'accès ########## # Pas d'accès anonyme, que des utilisateurs locaux # (dont les utilisateurs virtuels, mappés sur un utilisateur local) # les vrais utilisateurs locaux sont désactivés avec le fichier user_list #anonymous_enable=NO #local_enable=YES # On refuse les utilisateurs du fichier /etc/vsftpd.user_list # un utilisateur par ligne #userlist_enable=YES #userlist_deny=NO #userlist_file=/etc/vsftpd/user_list # Les utilisateurs locaux restent chez eux chroot_local_user=YES allow_writeable_chroot=YES ########## Permissions ########## # Interdiction de toute action d'écriture : # On spécifiera les droits utilisateur par utilisateur. write_enable=NO anon_mkdir_write_enable=NO anon_other_write_enable=NO anon_upload_enable=NO anon_world_readable_only=NO # droits par défaut des fichiers uploadés anon_umask=002 # Autoriser les utilisateurs locaux à changer les permissions des fichiers chmod_enable=YES virtual_use_local_privs=YES # On n’autorise pas les utilisateurs à se faire passer pour d’autres chown_uploads=NO chown_username=nobody # Cacher les informations sur le propriétaire des fichiers (utilisateur et groupe) hide_ids=YES # Activation de la configuration utilisateur par utilisateur user_config_dir=/etc/vsftpd/user_conf ########## Sécurisation des transmissions avec SSL/TLS ########## rsa_cert_file=/etc/ssl/private/vsftpd.pem rsa_private_key_file=/etc/ssl/private/vsftpd.pem ssl_enable=YES ==== Utilisateurs virtuels ==== Nous allons créer trois utilisateurs virtuels : - **admin**, qui aura accès à tout **/srv** sous l'utilisateur **ftp** - **user**, qui ne pourra que télécharger sous l'utilisateur **ftp** - **admiweb**, qui aura accès à tout le site web (**/serv/www/html**) sous l'utilisateur **www-data** - **Éditer avec les droits d'administration le fichier /etc/vsftpd/login.txt** pour y écrire les noms et mots de passe des utilisateurs virtuels (2 lignes pour chaque utilisateur) :~$ sudo touch /etc/vsftpd/login.txt admin Epp48Arf user Epp48Arf admiweb Epp48Arf Il faut une ligne vide à la fin - **Créer la base de données** :~$ sudo db_load -T -t hash -f /etc/vsftpd/login.txt /etc/vsftpd/login.db - **Protéger ces fichiers** contre une intrusion :~$ sudo chmod 600 /etc/vsftpd/login.*Pour ajouter, modifier ou supprimer un utilisateur il faut éditer le fichier login.txt puis relancer la création de la base avec la commande du paragraphe 2. - **Éditer avec les droits d'administration le fichier /etc/pam.d/vsftpd** et remplacer son contenu par : auth required pam_userdb.so db=/etc/vsftpd/login account required pam_userdb.so db=/etc/vsftpd/login - **Redémarrer le serveur** :~$ sudo systemctl restart vsftpd.service - **Vérification** : * **nicolas ne peut plus se connecter** :~$ ftp chateau.parc Connected to chateau.parc. 220 Bienvenue sur le serveur FTP de chateau.parc Name (chateau.parc:nicolas): 331 Please specify the password. Password: 530 Login incorrect. ftp: Login failed ftp> bye 221 Goodbye. * **mais admiweb le peut** :~$ ftp chateau.parc Connected to chateau.parc. 220 Bienvenue sur le serveur FTP de chateau.parc Name (chateau.parc:nicolas): admiweb 331 Please specify the password. Password: 230 Login successful. Remote system type is UNIX. Using binary mode to transfer files. ftp> bye 221 Goodbye. ==== Personnalisation pour chaque utilisateur ==== Par défaut les utilisateurs virtuels n'ont aucun droit. Il faut donc les définir pour chacun d'entre eux en créant dans le dossier **/etc/vsftpd/user_conf** un fichier de configuration pour chaque utilisateur (du même nom que le login de l'utilisateur auquel il fait référence). Chaque fichier contient des paramètres (les mêmes que ceux de vsftpd.conf) qui remplaceront ceux de vsftpd.conf. Généralement, on y modifie le "local_root" et les droits d'écriture. Attention : pas de blanc en fin de ligne (sinon erreur de syntaxe) - **utilisateur admin** (admin a presque tous les droits et accède au répertoire /srv et à tous ses sous-répertoires) :~$ sudo touch /etc/vsftpd/user_conf/admin # Racine local_root=/srv # Lecture autorisée download_enable=YES anon_world_readable_only=NO # Écriture autorisée write_enable=YES anon_upload_enable=YES anon_mkdir_write_enable=YES # Renommage et suppression autorisés anon_other_write_enable=YES # changement des droits autorisé chmod_enable=YES virtual_use_local_privs=YES # Définit à qui appartiendront les fichiers téléversés guest_username=nicolas # Affichage des fichiers cachés # (important pour les fichiers htaccess) force_dot_files=YES # masque local (002 -> droits 775) local_umask=002 anon_umask=002 - **utilisateur admiweb** (admiweb a presque tous les droits et