A proposito dell'autore

Da aggiornare.

Introduzione

Il protocollo FTP (File transfer Protocol) rappresenta una comoda soluzione per trasferire file da un sistema ad un altro attraverso la rete.
Esistono sostanzilmente due tipologie di configurazione del server FTP:

A: Definire siti ad accesso limitato ai soli utenti del sistema. Questa è la configurazione adottata di default sui server FTP. E’ possibile definire controlli in modo da consentire o negare il login.

B: Accesso al server in maniera anonymous. Un server FTP anonimo permette il trasferimento di file a chiunque nella rete, anche a cui non dispone di un account locale su sistema. Questa configurazione è ottimale ma può esser soggetta a rischi per la sicurezza del sistema. http://www.cert.org

In questo tutorial prenderemo in considerazioni il Server FTP wu-ftpd, sicuramente ve ne sono di migliori e più affidabili ma lo scopo di questa guida e scoprire i concetti e i funzionamenti basilari del servizio ftp, non decretare una classifica.

procediamo:

apt-get install wu-ftpd

Il processo di installazioni chiederà alcune impostazioni di default, tra queste:

  • la modalità del servizio ftpd
  • eventuale accesso anonimo in una cartella (/home/ftp)
  • directory di upload dei file da parte di utenti esterni (pub/incoming)

Con questi semplici passi avremo il nostro server ftp attivo.

Eseguendo il test dal sistema stesso inserendo come user anonymous e pwd la propria email avremo:

	[02:55][root:/etc/ssh]# ftp 192.168.3.60
	Connected to 192.168.3.60.
	220 mail.indrelab.cxm FTP server (Version wu-2.6.2(1) Sun Apr 17 09:42:13 UTC 20
	05) ready.
	Name (192.168.3.60:indre): anonymous
	331 Guest login ok, send your complete e-mail address as password.
	Password:
	230 Guest login ok, access restrictions apply.
	Remote system type is UNIX.
	Using binary mode to transfer files.
	ftp>

Eseguendo il test dal sistema inserendo i dati del nostro account sul sistema il demone ftpd ci ubicherà direttamente nella nostra home di default:

	[02:57][root:/etc/ssh]# ftp 192.168.3.60
	Connected to 192.168.3.60.
	220 mail.indrelab.cxm FTP server (Version wu-2.6.2(1) Sun Apr 17 09:42:13 UTC 2$
	Name (192.168.3.60:indre): indre
	331 Password required for indre.
	Password:
	230 User indre logged in.
	Remote system type is UNIX.
	Using binary mode to transfer files.
	ftp> ls
	200 PORT command successful.
	150 Opening ASCII mode data connection for /bin/ls.
	total 93420
	-rw-------   1 indre indre     7376 Oct 15 23:37 .ICEauthority
	-rw-------   1 indre indre      213 Oct  7 16:28 .Xauthority
	-rw-------   1 indre indre     1744 Oct 15 14:29 .bash_history

Il servizio FTP viene controllato da /etc/inetd.conf ed è automaticamente richiamato ogni volta che ci si collega alla porta FTP, ovvero la numero 21.
Quando viene rilevata una connessione viene chiamato il demone ftpd e ha inizio la sessione di lavoro. Suggerimento è di impostarlo come demone standalone e non “comandato” da inet, in modo da velocizzare il processo. Come già detto sopra gli utenti si collegano in due modi: in modalità anonima o con utenze di sistema. Nel primo caso gli utenti anonimi vengono collocati nella directory /home/ftp.
Una volta che gli utenti sono entrati nel sistema viene effettuata una chiamata chroot.
Questa chiamata trasforma le dir degli utenti ftp nella loro directory root.
Viene negato l’accesso a qualunque altra directory di sistema comprese /bin /etc e /lib.
Questo comporta il fatto che il server non riuscirà più a “vedere” i file come /etc/passwd, /etc/group e file binari come /bin/ls.
Per ovviare a questo problema il pacchetto di installazione crea delle directory bin, etc e lib sotto /home/ftp in modo da avere a disposizione le librerie e gli strumenti per utilizzare il sistema.
La configurazione del servizio ftpd di default può ritenersi “abbastanza” sicura, ma è meglio agire nei file di configurazione per modificare alcune impostazioni.

