proftpd.conf 설정

예1)

* proftpd에서 가상호스트를 설정하여 ftp서비스를 제공함

* 가상 호스트에 접속한 ftp 사용자들이 자신의 홈 디렉토리를 벗어 날 수 없도록 함

* 가상호스트 이름 :  ftp.linux.test

* 가상 호스트가 사용할 포트번호 : 12345번

--------------------------------------------------------

<VirtualHost ftp.linux.test>

Port 12345

DefaultRoot    ~

</VirtualHost>

예2)

* Anonymous FTP 서버의 incomming 디렉토리에 대한 설정

* 접속한 사용자들에게 읽기/파일전송/디렉토리 생성은 허용

* 접속한 사용자들에게 파일삭제/디렉토리 삭제는 금지

* ftp사용자의 홈 디렉토리의 위치 : /var/ftp

* incomming 디렉토리의 위치 : /var/ftp/incomming

----------------------------------------------------------

<Anonymous ~ftp>    ;익명계정 설정

...

   <Directory incomming/*>     ;구체적인 디렉토리 설정

   ...

       <Limit DELE,RMD>    ;디렉토리의 권한 설정

         DenyAll    ;모두 거부함

        </Limit>

        <Limit READ,STOR,MKD>    ;디렉토리의 권한 설정

         AllowAll    ;모두 허용함

         </Limit>

   </Directory>

...

</Anonymous>

예3)

* proftpd가 독립적인 어플리케이션으로 실행되도록 설정

* 접속 가능한 최대 사용자수를 100으로 제한하도록 설정

----------------------------------------------------------

ServerName         "FTP.IHD.OR.KR"

ServerType            standalone

DefaultServer            on

MaxInstances         100

(MaxClients            100)

Port        21

Umask        022

User        nobody

Group        nobody

예4)

* 대용량파일을 다운로드하는 사용자들의 속도를 제한하여 사용 가능한 서버의 대역폭을 확보

* 크기가 64435 bytes 이상인 파일은 대용량 파일로 인식하게 함

* 대용량 파일의 다운로드시 대역폭이 128bps가 되도록 설정

----------------------------------------------------------

RateReadHardBPS      on   ; RateRead 제한을 사용토록 함

RateReadFreeBytes      65535   ; byte 단위로 지정

RateReadBPS      128   ; BPS 단위로 지정

예5)

* 서버의 동시 접속자수를 50명으로 제한

* 사용자 홈디렉토리를 루트(/)로 지정

* 익명 ftp를 사용하기 위해 /var/ftp/incoming와 /var/ftp/pub 디렉토리를 생성

* 서비스 디렉토리를 /var/ftp 로 설정

* incoming 디렉토리는 읽기만 가능하도록 설정

* pub 디렉토리는 읽기, 저장, 지우기, 디렉토리 생성이 가능하도록 설정

----------------------------------------------------------

MaxClient   50

(MaxInstances   50)

DefaultsRoot   ~

<Anonymous   /var/ftp>

<Directory    incomming>

<Limit    READ>

AllowALL

</Limit>

</Directory>

<Directory    pub>

<Limit    READ,STOR,MKD,DELE>

AllowALL

</Limit>

</Directory>

</Anonymous>

 proftpd의 환경설정을 한다.

 vi  /etc/proftpd.conf

 

vi편집기를 이용해 편집을 시작한다.

 

ServerName   "ProFTPD server"

// ServerName은 FTP서버에 접속했을 때 표시되는 이 FTP 서버의 이름을 지정한다.

ServerIdent     on"FTP Server ready"

// ServerIdent 는 FTP서버에 접속했을때 클라이언트에게 보내주는 메시지를 지정한다.

ServerAdmin   root@localhost

//FTP서버의 관리자 메일 주소를 지정한다.

ServerType   standalone

#serverTpe   inetd

//ServerType은 Proftp 서버를 실행할 데몬의 방식을 설정한다.

DefaultServer   on

//DefaultServer는 목적지를 알수 없는 접속이 들어왔을 경우 접속을 허용할지 결정하는 지시자.

//기본값 on을 사용하면 알려지지 않은 접속에 대해서도 FTP 서비스를 제공한다.

DefaultRoot     ~ !adm

// 접속한 사용자가 자신의 디렉토리를 벗어날수 없다.(보안성 강화)

// 이 구문을 #을 달아서 주석처리 해줄경우 어느 폴더든지 접근이 가능하다.

