FTP (File Transfer Protocol) là một giao thức truyền tập tin giữa Client và Server. Nó cũng là một giao thức không bảo mật nếu không được mã hoá với TLS. Chính vì vậy, trong bài viết này, mình sẽ hướng dẫn bạn cách cài đặt, cấu hình vsftpd (Một FTP Server Stand Alone được phân phối bởi Red Hat Enterprise Linux) với SSL/TLS.
Chuẩn bị môi trường #
- Ubuntu 20.04.
- User có quyền sudo.
Cài đặt vsfptd #
Đầu tiên bạn cần cài đặt vsftpd:
$ sudo apt update $ sudo apt install vsftpd |
Tiếp theo, chúng ta cần sao lưu lại cài đặt vsfptd cũ nếu bạn muốn cài đặt vsftpd mới ghi đè lên version cũ:
$ sudo cp /etc/vsftpd.conf /etc/vsftpd.conf.orig |
Cấu hình tưởng lửa cho vsftpd #
Bạn cần phải cấu hình UFW (công cụ tường lửa trên Ubuntu 20.04) để mở port cho FTP nên trước hết bạn hãy kiểm tra trạng thái hiện tại:
$ sudo ufw status Status: active To Action From -- ------ ---- OpenSSH ALLOW Anywhere OpenSSH (v6) ALLOW Anywhere (v6) |
Thực hiện mở các port 20 (FTP command port), 21 (FTP data port), 990 (TLS FTP data port) và dải port 35000-40000:
$ sudo ufw allow 20:21/tcp $ sudo ufw allow 990/tcp $ sudo ufw allow 35000:40000/tcp $ sudo ufw status Status: active To Action From -- ------ ---- OpenSSH ALLOW Anywhere 990/tcp ALLOW Anywhere 20:21/tcp ALLOW Anywhere 35000:40000/tcp ALLOW Anywhere OpenSSH (v6) ALLOW Anywhere (v6) 20:21/tcp (v6) ALLOW Anywhere (v6) 990/tcp (v6) ALLOW Anywhere (v6) 35000:40000/tcp (v6) ALLOW Anywhere (v6) |
Cấu hình vsftpd #
Tiếp theo bạn cần cấu hình vsftpd bằng cách mở và chỉnh sửa file cấu hình:
$ sudo nano /etc/vsftpd.conf |
Để giới hạn chỉ cho người dùng nội bộ truy cập vào FTP thì bạn thêm dòng cấu hình sau:
anonymous_enable=NO local_enable=YES |
Bạn cần cho phép quyền ghi để có thể kích hoạt chức năng upload trên FTP Server. Để làm điều đó, uncomment dòng sau:
write_enable=YES |
Tiếp theo cần giới hạn người dùng chỉ có thể thao tác trên thư mục cụ thể. Để làm điều đó, bạn cần uncomment dòng sau:
chroot_local_user=YES allow_writeable_chroot=YES |
vsftpd có thể sử dụng bất kì port nào cho các kết nối passive FTP. Vi vậy nên chúng ta thực hiện cấu hình minimum port và maximum port với dòng cấu hình sau:
pasv_min_port=35000 pasv_max_port=40000 |
Cuối cùng là để giới hạn những người dùng nào có thể đăng nhập vào FTP Server, thêm đoạn cấu hình sau:
userlist_enable=YES userlist_file=/etc/vsftpd.userlist userlist_deny=NO |
Với đoạn cấu hình trên, bạn đã chỉ định người dùng có thể truy cập với username lưu tại /etc/vsftpd.userlist.
Cấu hình thư mục người dùng #
Để thêm người dùng mới vào FTP Server, trong bài viết mình sẽ thực hiện thêm mới người dùng. Đầu tiên là tạo người dùng mới:
$ sudo adduser tel4vn |
Tiếp theo bạn cần thêm người dùng mới tạo vào danh sách người dùng của FTP:
$ echo "tel4vn" | sudo tee -a /etc/vsftpd.userlist |
Sau khi thêm vào danh sách, bạn hãy tạo thư mục cho người dùng đó:
$ sudo mkdir /home/tel4vn/ftp $ sudo chown nobody:nogroup /home/tel4vn/ftp $ sudo chmod a-w /home/tel4vn/ftp |
Sau khi tạo xong thư mục, kiểm tra lại quyền thư mục như sau:
$ sudo ls -al /home/tel4vn/ftp total 8 dr-xr-xr-x 2 nobody nogroup 4096 Jun 7 13:08 . drwxr-xr-x 3 tel4vn tel4vn 4096 Jun 7 13:08 .. |
Tiếp theo, bạn cần tạo thư mục có quyền write để có thể lưu các file tải lên:
$ sudo mkdir /home/tel4vn/ftp/upload $ sudo chown tel4vn:tel4vn /home/tel4vn/ftp/upload |
Lúc đó, thư mục dành cho việc tải lên sẽ có quyền như bên dưới:
$ sudo ls -al /home/tel4vn/ftp total 12 dr-xr-xr-x 3 nobody nogroup 4096 Jun 7 13:10 . drwxr-xr-x 3 tel4vn tel4vn 4096 Jun 7 13:08 .. drwxr-xr-x 2 tel4vn tel4vn 4096 Jun 7 13:10 upload |
Để tiện cho việc test thử, bạn nên tạo một file test.txt ttrong thư mục upload:
$ echo "vsftpd test file" | sudo tee /home/tel4vn/ftp/upload/test.txt |