In linea di massima i file da editare sono:

  • /etc/wu-ftpd/ftpaccess
  • /etc/ftpusers
  • /etc/wu-ftpd/ftpconversiones

Il file /etc/wu-ftpd/ftpaccess è il cuore per controllare quali e quanti utenti hanno accesso al server. In questo file son presenti comandi di:

  • Access: class, autogroup, deny, limit ecc.
  • Information: email, banner ecc..
  • Logging: syslog, comands, transfers ecc..
  • Generic: alias, shutdown ecc..
  • Permission: chmod, umask, delete ecc.

Controllo accesso utente

/etc/wu-ftpd/ftpaccess

Class

Definisce una classe di utenti che ha accesso al sistema. E’ possibile definire n classi; ogni classe ha la seguente sintassi:

	class	nome_classe	tipo	addressing [.....]
		class	access	real	192.168.3.*

In questo esempio abbiamo creato la classe access con accesso di tipo real (utenti presenti sul sistema) e consentito l’accesso solo dalla nostra lan.

Altri tipo di utenze sono: anonymous e guest

Autogroup

Definisce un gruppo specifico per gli utenti connessi in modalità anonymous

	autogroup	nome_gruppo	class	nome_classe [.....]
		autogroup	ftponly	class	ignite

E’ da ricordarsi che il nome_gruppo deve trovarsi nel file /etc/group del sistema.

Deny

Vieta l’accesso a determinati host in base al nome o indirizzo IP.

	
	deny ip/nome_host	messaggio
		deny	192.168.3.58	/home/ftp.message.no.accessftp	
	[05:39][root:/etc/wu-ftpd]# ftp 192.168.3.60
	Connected to 192.168.3.60.
	220-Debian Server - HOWTO wu-ftpd per areanetworking
	220-
	220 mail.indrelab.cxm FTP server (Version wu-2.6.2(1) Sun Apr 17 09:42:13 UTC 2$
	Name (192.168.3.60:indre): indre
	331 Password required for indre.
	Password:
	530-TUT TUT MI DISPIACE LAMERONE MA NON SEI ABILITATO AD ENTRARE :E
	530 Login incorrect. 
	Login failed.

Guestgroup

Consente di restringere i privilegi agli utenti reali durante l’accesso ftp.

	guestgroup	nome_gruppo	[.....]
		guestgroup	ftponly

Ricordarsi che il nome del gruppo DEVE realmente esistere sul sistema.
Con questo procedimento gli utenti real diventano come utenti anonymous.
Questo procedimento è visibile nelle riga del file /etc/passwd del sistema.

sarina:x:1003:1003:,,,:/home/ftp/./home/sarina:/bin/bash

Limit

Setta il numero di utenti che possono collegarsi al sistema via ftp. E’ possibile settare gli orari per i vari accessi real o anonymous.

	limit	nome_class	n	orario	messaggio
		limit	access	10	MoTuWeThFr0800-1800	/home/ftp.message.too_many.
	[05:56][root:/home/ftp/pub]# ftp 192.168.3.60
	Connected to 192.168.3.60.
	220-Debian Server - HOWTO wu-ftpd per AreaNetworking
	220-
	220 mail.indrelab.cxm FTP server (Version wu-2.6.2(1) Sun Apr 17 09:42:13 UTC 2$
	Name (192.168.3.60:indre): indre
	331 Password required for indre.
	Password:
	530-Il numero massimo di connessioni è stato raggiunto, riprova il + tardi poss$
	530 Login incorrect.
	Login failed.

Il formato dell’orario è in stile militare: i giorni della settimana sono indicati con: Su, Mo, Tu, We, Th, Fr, Sa. mentre l’intera settimana è indicata da Wk.
Le ore e i minuti son scritti consecutivamente senza spazi o sengi di separazione.
In caso di connessioni che eccedono il limite impostato verrà mostrato il messaggio di testo presente in /home/ftp.message.too_many.

