Использование ProFTPd сервера

From DD-WRT Wiki

(Difference between revisions)
Jump to: navigation, search
Revision as of 11:23, 9 November 2010 (edit)
LWF (Talk | contribs)
(Использование ProFTPd сервера)
← Previous diff
Current revision (08:52, 23 June 2012) (edit) (undo)
Glenn (Talk | contribs)
(+{{Languages|ProFTPd Server}} +Category:FTP/ru)
 
(2 intermediate revisions not shown.)
Line 1: Line 1:
-Оригинальная статья http://www.dd-wrt.com/wiki/index.php/ProFTPd_Server+{{Languages|ProFTPd Server}}
- +
==Использование ProFTPd сервера== ==Использование ProFTPd сервера==
Line 20: Line 19:
===Открытие доступа к FTP из WAN=== ===Открытие доступа к FTP из WAN===
-По умолчанию порт 21 (FTP протокол) заблокирован вcтроенным файрволом. Чтобы открыть этому сервису доступ через файрвол вы должны ввести несколько комманд [[Iptables command]] в поле Administration -> Commands. Меню выглядит так http://www.dd-wrt.com/demo/Diagnostics.asp+По умолчанию порт 21 (FTP протокол) заблокирован встроенным файрволом. Чтобы открыть сервису доступ через файрвол вы должны ввести несколько комманд [[Iptables command]] в поле Administration -> Commands. Меню выглядит так http://www.dd-wrt.com/demo/Diagnostics.asp
-By opening port 21 to the world, there is always going to be an inherent risk of an attacker probing the open port, and then attempting to crack your password. This risk however can be thwarted by setting strong passwords (more than 8 characters, with random characters, i.e !@#$%^&*() ) and by adding some clever commands via Iptables. Lets discuss them and show what they do.+Открывая доступ к 21 порту вы подвергаете себя риску, поэтому лучше задать сложный пароль (более 8 и желательно случайных символов, например !@#$%^&*()) и применить несколько умных команд из Iptables. Давайте рассмотрим, что можно делать с их помощью.
-When inserting Iptables rules, it is important to remember that the bottom line, or rule, is the first to be executed. The top line is the last.+Когда вы вставляете правила из Iptables. важно помнить что правило должно стоять первым чтобы выполняться. "When inserting Iptables rules, it is important to remember that the bottom line, or rule, is the first to be executed. The top line is the last."
-A basic command for allowing WAN FTP access is as follows:+Основная команда для открытия WAN доступа к FTP выглядит так:
iptables -I INPUT 1 -p tcp --dport 21 -j logaccept iptables -I INPUT 1 -p tcp --dport 21 -j logaccept
 +Верхняя команда задает что 21й TCP Port будет открыт для доступа из сети и будет писать лог.
-The above command dictates that TCP Port 21 will be allowed through the INPUT (Internet) chain and will Log all activity to the routers Kernel.+Однако эта комана не очень безопасна, так как позволяет любому со сканером портов и генератором паролей подобрать ваш логин и пароль. Следующие команды представляют из себя более безопасную альтернативу:
- +
-This command, however, is not very secure as anyone with a port scanner and a password generator can attempt to "guess" your user-name(s) and password(s). The following rules will provide a much safer alternative:+
wanf=`nvram get wan_iface` wanf=`nvram get wan_iface`
Line 39: Line 37:
iptables -I INPUT 2 -i $wanf -p tcp -m state --state NEW --dport 21 -m limit --limit 3/minute --limit-burst 2 -j logaccept iptables -I INPUT 2 -i $wanf -p tcp -m state --state NEW --dport 21 -m limit --limit 3/minute --limit-burst 2 -j logaccept
 +Верхняя команда эффективней, так как в ней добавлены параметры --limit и --limit-burst.
 +Команда означает что только 3 попытки ввода логина и пароля будут разрешены в течении одной минуты, и если все 3 будут неверными файрвол заблокирует IP адрес с которого ведется атака на 1 минуту. Это помогает против большинства парольных ботов, тем не менее особо умные могут поправить настройки своего бота, чтобы учесть эти ограничения. Вы так же можете задавать параметры --limit до секунд, минут, часов или дней, значение --limit burst так же может быть изменено.
 +
 +===Разрешение анонимного доступа===
 +
 +Вы можете открыть доступ к содержимому своего FTP сервера любому без использования логина и пароля, такой доступ может быть только на чтение. Вы так же должны задать место на диске, к которому собираетесь открыть доступ. Каталог указывается через слэш /, например /Public. Разрешая анонимный доступ к своему IP адресу или домену [[DDNS - How to setup Custom DDNS settings using embedded inadyn - HOWTO | Dynamic DNS]] вы подвергаете свои данные риску, поэтому лучше хорошо подумать перед использованием этой опции.
-The above commands are much more effective as the --limit and --limit-burst parameters have been added. The example dictates that if a remote user/attacker attempts to hack your FTP server, they will only get 2 attempts (--limit-burst 2) to connect before the Kernel logs those two packets, after which the 3 per minute syntax is implemented, meaning only 3 attempts at "guessing" your user-name(s) and password(s) will be allowed every minute. If they fail 3 times, the firewall will temporarily "Ban" their IP for 1 minute. This renders most password bots useless, however there are some pretty determined hackers out there that can discover this and adapt their software to match the limit rule. You can change the --limit rule to either Seconds, Minutes, Hours, or Days. The --limit burst value may also be changed.+[[Category:FTP/ru]]