accède au répertoire **/srv/www/html** et à tous ses sous-répertoires sous le nom **www-data**) :~$ sudo touch /etc/vsftpd/user_conf/admiweb # Racine local_root=/var/www/html # Lecture autorisée download_enable=YES anon_world_readable_only=NO # Écriture (upload) autorisée write_enable=YES anon_upload_enable=YES anon_mkdir_write_enable=YES # Renommage et suppression autorisés anon_other_write_enable=YES # changement des droits autorisé chmod_enable=YES virtual_use_local_privs=YES # Définit à qui appartiendront les fichiers téléversés guest_username=www-data chown_uploads=YES chown_username=www-data # Affichage des fichiers cachés # (important pour les fichiers htaccess) force_dot_files=YES # masque local (002 -> droits 775) file_open_mode=0777 local_umask=002 anon_umask=002 - **utilisateur user** (user ne peut que télécharger et est enfermé dans le répertoire **/srv/ftp/user** - qui doit exister) : * **Créer le répertoire /srv/ftp/user** :~$ sudo mkdir -p /srv/ftp/user * **puis le fichier** ~$ sudo touch /etc/vsftpd/user_conf/user local_root=/srv/ftp/user - **utilisateur adminftp** (adminftp a accès au répertoire ~ftp et à ses sous-répertoires avec tous les droits ; il ne peut pas remonter au-dessus de ~ftp qui apparaîtra comme la racine ”/”) :~$ sudo touch /etc/vsftpd/user_conf/adminftp ## l'utilisateur est enfermé dans un dossier déterminé # en commentant cette ligne, on autorise tout le site #local_root=adminftp ## droit de lecture(download) anon_world_readable_only=NO ## droit d'écriture(upload) write_enable=YES anon_upload_enable=YES ## créer des dossiers anon_mkdir_write_enable=YES ## droit de renommer, supprimer... anon_other_write_enable=YES ## pour gérer le chmod de l'utilisateur ## activer l'option #virtual_use_local_privs=YES ## définir l'option local_umask #local_umask=022 #anon_umask=022 write_enable=YES anon_upload_enable=YES - **Redémarrer le serveur** pour valider les modifications :~$ sudo systemctl restart vsftpd.service ===== Utilisation ===== ===== Désinstallation ===== ===== Voir aussi ===== * **(fr)** [[https://doc.ubuntu-fr.org/vsftpd]] * **(fr)** [[https://linuxize.com/post/how-to-setup-ftp-server-with-vsftpd-on-raspberry-pi/]] * **VSFTPD** * Documentation spécifique dans le répertoire **/usr/share/doc/vsftpd/** et les **man** * **(fr)** [[http://linux.developpez.com/vsftpd/#L2.2]] * **(fr)** [[https://debian-facile.org/utilisateurs:hypathie:tutos:vsftpd?s[]=vsftpd]] * **(fr)** [[https://doc.ubuntu-fr.org/vsftpd|Doc Ubuntu sur VSFTPD]] * **(fr)** [[http://www.loutre.ch/installer-un-serveur-ftp-chroote-avec-vsftpd-en-5-minutes]] * **(fr)** [[http://www.commentcamarche.net/faq/3028-installer-un-serveur-ftp-sous-windows]] * **(en)** [[http://vsftpd.beasts.org/|Page officielle du projet]] * **(en)** Page consacrée à vsFTPd sur freshmeat : [[http://freshmeat.net/projects/vsftpd/]] * **vsftpd.conf** * **(en)** Page de manuel : [[http://vsftpd.beasts.org/vsftpd_conf.html]] * **(fr)** principales options de vsftpd.conf : [[http://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-rg-fr-4/s1-ftp-vsftpd-conf.html]] * **(fr)** Toutes les directives traduites en français : http://www.walkonthegrass.net/tutoriels/Linux/vsftpd * **VSFTPD sur un Raspberry Pi** * **(en)** [[https://linuxize.com/post/how-to-setup-ftp-server-with-vsftpd-on-raspberry-pi/|How to Setup FTP Server with Vsftpd on Raspberry Pi]] * **(fr)** [[http://www.eisti.fr/res/norme/rfc959/959tm.htm|Spécification du protocole FTP]] * **(en)** [[https://security.appspot.com/vsftpd.html]] * **Utilisateurs virtuels** * **(fr)** [[http://www.delafond.org/traducmanfr/man/man8/pam.8.html|Page de manuel de PAM]] * **(fr)** Les pages de supinfo : [[http://www.labo-linux.com/articles/imported/3259-vsftpd-et-utilisateurs-virtuels]] * **(en)** Pour gérer votre db Berkeley : [[http://www.sleepycat.com/docs/utility/index.html]] * **(fr)** un mémo, complété d'après la doc : [[http://doc.ubuntu-fr.org/vsftpd#configurer_vsftpd_pour_utiliser_des_utilisateurs_virtuels]] * **(fr)** configuration d'un ftp avec utilisateurs virtuels : [[http://www.prometee-creation.com/tutoriels/un-serveur-ftp-avec-vsftpd-et-utilisateurs-virtuels.html]] * **Didacticiels** * **(fr)** [[http://www.unixgarden.com/index.php/securite/quatre-serveurs-ftp-hyper-securises-avec-vsftpd|Un tuto excellent avec quatre exemples]] * **(en)** [[ftp://vsftpd.beasts.org/users/cevans/untar/vsftpd-2.0.3/EXAMPLE/]] * **FAQ** : * **(en)** [[ftp://vsftpd.beasts.org/users/cevans/untar/vsftpd-2.0.3/FAQ]] * **(fr)** [[logiciel:internet:ftp:vsftpd:faq:start]] ---- //Basé sur << [[https://doc.ubuntu-fr.org/vsftpd]] >> par Doc ubuntu.//