 

나머지 설정은 기본값을 사용해도 괜찮을거 같다.

 

이렇게 vi편집기에서 설정을 변경후 : x를 이용해 저장하고 나온다,

proftpd.conf 파일을 setting해보자

 

[root@GT etc]# more proftpd.conf

# This is a basic ProFTPD configuration file (rename it to

# 'proftpd.conf' for actual use.  It establishes a single server

# and a single anonymous login.  It assumes that you have a user/group

# "nobody" and "ftp" for normal operation and anon.

 

ServerName                      "ProFTPD Default Installation"

#standalone 방식으로 실행될지 xinetd 방식으로 실행될지 지정해 주는 곳으로 현재 설#정은standalone 방식이다 standalone방식은 항상 실행되고 있어 우리가 ps –ef로 검색#할수 있는 형태를 말한다고 생각하면 될 것 같다.

#standalone방식은 빠른 서비스가 가능하지만 항상 실행되고 있어 시스템 자원이 낭비되#고xinetd는 응답속도가 느리지만 시스템 자원 낭비가 없다는 장점이 있다.

ServerType                      standalone

DefaultServer                   on

 

# ftp 포트를 지정해 주는곳

Port                            21

 

# ftp로 접속해서 디렉토리나 파일을 생성했을 때 기본적으로 가지게 될 권한을 설정해 #두는곳

Umask                           022

 

# dos 공격에 대비해 최대로 실행될수 있는 프로세스의 개수를 지정해 두는곳

MaxInstances                    30

 

# 항상 ftp를 실행 시킬 수 있는 계정 과 그룹

User                            root

Group                           root

 

# To cause every FTP user to be "jailed" (chrooted) into their home

# directory, uncomment this line.

# DefaultRoot ~

 

# 원할때 파일을 덮어쓰기 할수 있는가의 여부

AllowOverwrite          on

 

# Bar use of SITE CHMOD by default

<Limit SITE_CHMOD>

  DenyAll

</Limit>

 

# anonymous 계정으로 접근을 시도할 때 가지게 될 권한과 동일한 계정

<Anonymous ~ftp>

  User                          ftp

  Group                         ftp

 

  # 위의 설정을 반영해주기 위해anonymous로 접근 시 다음 계정으로 보이도록 별칭

#을 만들어줌

  UserAlias                     anonymous ftp

 

  # anonymous로 접근할수 있는 client들의 최대 수

  MaxClients                    10

 

  # We want 'welcome.msg' displayed at login, and '.message' displayed

  # in each newly chdired directory.

  DisplayLogin                  welcome.msg

DisplayFirstChdir             .message

# Limit WRITE everywhere in the anonymous chroot

  <Limit WRITE>

    DenyAll

  </Limit>

</Anonymous>

Proftpd.conf는 아파치의 설정파일인 httpd.conf와 매우 유사해서 httpd.conf를 수정해 본 사용자라면 눈에 익은 지시자들이 많을 것입니다. 저 개인적으로도 wu-ftp보다 proftp를 더 선호합니다. 

##############

# Global 섹션   

##############

ServerName                  "ProFTPD Default Installation-WOW"