Kiểm tra kết nối FTP #
Sau khi cấu hình xong, bạn hãy thử kiểm tra kết nối FTP như sau:
$ ftp -p 136.244.105.99 Connected to 136.244.105.99. 220 (vsFTPd 3.0.3) Name (136.244.105.99:default): anonymous 530 Permission denied. ftp: Login failed. ftp> |
Như bên trên, người dùng bất kì không thể đăng nhập vào FTP Server. Ta thử lại với người dùng mới tạo:
$ ftp -p 136.244.105.99 Connected to 136.244.105.99. 220 (vsFTPd 3.0.3) Name (136.244.105.99:default): tel4vn 331 Please specify the password. Password: your_user's_password 230 Login successful. Remote system type is UNIX. Using binary mode to transfer files. ftp> |
Với người dùng được cấu hình thì bạn có thể đăng nhập thành công. Thực hiện tải xuống file test.txt vừa tạo:
ftp> cd upload 250 Directory successfully changed. ftp> get test.txt 227 Entering Passive Mode (136,244,105,99,165,42). 150 Opening BINARY mode data connection for test.txt (17 bytes). 226 Transfer complete. 16 bytes received in 0.0101 seconds (164.3719 kB/s) ftp> |
Tiếp tục thực hiện đổi tên file test.txt để xác nhận người dùng được tạo có quyền write:
ftp> put test.txt upload.txt 227 Entering Passive Mode (136,244,105,99,163,102). 150 Ok to send data. 226 Transfer complete. 17 bytes sent in 0.000894 seconds (518.7988 kB/s) |
Cuối cùng đóng kết nối:
ftp> put test.txt upload.txt 227 Entering Passive Mode (136,244,105,99,163,102). 150 Ok to send data. 226 Transfer complete. 17 bytes sent in 0.000894 seconds (518.7988 kB/s) |
Mã hoá kết nối với SSL/TLS #
Để có thể mã hoá kết nối FTP, bạn cần phải có một chứng chỉ SSL và cấu hình vsftpd sử dụng nó. Trong bài viết này, mình sẽ sử dụng openssl để tạo chứng chỉ như sau:
$ sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem |
Sau khi có chứng chỉ, bạn cần cấu hình vsftpd:
$ sudo nano /etc/vsftpd.conf |
Tìm và uncomment đoạn cấu hình sau:
rsa_cert_file=/etc/ssl/private/vsftpd.pem rsa_private_key_file=/etc/ssl/private/vsftpd.pem |
Tiếp tục thay đổi giá trị ssl_enable thành yes:
ssl_enable=YES |
Sau đó, bạn cần thêm một số cấu hình để tăng bảo mật cho SSL:
allow_anon_ssl=NO force_local_data_ssl=YES force_local_logins_ssl=YES ssl_tlsv1=YES ssl_sslv2=NO ssl_sslv3=NO require_ssl_reuse=NO ssl_ciphers=HIGH |
Lưu lại các cấu hình bên trên và khởi động lại dịch vụ:
$ sudo systemctl restart vsftpd |
Kiểm tra TLS với Filezilla #
Sau phần cấu hình mã hoá FTP với SSL/TLS bên trên, bạn có thể sử dụng Filezilla để kiểm tra.
Mở Filezilla, chọn Site Manager bên trên:
Chọn tiếp New Site để thêm thông tin FTP Server mới:
Thực hiện điền thông tin FTP Server. Do mặc định port FTP là 21 nên bạn có thể để trống ô port. Bạn nhớ chọn Require explicit FTP over TLS do FTP Server đã được mã hoá TLS.
Nếu kết nối thành công, bạn sẽ nhận được cửa sổ như bên dưới. Chọn Always trust this certificate in future sessions để không phải hỏi như lần sau.
Tắt SSH trong vsftpd #
Mặc định khi tạo một người dùng FTP, nếu không cấu hình giới hạn, người dùng đó đều có thể SSH vào Server. Chính vì vậy, bạn nên tắt SSH cho những người dùng FTP để nâng cao bảo mật.
Tạo một shell script thực thi /bin/ftponly như bên dưới:
$ echo -e '#!/bin/sh\necho "This account is limited to FTP access only."' | sudo tee -a /bin/ftponly $ sudo chmod a+x /bin/ftponly |
Thêm đoạn shell trên vào /etc/shells:
$ echo "/bin/ftponly" | sudo tee -a /etc/shells |
Thay đổi đoạn shell của người dùng FTP:
$ sudo usermod tel4vn -s /bin/ftponly |
Kết luận #
Như vậy, qua bài viết này, mình đã hướng dẫn bạn cài đặt vsftpd với SSL/TLS. Bạn có thể cân nhắc việc thay thể SFTP hoặc SCP với FTP mã hoá TLS như trên. Cuối cùng với bất kì thắc mắc hay lỗi cài đặt nào, bạn hãy bình luận bên dưới để mình giúp đỡ nhé.
Nguồn bài viết: https://www.howtoforge.com/
