vsftpd FTPサーバー構築

今回は以下のようなポリシーでFTPサーバー(vsftpd)を構築します。

• 匿名ユーザー(annonymous)でのログインを拒否する
• パッシブモードでの転送を許可する
• rootでのログインを拒否する
• 自身のホームディレクトリより上層へはアクセスを禁止する
• ただし、ftpadminユーザーのみホームディレクトリより上層へのアクセスを許可する

vsftpd.confの編集

上記のポリシーを満たすようにvsftpd.confを編集します。

# vi /etc/vsftpd/vsftpd.conf
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
anon_upload_enable=NO
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
chroot_local_user=YES
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list
listen=YES
pam_service_name=vsftpd
userlist_enable=YES
userlist_deny=YES
userlist_file=/etc/vsftpd/user_list
tcp_wrappers=YES
use_localtime=YES
pasv_enable=YES
pasv_min_port=0
pasv_max_port=0

まず、デフォルトでは、匿名ユーザー(anonymous)でのログインが許可されていますのでこれを禁止します。

anonymous_enable=NO
anon_upload_enable=NO

ホームディレクトリより上層へのアクセスを禁止するかどうかを指定します。

chroot_local_user=YES
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list

「chroot_local_user」をYESにするとホームディレクトリより上層へのアクセスが禁止されます。ただし、「chroot_list_enable」をYESにすることでホームディレクトリより上層へのアクセスを許可するユーザーのリストが有効となります。それにより、「chroot_list_file」に記述したユーザーのみ上層へのアクセスが許可されます。

FTPでログインできるユーザーを指定します。

userlist_enable=YES
userlist_deny=YES
userlist_file=/etc/vsftpd/user_list

「userlist_enable」をYESにするとユーザーリストを使用しアクセスできるユーザーを制限することができるようになります。ユーザーリストのパスは「userlist_file」で指定します。
「userlist_deny」をYESにした場合、ユーザーリストはアクセスを拒絶するユーザーのリストになります。逆にNOにした場合、ユーザーリストはアクセスを許可するユーザーのリストになります。

パッシブモードでの転送を許可します。また、パッシブモードでの接続時に使用するポート番号の最小値と最大値を指定します。

pasv_enable=YES
pasv_min_port=0
pasv_max_port=0

「pasv_min_port」「pasv_max_port」に0を指定すれば、1024～65535番のうちのポート番号がランダムで使用されるようになります。

FTP用ユーザー作成

FTP用のOSユーザーを作成します。ここでは「ftpuser」と「ftpadmin」を作成します。

# useradd ftpuser
# passwd ftpuser
Changing password for user ftpuser.
New password:
Retype new password:
passwd: all authentication tokens updated successfully.

# useradd ftpadmin
# passwd ftpadmin
Changing password for user ftpadmin.
New password:
Retype new password:
passwd: all authentication tokens updated successfully.

chrootしないユーザーリスト作成

ホームディレクトリより上層へのアクセスを許可するユーザーリストを作成します。

# vi /etc/vsftpd/chroot_list
ftpadmin

ここではftpadminユーザーのみ許可するため、上記1行を記述します。

vsftpd.confの設定反映

ここまで行った設定を反映させるためにvsftpdを再起動します。

# service vsftpd restart

ファイル受信ディレクトリ作成

ファイルを受信するディレクトリを作成します。ftpuserユーザーはホームディレクトリ配下へしかアクセスできないため、その下の階層に作成します。

# cd /home/ftpuser/
# mkdir upload
# chown ftpuser:ftpuser ./upload/
# chmod 700 ./upload/

FTPクライアントからのファイル送信

FTPサーバーに対してファイルを送信してみましょう。今回もWindows標準のFTP機能を使用して、ファイル送信の確認をします。

Windows標準のFTP機能はコマンドプロンプトから使用します。
(コマンドプロンプトの起動は画面左下のWindowsマークをクリックし「プログラムとファイル検索」欄に「cmd」と入力し、Enterキーを押下します。)

まずは送信するテスト用ファイルを作成します。

> type nul > testfile03

続いてFTPサーバーにログインします。今回はftpuserでログインします。

> ftp 172.16.0.10
172.16.0.10 に接続しました。
220 (vsFTPd 2.2.2)
ユーザー (172.16.0.10:(none)): ftpuser
331 Please specify the password.
パスワード:
230 Login successful.

putコマンドでファイルを送信します。その際のパス指定ですが、ftpuserは「/home/ftpuser」ディレクトリが「/」になります。そのため先ほど作成したuploadディレクトリへ送信するには「/upload/>送信ファイル名<」というパス指定になります。

ftp>  put "C:\Users\user\testfile03" /upload/testfile03
200 PORT command successful. Consider using PASV.
150 Ok to send data.
226 Transfer complete.
ftp> 
ftp>  bye
221 Goodbye.

今度はftpadminユーザーでログインしてみます。

> ftp 172.16.0.10
172.16.0.10 に接続しました。
220 (vsFTPd 2.2.2)
ユーザー (172.16.0.10:(none)): ftpadmin
331 Please specify the password.
パスワード:
230 Login successful.

ログイン直後のカレントディレクトリをpwdコマンドで確認してみます。

ftp> pwd
257 "/home/ftpadmin"

ホームディレクトリより上層へのアクセスを許可しているftpadminユーザーでログインした場合は、OS上のパスと一致していることが確認できます。