doc:appunti:linux:sa:proftpd
Differences
This shows you the differences between two versions of the page.
Next revision | Previous revisionNext revisionBoth sides next revision | ||
doc:appunti:linux:sa:proftpd [2008/09/04 11:14] – external edit 127.0.0.1 | doc:appunti:linux:sa:proftpd [2020/06/25 12:06] – [Supporto TLS] niccolo | ||
---|---|---|---|
Line 16: | Line 16: | ||
</ | </ | ||
+ | ==== Valid shell ==== | ||
+ | |||
+ | La direttiva per poter eseguire FTP anche senza avere una shell valida (ad esempio per VirtualHost, | ||
+ | |||
+ | < | ||
+ | RequireValidShell | ||
+ | </ | ||
+ | |||
+ | La direttiva in Debian Wheezy può essere messa in un file a parte, ad esempio **''/ | ||
+ | |||
+ | ==== Disabilitare il chmod ==== | ||
+ | |||
+ | Per evitare che qualcuno sia troppo permissivo sui file e directory caricate via FTP (il solito **'' | ||
+ | |||
+ | < | ||
+ | < | ||
+ | <Limit SITE_CHMOD> | ||
+ | DenyAll | ||
+ | </ | ||
+ | </ | ||
+ | </ | ||
+ | |||
+ | ==== Chroot (jail directory) ==== | ||
+ | |||
+ | Per limitare un utente all' | ||
+ | |||
+ | < | ||
+ | DefaultRoot | ||
+ | DefaultRoot | ||
+ | </ | ||
+ | |||
+ | **ATTENZIONE**: | ||
+ | |||
+ | < | ||
+ | DefaultRoot | ||
+ | DefaultRoot | ||
+ | </ | ||
+ | ==== Supporto TLS ==== | ||
+ | |||
+ | Per evitare che le password transitino in chiaro sulla rete è opportuno abilitare il protocollo TSL obbligatorio. Si può creare un file **/ | ||
+ | |||
+ | < | ||
+ | < | ||
+ | TLSEngine | ||
+ | TLSOptions | ||
+ | TLSLog | ||
+ | PassivePorts | ||
+ | # | ||
+ | TLSRSACertificateFile | ||
+ | TLSRSACertificateKeyFile | ||
+ | TLSVerifyClient | ||
+ | TLSRequired | ||
+ | </ | ||
+ | </ | ||
+ | |||
+ | Il certificato può essere autofirmato (analogo a quello utilizzato dal server web), oppure si possono utilizzare i **[[letsencrypt]]**. | ||
+ | |||
+ | Definire il range delle **PassivePorts** consente di aprire il firewall (iptables) su un numero limitato di porte. Infatti utilizzando la cifratura TLS il modulo kernel **nf_nat_ftp** non è in grado di aprire in maniera dinamica la porta usata dal protocollo FTP per il trasferimento dei dati. Ci sono altre ricetta iptables per evitare di aprire in maniera permanente un range di porte, ma sono un po' più complicate da comprendere. | ||
+ | |||
+ | Il parametro **NoSessionReuseRequired** serve per i client (notabilmente **Filezilla 3.39**) che non riusano la connnessione SSL aperta per il controllo anche per il successivo trasferimento dati. |
doc/appunti/linux/sa/proftpd.txt · Last modified: 2024/05/31 11:54 by niccolo