# 서버 네임을 적어 줍니다. 아무거나 적어도 상관 없습니다.

ServerType                   inetd

# Server Tyre을 가리키는 지시자입니다. 

# 서버 유형에는 inetd와 standalone 모드를 선택할 수 있습니다.  

DefaultServer                   on

# 주 IP address 또는 설정 블록에서 지정되어진 address 중의 하나가 아닌 IP address로 들어오는 

# connection이 있을때 기본으로 사용되어질 서버 설정을 조절한다

Port                            21

# Proftpd가 사용할 기본 포트를 지정하는 지시자로 기본 포트 변경시에 "21" 을 사용하고 싶은 포트로 변경해 주면 됩니다.

# ADSL이나 케이블 같은 유동 아이피 환경에서는 ISP업체에서 21번 23번 25번 80번 포트등을 필터링 하기 떄문에 ftp 기본

# 포트를 변경해 줘야지 외부에서 접속할 수 있습니다.

Umask                           022

# umask를 설정해주는 지시자로 새로 생성되는 파일이나 디렉토리의 기본 퍼미션을 결정합니다. 

# umask 022는 644의 퍼미션을 가진 파일과 755의 퍼미션을 가진 디렉토리를 생성합니다. 

# umask에 대한 자세한 내용은 리눅스 기초 강좌 편을 보기 바랍니다.

MaxInstances                    30

# Proftpd가 standalone 모드로 작동할 때 최대로 생성할 수 있는 자식 프로세스를 정의합니다. 

# DoS 공격에 대한 보호 목적이므로 적당한 값을 설정해서 사용하기 바랍니다.

User                            nobody

# Proftpd가 실행 될 때 User지시자로 정의된 사용자명으로 실행됩니다.

# 보안상 절대 root로 실행되게 해서는 안됩니다.

Group                           nobody

# 이것 또한 User지시자와 마찬가지고 Proftpd가 실행 될 떄 Group지시자로 정의된 Group 명으로 실행됩니다.

UseReverseDNS                off

# 접속자의 IP 주소를 Reverse Mapping을 하지 않겠다는 설정이다.

# Reserver Mapping이란 IP  주소를 도메인으로 변경하는 것을 말한다.

IdentLookups                     off

# 일반적으로, 클라이언트가 proftpd로 연결했을 때, ident protocol(RFC1413)은 remote username의 확인을 시도되기 위해 

# 사용된다. 이것은 IdentLookups 지시자를 통해 조절된다 (proftpd.oops.org의 번역분)

AuthPAMAuthoritative            on

# PAM이 인증에 있어서 최종 단계의 권한을 가지게 합니다.

# 즉 PAM 인증이 실패할 경우 클라이언트와의 연결을 거부합니다.

RootLogin                        off

# ftp로의 root 로그인을 허락 또는 거부 하기 위한 지시자입니다.

          AllowOverwrite                on

          # 모든 디렉토리내의 파일에 대해 같은 이름의 파일을 전송할 때 덥어 쓰기를 허락 또는 거부하기 위한 지시자

          # 입니다.

#  아래부터는 anonymous접속에 대한 설정들 입니다. 

##################                                                 

#  anonymous 섹션                                                                           

##################

# anonymous 설정을 시작합니다. 

# anonymous설정은 까지 입니다. 

          User                           ftp

          Group                          ftp

          # anonymous접속의 경우 Proftpd가 실행 할 때 사용자명 "ftp" 그룹명 "ftp"로 실행됩니다.  

          UserAlias                      anonymous      ftp

          # anonymous로 ftp에 접속한 사용자들에 대해 접속자명을 ftp로 alias해 줍니다.

          # 즉 anonymous로 접속한 사용자들은 사용자명 "ftp"의 권한을 가지게 됩니다.

          MaxClients                        10   "Sorry, maxium users %m -- try again later"

          # 동시 접속자수를 정의하는 지시자로 정의한 수를 초과할 때 " " 안의 문자열을 사용자에게 출력합니다

          MaxClientsPerHost             2   "Sorry, Allow only one client for host"

          # 하나의 호스트당 최대 접속수를 정의하는 지시자로 정의한 수를 초과 했을 때 " " 안의  문자열을 사용자에게 

          # 출력합니다.

          DisplayLogin                        welcome.msg

          # ftp로그인 때 보여지는 메시지 파일 이름을 정의합니다.

          DisplayFirstChdir                  .message

          # 각 서브 디렉토리로 이동할 경우 보여줄 메시지 파일을 정의합니다.

          RequireValidShell                  off

          # /etc/shells에 없는 shell binary로그인 여부를 결정합니다..

          # 특별한 이유가 없다면 off로 설정해서 쓰기 바랍니다.

          HideUser                                root

          # HideUser로 설정된 유저 소유의 파일은 보이지 않는다. 

          # 하지만 anonymous에게 일긱 권한이 있으면 아무런 소용이 없다.

# Anonymous's Uploads Directory

# 업로드 디렉토리에 대한 설정입니다.

# 만약 업로드 디렉토리 이름을 변경하고 싶으면 아래의 uploads를 적당한 이름으로 변경해야 됩니다.

        AllowOverwrite              on

        # 덮어 쓰기를 허용합니다. 

        AllowRetrieveRestart        on

        AllowStoreRestart           on

       

               DenyAll

              # 디렉토리 삭제(RMD) 권한을 주지 않습니다.

       

       

       # 파일 읽기(READ), 업로드(STOR), 디렉토리 생성(MKD)에 대한 제어를 합니다.

       # 읽기(READ)권한은 다운로드를 의미합니다.

       # 와우 리눅스 7.0에는 MKD가 MDK로 잘못 설정되어 있습니다.

       AllowAll

       # 읽기(READ), 업로드(STOR), 디렉토리 생성(MKD)에 대해 모두 허락합니다. 

       # 하지만 특정 권한에 DENY 설정을 하지 않는 이상 AllowAll 설정을 하지 않아도 Dney 설정된 권한을 제외한 나머지 

       # 권한을 가집니다.

       

