Sichere FTP-Verbindungen

Hier wird beschrieben, wie eine sichere FTP-Verbindung für alle Benutzer erstellt wird.

Quote

Dateien zum bearbeiten:

• Firewall (Ich verwende /etc/arno-iptables-firewall/debconf.cfg)
• /etc/proftpd/proftpd.conf

Schwierigkeitsgrad: Leicht

[size=medium]Zertifikat[/size]

• Es wird ein gültiges Zertifikat von CAcert.org oder einer anderen Autorität benötigt
• Die Dateien vom Zertifikat (Zertifikat-Datei und der private Schlüssel) müssen an einem sicheren Ort sein

[size=medium]ProFTP[/size]

Öffnen:

Code

1. nano /etc/proftpd/proftpd.conf

[size=medium]Ports konfigurieren[/size]

Finden

Code

1. #PassivePorts 49152 65534

Ersetzen mit

Code

1. PassivePorts 49152 65534

[size=medium]TLS konfigurieren[/size]

Finden

Code

1. #<IfModule mod_tls.c># TLSEngine on # on for use of TLS# TLSRequired off # require encription on channel data# TLSLog /var/log/proftpd/ftp_ssl.log # where to log to# TLSProtocol SSLv23 # SSLv23 or TLSv1# TLSOptions NoCertRequest NoSessionReuseRequired # either to request the certificate or not# TLSRSACertificateFile /etc/imscp/ZERTIFIKAT.pem # SSL certfile# TLSRSACertificateKeyFile /etc/imscp/ZERTIFIKAT.pem # SSL keyfile# TLSVerifyClient off # client verification#</IfModule>

Alles löschen mit

Code

1. #

Beispiel

Code

1. <IfModule mod_tls.c> TLSEngine on # on for use of TLS TLSRequired off # require encription on channel data TLSLog /var/log/proftpd/ftp_ssl.log # where to log to TLSProtocol SSLv23 # SSLv23 or TLSv1 TLSOptions NoCertRequest NoSessionReuseRequired # either to request the certificate or not TLSRSACertificateFile /etc/imscp/ZERTIFIKAT.pem # SSL certfile TLSRSACertificateKeyFile /etc/imscp/ZERTIFIKAT.pem # SSL keyfile TLSVerifyClient off # client verification</IfModule>

Bei TLSRSACertificateFile und TLSRSACertificateKeyFile muss ein neuer Pfad zu den Dateien eingegeben werden.
Hinweis: Das Zertifikat kann die Erweiterung .crt und .key haben.

[size=medium]Um in Zukunft unsichere Verbindungen zu unterbinden:[/size]

Finden

Code

1. TLSRequired off # require encription on channel data

Ersetzen mit

Code

1. TLSRequired on # require encription on channel data

Hinweis: Es können keine unsicheren Verbindungen hergestellt werden.

[size=medium]Firewall-Port konfigurieren[/size]
Falls eine Firewall vorhanden ist, muss noch der Portbereich konfiguriert werden. Beispiel: 49152 49999.

Hinweis: Der Portbereich muss frei sein und darf nicht von einem anderen Programm belegt sein. (Der Portbereich kann auch von 49152 49999 sein. Diese Werte müssen in beide Einstellungsdateien gleich sein.)

Beispiel für arno-iptables-firewall:

Öffnen

Code

1. nano /etc/arno-iptables-firewall/debconf.cfg

Finden
Hinweis: Es kann sein, dass weitere Werte vorhanden sind, einfach den Portbereich an einer freuen Stelle einfügen.

Code

1. DC_OPEN_TCP=""

An einem freien Platz zwischen

Code

1. " "

einfügen

Beispiel:

Code

1. DC_OPEN_TCP="21 22 80 443 49152-65534"

Alle Dateien speichern.

Dienste neu starten

Code

1. /etc/init.d/arno-iptables-firewall restart

Code

1. /etc/init.d/proftpd restart

Display More

[size=medium]Klient-Verbindungen mit FileZilla oder einem ähnlichen Programm[/size]

Beispiel:
Server: IP oder Domain.tld
Port: 21
Protokoll: FTP - File Transfer Protocol
Verschlüsselung: Explizites FTP über TLS erfordern

Viel Spaß mit der neuen verschlüsselten FTP-Verbindung

Quote from Paderman

Hier wird beschrieben, wie eine sichere FTP-Verbindung für alle Benutzer erstellt wird.

Das mit dem FTPS schaut wirklich gut aus.

Quote

Dateien zum bearbeiten:
[*]Firewall (Ich verwende /etc/arno-iptables-firewall/debconf.cfg)

Bist Du Dir *sicher*, was Du Dir da mit "arno-iptables-firewall" eigentlich angetan hast? Wenn Du wirkliche Gruende dafuer hast,
dies zu verwenden, hab ich nix gesagt.

Auf 99% der mir bekannten Systeme mit Webhosting-Anwendung ist
dieses jedenfalls extrem deplaziert in der Default-Config, es verschlimmert sogar einen sinnvollen Einsatz von iptables im System.

gruss tom

Du meinst SSL

Quote from tom

Das mit dem FTPS schaut wirklich gut aus.

OK.

Quote

Bist Du Dir *sicher*, was Du Dir da mit "arno-iptables-firewall" eigentlich angetan hast? Wenn Du wirkliche Gruende dafuer hast,
dies zu verwenden, hab ich nix gesagt.

Gibt es eine andere Alternative und was würde gegen »arno-iptables-firewall« sprechen? Würde mich sehr interessieren, da ich bisher nicht wirklich was finden konnte.

Quote

Auf 99% der mir bekannten Systeme mit Webhosting-Anwendung ist
dieses jedenfalls extrem deplaziert in der Default-Config, es verschlimmert sogar einen sinnvollen Einsatz von iptables im System

Leider bin ich kein »Guru« von daher würde ich mich über einer Erklärung sehr freuen