Loginfails

E’ il numero di tentativi di login che un utente può effettuare prima di esser disconnesso dal sistema; di default è 5

	loginfails	n
		loginfails	3

Private

Consente di condividere file con altri utenti ftp senza doverli mettere in posizioni completamente accessibili. I client ftp usano il comando SITE GROUP e SITE GPASS per passare a gruppi privilegiati che richiedono la password.

	private		switch
		private		yes

Switch

E’ una stringa che assume valore YES o NO per attivare o disattivare questa funzione.
Questi gruppi ovviamente necessitano di password, si deve impostare nel file /etc/wu-ftpd/ftpgroups e metterlo in relazioni con il gruppo reale sul sistema.

	nome_gruppo_accesso:password_encrypted:gruppo_reale
		gps:$1$SfRBUdJi$cCZ3fb:ftponly

Un comando utile per creare direttamente il file ftpgroup e impostare la correlazione fra gruppo ftp e gruppo reale e relativa password è privatepw esempio:

privatepw -c -f ftpgroup -g gruppo_reale gruppo_ftp

Avvisi FTP

Spesso vengono predisposti al login o al verificarsi di un azione dei messaggi per l’utente connesso o in fase di login in modo da dare alcune info oppure semplicemente un messaggio di benvenuto.

Banner

Permette di visualizzare sullo schermo prima dell’inserimento di login e pwd un messaggio.

	banner	percorso
		banner	/home/fpt/.banner
        [05:37][root:/etc/wu-ftpd]# ftp 192.168.3.60
	Connected to 192.168.3.60.
	220-Debian Server - HOWTO wu-ftpd per areanetworking
	220-
	220 mail.indrelab.cxm FTP server (Version wu-2.6.2(1) Sun Apr 17 09:42:13 UTC 2$
	Name (192.168.3.60:indre):

Email

Indirizzo email dell’amministratore del server ftp per segnalare problemi, in genere viene visualizzato insieme al banner iniziale.

	email	indirizzo
		email	ftp-problem@mail.indrelab.cxm

Message

Invia messaggi quando gli utenti si collegano o si spostano in directory particolari.

	message percorso	when  {class .....}
		message /home/fpt/.danger	 CWD=/home/ftp/CVS
		message /home/ftp/.welcome	 login
	ftp> cd /home/ftp/CVS/
	250-ATTENZIONE! Area di sviluppo!
	250-
	250 CWD command successful.

	Password:
	230-Benvenuti! non vi aspettavo cosଠpresto!
	230-
	230 User indre logged in.
	Remote system type is UNIX.
	Using binary mode to transfer files.

When assume o CWD o login, in pratica o quando entra in una dir preimpostata o quando faccio il login.
E’ possibile utilizzare delle variabili di sistema preimpostate come:

%T tempo locale %F spazio disponibile nella dir corrente %C dir di lavoro %E indirizzo email settato in precendeza* %R nome host client %L nome host server %U nome utente al login %M numero max di utenti %N numero attuale utenti connessi per la determinata classe di appartenenza

Benvenuto su %L, %U
sei l'utente numero %N di %M.
Sono le ore %T.
Have a nice time.

e una volta ottenuto il login avremo:

	230-Benvenuti su mail.indrelab.cxm, indre.
	230-Sei l'utente numero 1 di 2.
	230-Sono le ore Fri Oct 21 10:31:43 2005.
	230-Have a nice time.
	230-
	230 User indre logged in.
	Remote system type is UNIX.
	Using binary mode to transfer files.

Readme

Stabilisce le condizioni per le quali viene notificato al client che un file di una directory è stato modificato.

	readme	percorso	when	class
		readme	/home/ftp/.README	CWD=/home/ftp/CVS

percorso è il luogo ove risiede il file per la segnalazione, when ha le stesse impostazioni di message.

	ftp> cd old
	250-Please read the file /home/ftp/.README
	250-  it was last modified on Fri Oct 21 10:39:48 2005 - 0 days ago
	250 CWD command successful.
	ftp>	

Log

Wuftpd, come ogni altro servizio gestisce il logging, ovvero tiene traccia delle connessioni e delle operazioni effettuate.
E’ possibile avere differenti livelli di logging.