# Anonymous's Public Directory

# pub디렉토리에 대한 설정입니다.

      

      AllowAll

      # 읽기(READ)권한을 허락합니다.

      

      

      DenyAll

     # 업로드(STOR), 파일 삭제(DELE), 디렉토리 삭제(RMD), 디렉토리 생성(MKD)을 허락합니다. 

     

1. Order를 이용한 권한 제어

위에서 다루었던 proftpd.conf는 단순히 AllowAll 과 DenyAll만을 사용해 권한 제어를 했는데 Order 명령을 이용해서 

접근제어와 권한 제어를 할 수 있습니다.

특정 호스트만 로그인을 허용할 때

Order       allow,deny

Allow       from 203.241.205.,.rootman.co.kr

Deny        from all

Order 명령에서 Allow 와 Deny는 공백 문자가 아닌 쉼표(,)로 구분합니다. 

Allow 와 Deny의 대상을 입력할 때도 대상들의 구분은 공백이 아닌 쉼표(,)로 구분합니다.

위의 설정은 203.241.205의 네트워크 주소를 가지거나 rootman.co.kr을 포함해 하위 호스트들만 접근이 가능하고 그외 호스트에 대해서는 Login을 받아 들이지 않습니다.

예) 

203.241.205.97          ---> 로그인 가능(203.241.205의 네트워크 주소를 가진다)

203.241.202.16          ---> 로그인 불가(203.241.205의 네트워크 주소를 가지지 않는다)

linux.rootman.co.kr  ---> 접속 가능(rootman.co.kr의 하위 호스트이다)

microsoft.com          ---> 접속 불가(rootman.co.kr의 하위 호스트가 아니다)

order명령은 LOGIN외에 READ, MKD, DELE, RMD, STOR등에도 적용할 수 있습니다.

2. 그외 설정 

2-1 ftp 루트( / ) 디렉토리 지정

DefaultRoot                  ~

사용자가 fpt로 접속해서 자신의 홈 디렉토리 외에 다른 곳에는 접근하지 못하게 합니다.

~(물결표시)는 사용자의 홈 디렉토리를 가리킵니다. 즉 자신의 홈 디렉토리가 루트( / ) 디렉토리가 됩니다.

이 지시자를 설정 하지 않으면 기본적으로 DefaultRoot는 /로 설정되어 있기 때문에 사용자는 최상위 경로( / ) 까지 접근 할 수 있습니다.

예)

DefaultRoot           ~aaa,bbb,ccc

--> aaa, bbb, ccc 그룹에 속하는 ftp 접속 떄 자신의 홈 디렉토리가 루트( / ) 디렉토리가 된다.

DefaultRoot           ~ !aaa

--> aaa 그룹에 속하는 사용자들을 제외한 나머지 접속자들은 자신의 홈 디렉토리가 루트 ( / ) 디렉토리가 된다.

2-2 심볼릭 링크 파일 보여주기

ShowSymlinks            On  또는 Off

디렉토리에서 심볼릭 링크가 된 파일을 보여 주는냐, 보여 주지 않느냐에 대한 설정입니다.

이 설정이 안 되어 있을 때에는 기본적으로 계정 사용자 접속의 경우에는 심볼릭 링크파일이 보여지고 anonymous사용자 접속의 경우는 심볼릭 링크 파일을 보여주지 않습니다.

전체 사용자에게 On 또는 Off를 설정하고 싶다면 Global 섹션에 포함 시키면 됩니다.

2-3 숨김파일 보여주기

LsDefaultOption   "-a"

이 설정을 함으로써 점( . ) 으로 시작하는 파일 또는 디렉토리명을 보여 줍니다. 즉 숨김 파일에 대한 설정입니다. 하지만 요즘 사용하는 ftp클라이언트에서도 이 기능을 제공합니다.

3. welcome.msg 파일에 사용할 수 있는 유용한 것들

호스트명 : %L

남은 용량 : %f

현재 접속자 수 : %N

최대 접속자 수 : %M

리모트 호스트 : %R

사용자명 : %U

관리자 메일 : %E

작성자 : 윤 일 (admin@rootman.org)