config proftpd

par **DgSe95** » 20 Juin 2003 00:35

Sure tomtom !! it's very easy !!! excuse moi, pour m'être tromper de distrib... mais ton fichier ressemble a si m'éprendre a celui de trustix par defaut... et tout cas, merci pour l'astuce pour le fichier ftpd.passwd, ça va m'être utile. merci ps : ça m'interesse un peu ce "trusted debian", j'aimerais bien en savoir un peu plus... je vais chercher un peu sur le net ! <IMG SRC="images/smiles/icon_biggrin.gif">

par **DgSe95** » 20 Juin 2003 00:36

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-06-19 23:54, carlos a écrit: Il existe un programme permettant de créer ces fichiers au bon format pour proftpd. PLus d'infos, téléchargement et how-to sur <a href="http://www.castaglia.org/proftpd/contrib/ftpasswd.html" target="_blank">http://www.castaglia.org/proftpd/contrib/ftpasswd.html</a> ps : il est sans doute inclu d'office dans certaines distributions A+ </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> merci, c'est interessant, j'ai bookmarker le liens, ça peut toujours servir

par **tomtom** » 20 Juin 2003 05:43

Tiens, sur la Debian il y a la commande ftpasswd, qui se comporte un peu comme adduser, te permet de specifier le fichier de sortie (par defaut /etc/ftpd.passwd <IMG SRC="images/smiles/icon_biggrin.gif"> ). Simple et efficace ! T.

par **carlos** » 20 Juin 2003 10:53

Perso j'ai un fw sous OpenBSD et cette commande n'existe pas pr défaut, d'où le lien... Bientôt j'installe une deb sur une de mes stations et je testerai tout ça. <IMG SRC="images/smiles/icon_biggrin.gif"> A+

par **DgSe95** » 21 Juin 2003 19:10

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-06-20 05:43, tomtom a écrit: Tiens, sur la Debian il y a la commande ftpasswd, qui se comporte un peu comme adduser, te permet de specifier le fichier de sortie (par defaut /etc/ftpd.passwd <IMG SRC="images/smiles/icon_biggrin.gif"> ). Simple et efficace ! T. </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> tient pas bête !! je vais voir si ça existe sous trustix, mais je crois pas... sinon j'ai remarquer quelque chose sous trustix, ça simplifie grandemant la création des users. dans /etc/default > fichier adduser > on defini les parametres par defaut pour la creation des users et dans /etc/shells > group user : /bin/false de cette maniere, il n'y a plus qu'a taper adduser tomtom par exemple et tout est deja défini. <IMG SRC="images/smiles/icon_biggrin.gif">

par **DgSe95** » 25 Juin 2003 01:12

voilà, mon fichier de conf proftpd. si les admin trouvent qu'il est trop grand je le racourcierai. (mais peut être est t'il configurer de maniere trop parano...) # This is a basic ProFTPD configuration file. # It establishes a single server # and a single anonymous login. It assumes that you have a user/group # "nobody" and "ftp" for normal operation and anon. # To enable anonymous login remove the ftp user in /etc/ftpusers # Directives globales. <Global> # Interdit la réécriture des fichiers. AllowOverwrite no # Masque pour les fichiers et répertoires. Umask 022 022 # Règles de sécurité, empechant l'affichage de certaines informations. IdentLookups off ServerIdent off DeferWelcome on # Alias pour les users anonymes. UserAlias anonymous ftp # Requière ou pas un shell valide. RequireValidShell no # User et group sous lequel le démon proftpd doit tourné. User nobody Group nobody # Autre logs, utilisant en partie, un format spécial. ExtendedLog /var/log/proftpd/access.log READ,WRITE write ExtendedLog /var/log/proftpd/auth.log AUTH auth ExtendedLog /var/log/proftpd/ftp_auth.log AUTH ExtendedLog /var/log/proftpd/cmd_info.log INFO ExtendedLog /var/log/proftpd/cmd_dir.log DIRS ExtendedLog /var/log/proftpd/all.log ALL # This is intended to protect you from those nasty DoS cpu burner attacks DenyFilter *.*/ </Global> # Règles de configuration du serveur. # Nom du serveur. ServerName "UHSecurity.dyndns.org" # Type du serveur. ServerType standalone # Admin du serveur. ServerAdmin webmaster@UHSecurity.dyndns.org # Serveur par defaut ou pas. DefaultServer yes # Reverse DNS. UseReverseDNS off # NB max de tentatives de login. MaxLoginAttempts 2 # To prevent DoS attacks, set the maximum number of child processes # to 30. If you need to allow more than 30 concurrent connections # at once, simply increase this value. Note that this ONLY works # in standalone mode, in inetd mode you should use an inetd server # that allows you to limit maximum number of processes per service # (such as xinetd) MaxInstances 30 # NB max de clients sur le serveur. MaxClients 20 # Permet la réécriture des fichiers (sans les affacés au préalable). AllowOverwrite yes # Fichier d'authentification. AuthUserFile /etc/ftpd.passwd # Racine par defaut du serveur. DefaultRoot /home/ftp # On Chroot les users connus. DefaultChdir ~ # Log système. SystemLog /var/log/proftpd/system.log # Port standard pour le FTP, 21. Port 21 # Quelques formats pour les fichiers de logs. LogFormat default "%h %l %u %t "%r" %s %b" LogFormat auth "%v [%p] %h %t "%r" %s" LogFormat write "%h %l %u %t "%r" %s %b" SyslogFacility AUTH # Temps maximum aloué pour les connection en secondes. # Timming pour un transfert bloqué. TimeoutStalled 300 # Timming pour un client qui n'engage aucun transfert. TimeoutNoTransfer 600 # Timming pour un client qui ne fait rien. TimeoutIdle 1200 # Gestion des envois et téléchargements. # Accepte la reprise des envois. AllowStoreRestart on # Accepte la reprise des téléchargements. AllowRetrieveRestart on # Acceuil et mode de listage des dossiers. DisplayLogin welcome.msg DisplayFirstChdir .message LsDefaultOptions "-l" # Règles d'esthetiques. ShowSymLinks off MultilineRFC2228 on # Gestion des permitions sur les répertoires des utilisateurs connus. <Directory /home/ftp/private/........> <Limit READ WRITE> DenyUser !........,!........ </Limit> </Directory> <Directory /home/ftp/private/.........> <Limit READ WRITE> DenyUser !........,!......... </Limit> </Directory> <Directory /home/ftp/private/.......> <Limit READ WRITE> DenyUser !.......,!....... </Limit> </Directory> # Configuration de base pour les users anonymes. # Pour activé cette options, veuillez retirer 'FTP' du fichier /etc/ftpusers <Anonymous ~ftp> # Requière un shell valide ou pas. RequireValidShell off # User et group sous lesquel les users anonymes vont tourner. User ftp Group ftp # NB max de clients anonymes sur le serveur. MaxClients 5 "Désolé, max %m utilisateurs -- réessayez plus tard." # We want 'welcome.msg' displayed at login, and '.message' displayed # in each newly chdired directory. DisplayLogin welcome.msg DisplayFirstChdir .message LsDefaultOptions "-l" # Donne la possibilité de se loguer si désactivé avant. <Limit LOGIN> AllowAll </Limit> # Interdit l'écriture dans le Chroot des users anonymes. <Limit WRITE> DenyAll </Limit> # Le répertoire 'incoming' accepte l'envoi de fichiers mais leur lecture # ni la création de dossiers. <Directory incoming/*> <Limit READ WRITE> DenyAll </Limit> <Limit STOR> AllowAll </Limit> </Directory> # Le répertoire 'pub' permet la lecture des fichiers mis a disposition publique # mais pas l'écriture ni la création de dossiers. <Directory pub/*> <Limit STOR WRITE> DenyAll </Limit> <Limit READ> AllowAll </Limit> </Directory> </Anonymous> désolé d'avoir poluer ce forum avec mon fichier de conf. (j'ai délibérément masquer les utilisateur que j'héberge chez moi... <IMG SRC="images/smiles/icon_biggrin.gif"> ) _________________ DgSe95 vous salut