E’ possibile registrare i comandi digitati dagli utenti ftp, ogni comando è inviato al file di log.

	log	command		tipi_di_utenti
		log	command		real, anonymous

Ricordarsi che i tipi di utenti sono real, guest e anonymous.
Attenzione di default il demone ftpd, avviato da inet e non come demone standalone, è avviato con l’opzione -l quindi NON logga i comandi digitati dagli utenti.

Per poter permettere ciò è necessario editare il file /etc/inetd.conf e modificare la riga

ftp stream tcp nowait root /usr/sbin/tcpd /usr/sbin/wu-ftpd -l

in

ftp stream tcp nowait root /usr/sbin/tcpd /usr/sbin/wu-ftpd -L
Fare riferimento alla pagina man di wu-ftpd.

	Using binary mode to transfer files.
	ftp> cd work
	250 CWD command successful.

	[11:56][root:/home/ftp/pub]# tail -3 /var/log/messages
	Oct 21 11:55:15 mail wu-ftpd[4811]: FTP LOGIN FROM 192.168.1.22 [192.168.1.22], indre
	Oct 21 11:55:15 mail wu-ftpd[4811]: SYST
	Oct 21 11:55:20 mail wu-ftpd[4811]: CWD work

E’ possibile inoltre registrare i trasferimenti di file sia inbound che outbound.

	log	tranfers	tipi_di_utenti	direzioni
		log	tranfers	real,anonymous	inbound,outbound

Il risultato delle registrazioni è visibile in /var/log/wu-ftpd/xferlog

	[11:46][root:/var/log/wu-ftpd]# tail -100 xferlog
	Fri Oct 21 11:45:35 2005 1 192.168.1.22 5 /home/ftp/test.txt b _ o r indre ftp 0 * c

Comandi server

Esistono altri numerosi comandi da poter utilizzare per ottimizzare il nostro server FTP, tra questi:

Alias

Consente di definire un alias per una directory, in modo da potrevi accedere specificando l’alias al posto del path (genericamente lungo) della directory effettiva.

	alias	nome_alias	path_directory
		alias	work	/home/ftp/CVS/lavoro/new
	ftp> cd work
	250 CWD command successful.
	ftp> pwd
	257 "/home/ftp/CVS/lavoro/new" is current directory.
	ftp>

Cdpath

Permette di definire un elenco di percorsi alterati. Identico al PATH di UNIX.

	
	cdpath	/home/ftp/film
	cdpath	/home/ftp/mp3

Se il client digita cd ball, la dir verrà ricercata in ./ball, eventuali alias, /home/ftp/film, /home/ftp/mp3.

Compress

Consente di comprimere o decomprimere un file prima della trasmissione.

	compress	switch*		class
		compress	yes	all

switch assume i valori YES o NO.

E’ necessario configurare il file /etc/ftpconversions in modo che il server sappia quali programmi utilizzano una certa estensione. di default abbiamo /bin/gzip e /bin/compress.

Tar

Simile alla funzione compress.

tar switch* class

               tar        yes     all

switch assume i valori YES o NO.

Anche qui è necessario configurare il file /etc/ftpconversions.

Shutdown

Specifica al server ftp di controllare un file per stabilire se deve effettuare uno shutdown programmato del sistema.

	shutdown	path
		shutdown	/etc/shutmsg

Questo file viene interrogato dal programma di chiusura di ftpshut per le modalità di chiusura del servizio. Il formato del file è: anno mese giorno ora minuto vieta_connessioni disconnetti testo L’anno è espresso in formato numerico dal 1970 in poi.

  • mese da 0 a 11.
  • giorno da 0 a 30
  • ora da 0 a 23
  • minuti da 0 a 59
  • vieta_connessioni sta ad indicare l’ora dalla quale il server non accetta più connessioni, indicato nella forma HHMM
  • disconnetti indica l’ora dalla quale il server termina le sessioni correnti, indicato nel formato HHMM.
  • text è in formato testo e indica il messaggio da visualizzare all’utente, usando se necessario le variabili utilizzate per message.