Current revision


[edit] Использование ProFTPd сервера

DD-WRT по умолчанию на обоих сборках и mini-usb и MEGA включает FTP службу, известную как ProFTPd. Есть некоторые опции которые не доступны через веб интерфейс, и о которых лучше узнать до того как вы соберетесь открыть доступ к содержимому жесткого диска через LAN или WAN.

Одна из важных настроек это назначение параметров доступа. По умолчанию разрешение на запись "Allow Write" отключено. Если вы хотите загружать информацию или файлы через локальную сеть или из удаленного местоположения вы должны сделать доступным запись. Следующим шагом будет задание пользователей и их паролей. Важно отметить, что когда это сделано ваш супер пользователь должен идти первой строчкой. Приблизительный формат:

root P@ssw0rd
guest P@ssw0rd
username P@ssw0rd

... и так далее.

Чтобы открыть доступ из WAN должен быть задан аккаун для DDNS. Ссылка на пока не переведенную инструкцию Dynamic DNS. Далее можно перейти к другим настройкам.

[edit] Открытие доступа к FTP из WAN

По умолчанию порт 21 (FTP протокол) заблокирован встроенным файрволом. Чтобы открыть сервису доступ через файрвол вы должны ввести несколько комманд Iptables command в поле Administration -> Commands. Меню выглядит так http://www.dd-wrt.com/demo/Diagnostics.asp

Открывая доступ к 21 порту вы подвергаете себя риску, поэтому лучше задать сложный пароль (более 8 и желательно случайных символов, например !@#$%^&*()) и применить несколько умных команд из Iptables. Давайте рассмотрим, что можно делать с их помощью.

Когда вы вставляете правила из Iptables. важно помнить что правило должно стоять первым чтобы выполняться. "When inserting Iptables rules, it is important to remember that the bottom line, or rule, is the first to be executed. The top line is the last."

Основная команда для открытия WAN доступа к FTP выглядит так:

iptables -I INPUT 1 -p tcp --dport 21 -j logaccept 

Верхняя команда задает что 21й TCP Port будет открыт для доступа из сети и будет писать лог.

Однако эта комана не очень безопасна, так как позволяет любому со сканером портов и генератором паролей подобрать ваш логин и пароль. Следующие команды представляют из себя более безопасную альтернативу:

wanf=`nvram get wan_iface`
iptables -I INPUT 2 -i $wanf -p tcp  --dport 21 -j logdrop
iptables -I INPUT 2 -i $wanf -p tcp -m state --state NEW --dport 21 -m limit --limit 3/minute --limit-burst 2 -j logaccept

Верхняя команда эффективней, так как в ней добавлены параметры --limit и --limit-burst. Команда означает что только 3 попытки ввода логина и пароля будут разрешены в течении одной минуты, и если все 3 будут неверными файрвол заблокирует IP адрес с которого ведется атака на 1 минуту. Это помогает против большинства парольных ботов, тем не менее особо умные могут поправить настройки своего бота, чтобы учесть эти ограничения. Вы так же можете задавать параметры --limit до секунд, минут, часов или дней, значение --limit burst так же может быть изменено.

[edit] Разрешение анонимного доступа

Вы можете открыть доступ к содержимому своего FTP сервера любому без использования логина и пароля, такой доступ может быть только на чтение. Вы так же должны задать место на диске, к которому собираетесь открыть доступ. Каталог указывается через слэш /, например /Public. Разрешая анонимный доступ к своему IP адресу или домену Dynamic DNS вы подвергаете свои данные риску, поэтому лучше хорошо подумать перед использованием этой опции.