Redhat9.0 : vsftpdの設定

2003.05.14

	vsftpdについて
	手順
	トラブル
	vsftpdの設定
	アクセス制御
	コンフィグレーション /etc/vsftpd/vsftpd.conf /etc/passwd その他のファイル

	「tcp_wrappers=NO」とし，tcp_wrappersを使用しない。 /etc/hosts.allowが使えないため，IPアドレスによる拒絶など出来なくなるデメリットがあります。
	無視する 特に，メッセージが出る以外は，/etc/hosts.allowなども有効なので，そのまま使うという考えもあります。
	最新版を待つ。 RedHatのBugzillaでvsftpdの不良という情報がありました。<http://bugzilla.redhat.com/bugzilla/show_bug.cgi?id=89765>)

	RPM   ftp://ftp.redhat.com/pub/redhat/linux/rawhide/i386/RedHat/RPMS/vsftpd-1.1.3-9.1.i386.rpm
	SRPM ftp://ftp.redhat.com/pub/redhat/linux/rawhide/SRPMS/SRPMS/vsftpd-1.1.3-9.1.src.rpm

	/etc/vsftpd/vsftpd.conf デフォルトで，tcp_wrappersを使用する設定になっているので，設定は不要です。
	/etc/hosts.allow 許可する(しない)ホストを指定します。(/etc/hossts.deneyでも指定可能)

パラメータ	説明
ログ関係
xferlog_std_format=NO log_ftp_protocol=YES	クライアントが打ち込んだftpコマンドがログに残ります。xferlog_std_format=YESだと，転送時のコマンドしか残らないのですが，これだと，いろいろと悪さの後が判ります。
anonymous ftp のルートディレクトリを変更する
anon_root={ディレクトリ名} (default 未設定)	Anonymous ftpのログインディレクトリを設定する。 デフォルトは，/etc/passwdのftpユーザのホームディレクトリになる。
anonymous ftp を制限する
anonymous_enable=NO (default=YES)	Anonymous ftpユーザを許可しない(=NO)
anon_max_rate=50000	転送レートを制限する。回線の細いADSLで運用していると，他からアクセスされるときついんですよ。 単位はバイトです。
anonymous ftp のパスワードを制限する。
deny_email_enable=YES (default=NO)	/etc/vsftpd.banned_emailsでかかれているE-Mailアドレスで，Anonymous ftpログインさせない。 ftpサーバへアタックされた時などで，使用する。(と良いらしい) /etc/vsftpd.banned_emails は，事前に作成しておく必要がある。
/etc/vsftpd.banned_emails の例
IEUser@	IEからのftpアクセスで，E-Mailアドレスを指定していないユーザを許さない。 注意: そのEMailアドレスを1行分と評価します。空白「 」があれば，それも含めて比較します。「#」も1文字となります。
ユーザ を制限する
userlist_enable=NO (default=NO)	/etc/vsftpd.user_list を使用しない。(デフォルト) /etc/vsftpd.ftpusers で指定されているユーザを拒絶します。
userlist_enable=YES (default=NO) userlist_deny=NO (default=YES)	/etc/vsftpd.user_listに書いてあるユーザのみログインさせる。 /etc/vsftpd.ftpusers で，指定してあるユーザは，ここで指定されていても，認証でエラーとなる。
userlist_enable=YES (default=NO) userlist_deny=YES (default=YES)	/etc/vsftpd.user_listに書いてあるユーザ はログインさせない。この場合，ログインプロンプトでユーザを指定しても，パスワードプロンプトは出ない。 /etc/vsftpd.ftpusers で指定した場合，Passwordは聞いてくる。こちらの指定では，直ぐにコネクションが切れる。その点が違う。
/etc/vsftpd.user_list の例	userlist_deny=YESの場合，testはログインできないが，ftp(リストにはない)はログインできる。 userlist_deny=NOの場合，testはログインできるが，ftp(リストにはない)はログインできない。。
# vsftpd userlist # If userlist_deny=NO, only allow users in this file # If userlist_deny=YES (default), never allow users in this file, and # do not even prompt for a password. # Note that the default vsftpd pam config also checks /etc/vsftpd.ftpusers # for users that are denied. test
chrootの指定
chroot_local_user=YES (default=NO) chroot_list_enable=YES (default=NO)	ローカルユーザも，Anonymous ftpユーザと同様，chrootする。 ただし，/etc/vsftpd.chroot_listに書いてあるユーザをchrootしない。 chrootさせたときのルートは，ftpでログインするユーザのホームディレクトリになる。全てのエンドユーザが自分のホームディレクトリ以外いじらせたくない場合，指定する。 この場合でも，ユーザftpでログインした場合，chrootされる。
chroot_list_enable=YES (default=NO) chroot_local_user=NO (default=NO)	/etc/vsftpd.chroot_listに書いてあるユーザをchrootさせる。 chrootさせたときのルートは，ftpでログインするユーザのホームディレクトリになる。特定エンドユーザが自分のホームディレクトリ以外いじらせたくない場合，指定する。
メッセージ
dirmessage_enable=YES	ftpでログインしたディレクトリ(Anounimous ftpのデフォルトでは，/var/ftp/）の".message"ファイルをftpでログインしたときに表示します。
ftpd_banner=任意のメッセージ	ftpで接続したときのバナーメッセージを指定する。

	/etc/vsftpd.ftpusers ftpログインさせないユーザを指定する。rootとかmailとかデフォルトで入っている
	/etc/vsftpd.user_list ログインできるユーザを指定する。(userlist_denyとuserlist_enableの指定も必要）
	/etc/vsftpd.chroot_list chrootする(しない)ユーザのリスト。
	/etc/vsftpd.banned_emails Anonymous ftpユーザとしてログインさせないE-Mailアドレスを指定する。
	/etc/hosts.allow (hosts.deny) TCP Wrapperのアクセス制御用