vsFTPdでFTPサーバを作ろう！

ここでは、vsftpdのインストール手順を掲載しています。

[広告]

vsftpdとは…？

vsftpdは"Very Secure FTPD"の略で、その名の通り、セキュリティに重点を置いて作られたFTPサーバです。

vsftpdのインストール

[root@co ~]# yum -y install vsftpd

読み込んだプラグイン:fastestmirror
Loading mirror speeds from cached hostfile
 * base: ftp-srv2.kddilabs.jp
 * extras: ftp-srv2.kddilabs.jp
 * updates: ftp-srv2.kddilabs.jp
依存性の解決をしています
--> トランザクションの確認を実行しています。
---> パッケージ vsftpd.x86_64 0:3.0.2-25.el7 を インストール
--> 依存性解決を終了しました。

依存性を解決しました

================================================================================
 Package          アーキテクチャー バージョン              リポジトリー    容量
================================================================================
インストール中:
 vsftpd           x86_64           3.0.2-25.el7            base           171 k

トランザクションの要約
================================================================================
インストール  1 パッケージ

総ダウンロード容量: 171 k
インストール容量: 353 k
Downloading packages:
vsftpd-3.0.2-25.el7.x86_64.rpm                             | 171 kB   00:00
Running transaction check
Running transaction test
Transaction test succeeded
Running transaction
  インストール中          : vsftpd-3.0.2-25.el7.x86_64                      1/1
  検証中                  : vsftpd-3.0.2-25.el7.x86_64                      1/1

インストール:
  vsftpd.x86_64 0:3.0.2-25.el7

完了しました!

vsftpdの設定

続いて設定を行います。

ここでは誰でも接続可能なAnonymous FTPではなく、ユーザごとにログイン可能なFTPサーバを構築します。

[root@co ~]# vi /etc/vsftpd/vsftpd.conf

anonymous_enable=YES
↓
anonymous_enable=NO

#xferlog_file=/var/log/xferlog
↓
xferlog_file=/var/log/vsftpd.log

#ascii_upload_enable=YES
#ascii_download_enable=YES
↓
ascii_upload_enable=YES
ascii_download_enable=YES

#ftpd_banner=Welcome to blah FTP service.
↓
ftpd_banner=Welcome to mhserv FTP service.

#chroot_local_user=YES
#chroot_list_enable=YES
↓
chroot_local_user=YES
chroot_list_enable=YES

#chroot_list_file=/etc/vsftpd/chroot_list
↓
chroot_list_file=/etc/vsftpd/chroot_list

#ls_recurse_enable=YES
↓
ls_recurse_enable=YES

ftpd_bannerは、FTPに接続した時に表示されるもので、自由に設定が可能です。vsftpdのバージョン情報を隠す役割もあります。

更に、設定ファイルの最後尾に以下を追記していきます。

local_root=public_html

use_localtime=YES

#パッシブ接続を行う場合、以下を追記
pasv_promiscuous=YES
pasv_min_port=64000
pasv_max_port=64029
pasv_addr_resolve=YES

#LAN内にDNSサーバを構築している場合のみ追記
pasv_address=取得した別のドメイン (mhserv.mydns.jpなど)

FTPサーバにログインしたユーザは、local_rootで設定したディレクトリよりも上の階層に進むことはできません。

pasv…は、パッシブ接続をしたい場合に追記します。FTPサーバでは通常、20番、21番ポートを使って通信を行いますが、パッシブ接続では特定のポートではなく、その他の適当なポートを用いて通信を行います。

もし、LAN内用のDNSサーバを構築している、あるいは構築する予定がある場合、サーバのグローバルアドレスが取得可能な別のドメインをpasv_addressで指定する必要があるので、ドメインが2つ必要になります。

パッシブ接続で使用するポートの範囲をpasv_min_port、pasv_max_portで設定します。

通信の暗号化(FTPS)

