Cài đặt Và Cấu Hình Vsftpd Làm FTP Server Trên Ubuntu 20.04

FTP (File Transfer Protocol) là một giao thức truyền tập tin giữa Client và Server. Nó cũng là một giao thức không bảo mật nếu không được mã hoá với TLS. Chính vì vậy, trong bài viết này, mình sẽ hướng dẫn bạn cách cài đặt, cấu hình vsftpd (Một FTP Server Stand Alone được phân phối bởi Red Hat Enterprise Linux) với SSL/TLS.

Chuẩn bị môi trường #

• Ubuntu 20.04.
• User có quyền sudo.

Cài đặt vsfptd #

Đầu tiên bạn cần cài đặt vsftpd:

$ sudo apt update $ sudo apt install vsftpd

Tiếp theo, chúng ta cần sao lưu lại cài đặt vsfptd cũ nếu bạn muốn cài đặt vsftpd mới ghi đè lên version cũ:

$ sudo cp /etc/vsftpd.conf /etc/vsftpd.conf.orig

Cấu hình tưởng lửa cho vsftpd #

Bạn cần phải cấu hình UFW (công cụ tường lửa trên Ubuntu 20.04) để mở port cho FTP nên trước hết bạn hãy kiểm tra trạng thái hiện tại:

$ sudo ufw status Status: active To                         Action      From --                         ------      ---- OpenSSH                    ALLOW       Anywhere OpenSSH (v6)               ALLOW       Anywhere (v6)

Thực hiện mở các port 20 (FTP command port), 21 (FTP data port), 990 (TLS FTP data port) và dải port 35000-40000:

$ sudo ufw allow 20:21/tcp $ sudo ufw allow 990/tcp $ sudo ufw allow 35000:40000/tcp $ sudo ufw status Status: active To                         Action      From --                         ------      ---- OpenSSH                    ALLOW       Anywhere 990/tcp                    ALLOW       Anywhere 20:21/tcp                  ALLOW       Anywhere 35000:40000/tcp            ALLOW       Anywhere OpenSSH (v6)               ALLOW       Anywhere (v6) 20:21/tcp (v6)             ALLOW       Anywhere (v6) 990/tcp (v6)               ALLOW       Anywhere (v6) 35000:40000/tcp (v6)       ALLOW       Anywhere (v6)

Cấu hình vsftpd #

Tiếp theo bạn cần cấu hình vsftpd bằng cách mở và chỉnh sửa file cấu hình:

$ sudo nano /etc/vsftpd.conf

Để giới hạn chỉ cho người dùng nội bộ truy cập vào FTP thì bạn thêm dòng cấu hình sau:

anonymous_enable=NO local_enable=YES

Bạn cần cho phép quyền ghi để có thể kích hoạt chức năng upload trên FTP Server. Để làm điều đó, uncomment dòng sau:

write_enable=YES

Tiếp theo cần giới hạn người dùng chỉ có thể thao tác trên thư mục cụ thể. Để làm điều đó, bạn cần uncomment dòng sau:

chroot_local_user=YES allow_writeable_chroot=YES

vsftpd có thể sử dụng bất kì port nào cho các kết nối passive FTP. Vi vậy nên chúng ta thực hiện cấu hình minimum port và maximum port với dòng cấu hình sau:

pasv_min_port=35000 pasv_max_port=40000

Cuối cùng là để giới hạn những người dùng nào có thể đăng nhập vào FTP Server, thêm đoạn cấu hình sau:

userlist_enable=YES userlist_file=/etc/vsftpd.userlist userlist_deny=NO

Với đoạn cấu hình trên, bạn đã chỉ định người dùng có thể truy cập với username lưu tại /etc/vsftpd.userlist.

Cấu hình thư mục người dùng #

Để thêm người dùng mới vào FTP Server, trong bài viết mình sẽ thực hiện thêm mới người dùng. Đầu tiên là tạo người dùng mới:

$ sudo adduser tel4vn

Tiếp theo bạn cần thêm người dùng mới tạo vào danh sách người dùng của FTP:

$ echo "tel4vn" | sudo tee -a /etc/vsftpd.userlist

Sau khi thêm vào danh sách, bạn hãy tạo thư mục cho người dùng đó:

$ sudo mkdir /home/tel4vn/ftp $ sudo chown nobody:nogroup /home/tel4vn/ftp $ sudo chmod a-w /home/tel4vn/ftp

Sau khi tạo xong thư mục, kiểm tra lại quyền thư mục như sau:

$ sudo ls -al /home/tel4vn/ftp total 8 dr-xr-xr-x 2 nobody   nogroup  4096 Jun  7 13:08 . drwxr-xr-x 3 tel4vn tel4vn 4096 Jun  7 13:08 ..