par **tomtom** » 25 Juin 2003 20:42

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> # Racine par defaut du serveur. DefaultRoot /home/ftp # On Chroot les users connus. DefaultChdir /home/ftp </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> C'est pas mal tout ça... Personnellement je ne prendrais pas le risque de permettre une connexion anonyme, il sort tous les mois des failles sur les serveurs ftp, ce sont des applications mal ecrites en général <IMG SRC="images/smiles/icon_smile.gif"> Mais bon, tu peux avoir une utilité.... Sinon, il y a une petite erreur (je ne sais pas pourquoi tout le monde la fait celle là). Tu confonds DefaultRoot et DefaultChdir DefaultChdir, ce fait un simple chdir (comme son nom l'indique <IMG SRC="images/smiles/icon_biggrin.gif"> ) dans le repertoire specifie. DefaultRoot, ca specifie la RACINE du filesystem pour chaque connexion. En clair, c'est ça le chroot ! Ici ca ne pose pas d eproblème puisque tu utilises 2 fois le même rep, mais ton commentaire trahit l'erreur <IMG SRC="images/smiles/icon_biggrin.gif"> Un truc que j'aime bien faire, c'est mettre un home directory aux user "ftponly" à l'interieur du repertoire ftp. ex : Un rep /ftp plusieurs reps /ftp/toto, /ftp/tiit etc qui sont les home des ftpusers tu chroot sur le rep /ftp : DefaultRoot /ftp tu chdir sur le home de l'user : DefaultChdir ~ Tu donnes des droits d'ecriture seulement au home perso : <Limit WRITE> DenyAll </Limit> <directory ~> <Limit Write> Allow all> </Limit> </Directory> Ce qui est ennuyeux, c'est qu'avec une connexion anonyme, tu es obligé de specifier un homedirectory pour la l'user anonymous... Il faut bien lui mettre un DenyAll ensuite si tu ne veux pas qu'il puisse ecrire dedans.... Sinon c'est très bien <IMG SRC="images/smiles/icon_bise.gif"> T.

par **DgSe95** » 02 Juil 2003 02:59

merci de tes conseils tomtom. pour mes erreurs, si tu veux, pour creer mon fichier de conf proftpd, je me suis basé sur pas mal de doc, ainsi que sur des magazines de sécurité (t'inkiète Bruno, je ne dirai pas le nom ! <IMG SRC="images/smiles/icon_biggrin.gif"> ) il se peut que j'ai confondu effectivement ces deux lignes, d'ailleur c'est déjà corriger (merci de me l'avoir fait remarquer <IMG SRC="images/smiles/icon_bise.gif"> ) oui c'est vrai que pas mal de failles de sécurité concernant les serveurs FTP sont découvertes, mais bon avec de bonnes permissions au niveau du systèmes de fichiers, de bonnes directives, ainsi qu'une veille technologique devrait suffire pour eviter quelques risques... pour ton systemes d'user ftp.only, as tu essayer de déclaré plusieur alias ? sinon, j'ai une question a poser, pense tu que cela soit necessaire de faire un tunnel sécurisé, ou d'utiliser le demon sftp d'openssh, pour avoir un bon niveau de protection ? en tout cas, merci de tes remarques. @+

config proftpd

Qui est en ligne ?