FTP通信の暗号化を行う場合、更に以下を追記します。

この場合、事前にSSLの設定を行っておく必要があります。

今回は、Let's Encryptを使って証明書を発行したものとして話を進めます。自己発行の証明書の場合は各自ファイル名等を読み替えてください。

ssl_enable=YES
rsa_cert_file=/etc/letsencrypt/live/mhserv.info/fullchain.pem
rsa_private_key_file=/etc/letsencrypt/live/mhserv.info/privkey.pem
ssl_sslv2=NO
ssl_sslv3=NO
ssl_tlsv1=YES
require_ssl_reuse=NO

# 暗号化しない通信も許可する場合、以下を追記
force_local_logins_ssl=NO
force_local_data_ssl=NO

暗号化した通信のみ行いたい場合、force_local_logins_sslとforce_local_data_sslをYESにします。

上位層へ移動可能なユーザの登録

もしlocal_rootで設定したディレクトリよりも上の階層に進むことのできるユーザ(ここではkoro)を登録する場合、以下のようにします。

[root@co ~]# echo koro >> /etc/vsftpd/chroot_list

Exec-Shieldを無効化

Exec-Shield（バッファオーバーフロー対策）が有効になっていると、vsftpdがきちんと動作しない場合があるため、vsftpdに対してのみ無効化します。

まずは設定に必要なexecstackをインストールしましょう。

[root@co ~]# yum -y install prelink

読み込んだプラグイン:fastestmirror
Loading mirror speeds from cached hostfile
 * base: ftp-srv2.kddilabs.jp
 * extras: ftp-srv2.kddilabs.jp
 * updates: ftp-srv2.kddilabs.jp
依存性の解決をしています
--> トランザクションの確認を実行しています。
---> パッケージ prelink.x86_64 0:0.5.0-9.el7 を インストール
--> 依存性解決を終了しました。

依存性を解決しました

================================================================================
 Package           アーキテクチャー バージョン             リポジトリー    容量
================================================================================
インストール中:
 prelink           x86_64           0.5.0-9.el7            base           1.0 M

トランザクションの要約
================================================================================
インストール  1 パッケージ

総ダウンロード容量: 1.0 M
インストール容量: 2.1 M
Downloading packages:
prelink-0.5.0-9.el7.x86_64.rpm                             | 1.0 MB   00:00
Running transaction check
Running transaction test
Transaction test succeeded
Running transaction
  インストール中          : prelink-0.5.0-9.el7.x86_64                      1/1
  検証中                  : prelink-0.5.0-9.el7.x86_64                      1/1

インストール:
  prelink.x86_64 0:0.5.0-9.el7

完了しました!

続いて、vsftpdに対するExec-Shieldを無効化します。

[root@co ~]# execstack -q /usr/sbin/vsftpd

- /usr/sbin/vsftpd

[root@co ~]# execstack -s /usr/sbin/vsftpd

[root@co ~]# execstack -q /usr/sbin/vsftpd

X /usr/sbin/vsftpd

Xが付いていてば設定完了です。

vsftpdの起動

[root@co ~]# systemctl start vsftpd

[root@co ~]# systemctl enable vsftpd

Created symlink from /etc/systemd/system/multi-user.target.wants/vsftpd.service to /usr/lib/systemd/system/vsftpd.service.

参考にしたサイト様

CentOSサーバー構築マニュアル - vsftpd インストール

Crimson Snow - CentOSによる自宅サーバの構築 - バッファオーバーフロー対策（Exec-Shield）

[広告]

○Hyper-V（Win Proのみ）

○導入

○セキュリティ対策

○Dynamic DNS

○NTPサーバ

ntpd

○データベース

MariaSQL

○WEBサーバ

○FTPサーバ

vsftpd

○メールサーバ

○DNSサーバ

BIND

○ブログシステム

WordPress

○オンラインストレージ

ownCloud

○その他

vsFTPdでFTPサーバを作ろう！

vsftpdとは…？

vsftpdのインストール

vsftpdの設定

通信の暗号化(FTPS)

上位層へ移動可能なユーザの登録

Exec-Shieldを無効化

vsftpdの起動

参考にしたサイト様

トップページ

Rocky Linux 8

CentOS 7

Scientific Linux 6

CentOS 5

ブログ