Tiếp theo, bạn cần tạo thư mục có quyền write để có thể lưu các file tải lên:

$ sudo mkdir /home/tel4vn/ftp/upload $ sudo chown tel4vn:tel4vn /home/tel4vn/ftp/upload

Lúc đó, thư mục dành cho việc tải lên sẽ có quyền như bên dưới:

$ sudo ls -al /home/tel4vn/ftp total 12 dr-xr-xr-x 3 nobody   nogroup  4096 Jun  7 13:10 . drwxr-xr-x 3 tel4vn tel4vn 4096 Jun  7 13:08 .. drwxr-xr-x 2 tel4vn tel4vn 4096 Jun  7 13:10 upload

Để tiện cho việc test thử, bạn nên tạo một file test.txt ttrong thư mục upload:

$ echo "vsftpd test file" | sudo tee /home/tel4vn/ftp/upload/test.txt

Kiểm tra kết nối FTP #

Sau khi cấu hình xong, bạn hãy thử kiểm tra kết nối FTP như sau:

$ ftp -p 136.244.105.99 Connected to 136.244.105.99. 220 (vsFTPd 3.0.3) Name (136.244.105.99:default): anonymous 530 Permission denied. ftp: Login failed. ftp>

Như bên trên, người dùng bất kì không thể đăng nhập vào FTP Server. Ta thử lại với người dùng mới tạo:

$ ftp -p 136.244.105.99 Connected to 136.244.105.99. 220 (vsFTPd 3.0.3) Name (136.244.105.99:default): tel4vn 331 Please specify the password. Password: your_user's_password 230 Login successful. Remote system type is UNIX. Using binary mode to transfer files. ftp>

Với người dùng được cấu hình thì bạn có thể đăng nhập thành công. Thực hiện tải xuống file test.txt vừa tạo:

ftp> cd upload 250 Directory successfully changed. ftp> get test.txt 227 Entering Passive Mode (136,244,105,99,165,42). 150 Opening BINARY mode data connection for test.txt (17 bytes). 226 Transfer complete. 16 bytes received in 0.0101 seconds (164.3719 kB/s) ftp>

Tiếp tục thực hiện đổi tên file test.txt để xác nhận người dùng được tạo có quyền write:

ftp> put test.txt upload.txt 227 Entering Passive Mode (136,244,105,99,163,102). 150 Ok to send data. 226 Transfer complete. 17 bytes sent in 0.000894 seconds (518.7988 kB/s)

Cuối cùng đóng kết nối:

ftp> put test.txt upload.txt 227 Entering Passive Mode (136,244,105,99,163,102). 150 Ok to send data. 226 Transfer complete. 17 bytes sent in 0.000894 seconds (518.7988 kB/s)

Mã hoá kết nối với SSL/TLS #

Để có thể mã hoá kết nối FTP, bạn cần phải có một chứng chỉ SSL và cấu hình vsftpd sử dụng nó. Trong bài viết này, mình sẽ sử dụng openssl để tạo chứng chỉ như sau:

$ sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem

Sau khi có chứng chỉ, bạn cần cấu hình vsftpd:

$ sudo nano /etc/vsftpd.conf

Tìm và uncomment đoạn cấu hình sau:

rsa_cert_file=/etc/ssl/private/vsftpd.pem rsa_private_key_file=/etc/ssl/private/vsftpd.pem

Tiếp tục thay đổi giá trị ssl_enable thành yes:

ssl_enable=YES

Sau đó, bạn cần thêm một số cấu hình để tăng bảo mật cho SSL:

allow_anon_ssl=NO force_local_data_ssl=YES force_local_logins_ssl=YES ssl_tlsv1=YES ssl_sslv2=NO ssl_sslv3=NO require_ssl_reuse=NO ssl_ciphers=HIGH

Lưu lại các cấu hình bên trên và khởi động lại dịch vụ:

$ sudo systemctl restart vsftpd

Kiểm tra TLS với Filezilla #

Sau phần cấu hình mã hoá FTP với SSL/TLS bên trên, bạn có thể sử dụng Filezilla để kiểm tra.

Mở Filezilla, chọn Site Manager bên trên:

Chọn tiếp New Site để thêm thông tin FTP Server mới:

Thực hiện điền thông tin FTP Server. Do mặc định port FTP là 21 nên bạn có thể để trống ô port. Bạn nhớ chọn Require explicit FTP over TLS do FTP Server đã được mã hoá TLS.

Nếu kết nối thành công, bạn sẽ nhận được cửa sổ như bên dưới. Chọn Always trust this certificate in future sessions để không phải hỏi như lần sau. 

Tắt SSH trong vsftpd #

Mặc định khi tạo một người dùng FTP, nếu không cấu hình giới hạn, người dùng đó đều có thể SSH vào Server. Chính vì vậy, bạn nên tắt SSH cho những người dùng FTP để nâng cao bảo mật.

Tạo một shell script thực thi /bin/ftponly như bên dưới:

$ echo -e '#!/bin/sh\necho "This account is limited to FTP access only."' | sudo tee -a  /bin/ftponly $ sudo chmod a+x /bin/ftponly

Thêm đoạn shell trên vào /etc/shells: 

$ echo "/bin/ftponly" | sudo tee -a /etc/shells

Thay đổi đoạn shell của người dùng FTP:

$ sudo usermod tel4vn -s /bin/ftponly

Kết luận #

Như vậy, qua bài viết này, mình đã hướng dẫn bạn cài đặt vsftpd với SSL/TLS. Bạn có thể cân nhắc việc thay thể SFTP hoặc SCP với FTP mã hoá TLS như trên. Cuối cùng với bất kì thắc mắc hay lỗi cài đặt nào, bạn hãy bình luận bên dưới để mình giúp đỡ nhé.

Nguồn bài viết: https://www.howtoforge.com/