CentOS7でVSFTPDを使用してFTPサーバーをセットアップする方法

FTP（ファイル転送プロトコル）は、ユーザーがリモートネットワークとの間でファイルを転送できるようにする標準のクライアントサーバーネットワークプロトコルです。

Linuxで利用できるオープンソースのFTPサーバーがいくつかあります。最も人気があり、広く使用されているのは、PureFTPd、ProFTPD、vsftpdです。

このチュートリアルでは、CentOS 7にvsftpd（Very Secure Ftp Daemon）をインストールします。これは、安定した、安全で高速なFTPサーバーです。また、ユーザーをホームディレクトリに制限し、SSL/TLSを使用して送信全体を暗号化するようにvsftpdを構成する方法についても説明します。

より安全で高速なデータ転送を行うには、SCPorSFTPを使用してください。

前提条件＃

このチュートリアルを続行する前に、sudo権限を持つユーザーとしてログインしていることを確認してください。

CentOS 7へのvsftpdのインストール＃

vsftpdパッケージは、デフォルトのCentOSリポジトリで利用できます。インストールするには、次のコマンドを発行します。

sudo yum install vsftpd

パッケージがインストールされたら、vsftpdデーモンを起動し、起動時に自動的に起動できるようにします。

sudo systemctl start vsftpdsudo systemctl enable vsftpd

vsftpdサービスが実行されていることを確認するには、そのステータスを出力します。

sudo systemctl status vsftpd

出力は次のようになり、vsftpdサービスがアクティブで実行されていることを示します。

● vsftpd.service - Vsftpd ftp daemon
   Loaded: loaded (/usr/lib/systemd/system/vsftpd.service; enabled; vendor preset: disabled)
   Active: active (running) since Thu 2018-11-22 09:42:37 UTC; 6s ago
 Main PID: 29612 (vsftpd)
   CGroup: /system.slice/vsftpd.service
           └─29612 /usr/sbin/vsftpd /etc/vsftpd/vsftpd.conf

vsftpdの構成＃

vsftpdサービスの構成には、/etc/vsftpd/vsftpd.confの編集が含まれます。 構成ファイル。ほとんどの設定は、構成ファイル内に十分に文書化されています。利用可能なすべてのオプションについては、公式のvsftpdpageにアクセスしてください。

次のセクションでは、安全なvsftpdインストールを構成するために必要ないくつかの重要な設定について説明します。

vsftpd構成ファイルを開くことから始めます：

sudo nano /etc/vsftpd/vsftpd.conf

1。 FTPアクセス＃

FTPサーバーへのアクセスをローカルユーザーのみに許可します。anonymous_enableを見つけてください およびlocal_enable ディレクティブを使用して、構成が以下の行と一致することを確認します。

anonymous_enable=NO
local_enable=YES

2。アップロードを有効にする＃

write_enableのコメントを解除します ファイルのアップロードや削除など、ファイルシステムへの変更を許可するように設定します。

write_enable=YES

3。 Chroot Jail＃

chrootのコメントを解除して、FTPユーザーがホームディレクトリ外のファイルにアクセスできないようにします。 ディレクティブ。

chroot_local_user=YES

デフォルトでは、chrootが有効になっている場合、ユーザーがロックされているディレクトリが書き込み可能である場合、vsftpdはファイルのアップロードを拒否します。これは、セキュリティの脆弱性を防ぐためです。

以下のいずれかの方法を使用して、chrootが有効になっているときにアップロードを許可します。

• 方法1。 -アップロードを許可するための推奨される方法は、chrootを有効にして、FTPディレクトリを設定することです。このチュートリアルでは、ftpを作成します chrootおよび書き込み可能なuploadsとして機能するユーザーホーム内のディレクトリ ファイルをアップロードするためのディレクトリ。

  /etc/vsftpd/vsftpd.conf

  user_sub_token=$USER
  local_root=/home/$USER/ftp

• 方法2。 -別のオプションは、vsftpd構成ファイルに次のディレクティブを追加することです。ユーザーにホームディレクトリへの書き込み可能なアクセスを許可する必要がある場合は、このオプションを使用します。

  /etc/vsftpd/vsftpd.conf

  allow_writeable_chroot=YES

4。パッシブFTP接続＃

vsftpdは、パッシブFTP接続に任意のポートを使用できます。ポートの最小範囲と最大範囲を指定し、後でファイアウォールで範囲を開きます。

構成ファイルに次の行を追加します。

pasv_min_port=30000
pasv_max_port=31000

5。ユーザーログインの制限＃

特定のユーザーのみがFTPサーバーにログインできるようにするには、userlist_enable=YESの後に次の行を追加します。 行：

userlist_file=/etc/vsftpd/user_list
userlist_deny=NO

このオプションを有効にすると、ユーザー名を/etc/vsftpd/user_listに追加して、ログインできるユーザーを明示的に指定する必要があります。 ファイル（1行に1人のユーザー）。

6。 SSL / TLSを使用した送信の保護＃

FTP送信をSSL/TLSで暗号化するには、SSL証明書を取得し、それを使用するようにFTPサーバーを構成する必要があります。

信頼できる認証局によって署名された既存のSSL証明書を使用するか、自己署名証明書を作成できます。

FTPサーバーのIPアドレスを指すドメインまたはサブドメインがある場合は、無料のLet’sEncryptSSL証明書を簡単に生成できます。

このチュートリアルでは、opensslを使用して自己署名SSL証明書を生成します コマンド。

次のコマンドは、10年間有効な2048ビットの秘密鍵と自己署名証明書を作成します。秘密鍵と証明書の両方が同じファイルに保存されます：

sudo openssl req -x509 -nodes -days 3650 -newkey rsa:2048 -keyout /etc/vsftpd/vsftpd.pem -out /etc/vsftpd/vsftpd.pem

SSL証明書が作成されたら、vsftpd構成ファイルを開きます。

sudo nano /etc/vsftpd/vsftpd.conf

rsa_cert_fileを見つけます およびrsa_private_key_file ディレクティブ、値をpamに変更します ファイルパスを設定し、ssl_enableを設定します YESへのディレクティブ ：

rsa_cert_file=/etc/vsftpd/vsftpd.pem
rsa_private_key_file=/etc/vsftpd/vsftpd.pem
ssl_enable=YES

特に指定がない限り、FTPサーバーはTLSのみを使用して安全な接続を確立します。

vsftpdサービスを再起動します＃

編集が完了すると、vsftpd構成ファイル（コメントを除く）は次のようになります。

anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
chroot_local_user=YES
listen=NO
listen_ipv6=YES
pam_service_name=vsftpd
userlist_enable=YES
userlist_file=/etc/vsftpd/user_list
userlist_deny=NO
tcp_wrappers=YES
user_sub_token=$USER
local_root=/home/$USER/ftp
pasv_min_port=30000
pasv_max_port=31000
rsa_cert_file=/etc/vsftpd/vsftpd.pem
rsa_private_key_file=/etc/vsftpd/vsftpd.pem
ssl_enable=YES

ファイルを保存し、vsftpdサービスを再起動して、変更を有効にします。

sudo systemctl restart vsftpd

sudo firewall-cmd --permanent --add-port=20-21/tcpsudo firewall-cmd --permanent --add-port=30000-31000/tcp

firewall-cmd --reload

echo -e '#!/bin/sh\necho "This account is limited to FTP access only."' | sudo tee -a  /bin/ftponlysudo chmod a+x /bin/ftponly

echo "/bin/ftponly" | sudo tee -a /etc/shells

sudo usermod newftpuser -s /bin/ftponly