Questo file viene creato tramite il comando ftpshut.

ftpshut -l 5 -d 3 1155 “il server FTP è in fase di spegnimento”

Il file /etc/shutmsg avrà la seguente sintassi:

	
	2005	09	26	11 55	0005	0003
	il server FTP è in fase di spegnimento

Controllo dei permessi

In linea di massima il file /etc/ftpaccess è configurato in questa maniera per quanto riguarda le permission:

	tar		yes		all
	compress	yes		all
	chmod 		no		guest,anonymous
	delete 		no		guest,anonymous
	overwrite 	no		guest,anonymous
	rename	no		guest,anonymous

Chmod

Stabilisce se un client dispone o meno del permesso di modificare le permission relative ai file.

	chmod	switch	class
		chmod	yes	real

Delete

Stabilisce se un client dispone o meno del permesso di cancellare file.

	delete	switch	class
                	delete	yes	real
	ftp> delete .README
	553 .README: Permission denied on server. (Delete)
	ftp>	

Overwrite

Stabilisce se un client dispone o meno del permesso di sovrascrivere file esistenti.

	overwrite switch class
                	overwrite   yes     real
	ftp> put .README
	local: :README remote: .README
	220 PORT command successful.
	553 .README: Permission denied on server. (Overwrite)
	ftp>

Rename

Stabilisce se un client dispone o meno del permesso di rinominare file.

	rename switch class
                	overwrite   yes    real
<pre>

<pre>

	ftp> rename .README .InDrE
	350 File exists, ready for destination name
	553 .README: Permission denied on server. (Overwrite)
	ftp>

Umask

Stabilisce se un client dispone o meno del permesso di modificare le proprie permission di default sui file.

	umask switch class
                	umask   yes    real

Passwd-check

Questa opzione consente di determinare un livello di protezione nell’email del collegamento anonimo.

	
	passwd-check	option	messaggio
		passwd-check	trivial	enforce

Come option è possibile settare: strictness, trivial, rrc822:

  • strictness significa che non viene eseguito nessun controllo sull’inserimento della password
  • trivial significa che la password inserita come email deve almeno contenere il simbolo @
  • rfc822 è più restrittivo e specifica che l’indirizzo di posta elettronica sia conforme allo standard RFC822.

Come “messaggio” è possibile settare enforce o warn; warn segnala che non si son rispettate le regole di inserimento ma consente lo stesso l’accesso, enforce vieta l’accesso fino a che non si inserisce una password conforme.

Path-filter

Questa opzione permette di specificare, nel caso di upload da parte di utenti, i nomi di file non accettati dal server.

	path-filter	class	messaggio	exp_permessa		exp_negata
		path-filter	anonymous,real	/home/ftp/.badfile	FT*	jpg$

La seguente espressione consente di fare upload da parte di utenti real e anonymous solo di file che iniziano con FT o che non terminano con jpg. exp_negata è un comando facoltativo.

Esistono numerose altre opzioni da aggiungere al file ftpaccess, per informazioni dettagliate

Il file /etc/ftphosts

Questo file determina le regole di accesso per singolo utente; è possibile specificare da quale host un utente può loggarsi al nostro server ftp o meno.

	allow	nome_utente	indirizzo
		allow	indre	*.areanetworking.it

In questo modo l’utente indre può loggarsi la qualsiasi macchina del dominio areanetworking.it

	deny	nome_utente	indirizzo
		deny	indre	195.10.2.*

In questo modo si impedisce all’utente indre di accedere al server dalla rete 195.10.2.0/24.

Il file /etc/ftpusers

Questo file contiene gli utenti a cui non è consentito l’accesso al server.
Di default nel file avremo utenti tipo root, daemon, nobody, mail, sys.
Questi son già presenti di default in quanto non sono account reali, se si volesse impedire ad un account reale l’accesso ftp basta inserirlo in questo file.

Post correlati

Close
Entra in contatto con altri professionisti ICT, seguici su Facebook e Twitter: