Cài đặt và cấu hình vsftpd làm FTP Server trên Ubuntu 20.04

FTP (File Transfer Protocol) là một giao thức truyền tải file giữa Client và Server. Nó cũng là một giao thức không bảo mật nếu không được mã hóa với TLS. Chính vì vậy, trong bài viết này, tôi sẽ hướng dẫn bạn cách cài đặt, cấu hình vsftpd (Một FTP Server Stand Alone được phân phối bởi Red Hat Enterprise Linux) với SSL/TLS.

Chuẩn bị môi trường

• Ubuntu 20.04.
• User có quyền sudo.

Cài đặt vsfptd

Đầu tiên bạn cần cài đặt vsftpd:

$ sudo apt update
$ sudo apt install vsftpd

Tiếp theo, chúng ta cần sao lưu lại cài đặt vsftpd cũ nếu bạn muốn cài đặt vsftpd mới ghi đè lên version cũ:

$ sudo cp /etc/vsftpd.conf /etc/vsftpd.conf.orig

Cấu hình tường lửa cho vsftpd

Bạn cần phải cấu hình UFW (công cụ tường lửa trên Ubuntu 20.04) để mở port cho FTP nên trước hết bạn hãy kiểm tra trạng thái hiện tại:

$ sudo ufw status
Status: active

To                 Action      From
-                  -           -
OpenSSH            ALLOW       Anywhere
OpenSSH (v6)       ALLOW       Anywhere (v6)

Thực hiện mở các port 20 (FTP command port), 21 (FTP data port), 990 (TLS FTP data port) và dải port 35000-40000:

$ sudo ufw allow 20:21/tcp
$ sudo ufw allow 990/tcp
$ sudo ufw allow 35000:40000/tcp
$ sudo ufw status
Status: active

To                 Action      From
-                  -           -
OpenSSH            ALLOW       Anywhere
990/tcp            ALLOW       Anywhere
20:21/tcp          ALLOW       Anywhere
35000:40000/tcp    ALLOW       Anywhere
OpenSSH (v6)       ALLOW       Anywhere (v6)
20:21/tcp (v6)     ALLOW       Anywhere (v6)
990/tcp (v6)       ALLOW       Anywhere (v6)
35000:40000/tcp (v6) ALLOW       Anywhere (v6)

Cấu hình vsftpd

Tiếp theo bạn cần cấu hình vsftpd bằng cách mở và chỉnh sửa file cấu hình:

$ sudo nano /etc/vsftpd.conf

Để giới hạn chỉ cho người dùng nội bộ truy cập vào FTP thì bạn thêm dòng cấu hình sau:

anonymous_enable=NO
local_enable=YES

Bạn cần cho phép quyền ghi để có thể kích hoạt chức năng upload trên FTP Server. Để làm điều đó, uncomment dòng sau:

write_enable=YES

Tiếp theo cần giới hạn người dùng chỉ có thể thao tác trên thư mục cụ thể. Để làm điều đó, bạn cần uncomment dòng sau:

chroot_local_user=YES
allow_writeable_chroot=YES

vsftpd có thể sử dụng bất kì port nào cho các kết nối passive FTP. Vì vậy nên chúng ta thực hiện cấu hình minimum port và maximum port với dòng cấu hình sau:

pasv_min_port=35000
pasv_max_port=40000

Cuối cùng là để giới hạn những người dùng nào có thể đăng nhập vào FTP Server, thêm đoạn cấu hình sau:

userlist_enable=YES
userlist_file=/etc/vsftpd.userlist
userlist_deny=NO

Với đoạn cấu hình trên, bạn đã chỉ định người dùng có thể truy cập với username lưu tại /etc/vsftpd.userlist.

Cấu hình thư mục người dùng

Để thêm người dùng mới vào FTP Server, trong bài viết này tôi sẽ thực hiện thêm mới người dùng. Đầu tiên là tạo người dùng mới:

$ sudo adduser tel4vn

Tiếp theo bạn cần thêm người dùng mới vào danh sách người dùng của FTP:

$ echo "tel4vn" | sudo tee -a /etc/vsftpd.userlist

Sau khi thêm vào danh sách, bạn hãy tạo thư mục cho người dùng đó:

$ sudo mkdir /home/tel4vn/ftp
$ sudo chown nobody:nogroup /home/tel4vn/ftp
$ sudo chmod a-w /home/tel4vn/ftp

Sau khi tạo xong thư mục, kiểm tra lại quyền thư mục như sau:

$ sudo ls -al /home/tel4vn/ftp
total 8
dr-xr-xr-x 2 nobody nogroup 4096 Jun 7 13:08 .
drwxr-xr-x 3 tel4vn tel4vn 4096 Jun 7 13:08 ..

Tiếp theo, bạn cần tạo thư mục có quyền write để có thể lưu các file tải lên:

$ sudo mkdir /home/tel4vn/ftp/upload
$ sudo chown tel4vn:tel4vn /home/tel4vn/ftp/upload

Lúc đó, thư mục dành cho việc tải lên sẽ có quyền như bên dưới:

$ sudo ls -al /home/tel4vn/ftp
total 12
dr-xr-xr-x 3 nobody nogroup 4096 Jun 7 13:10 .
drwxr-xr-x 3 tel4vn tel4vn 4096 Jun 7 13:08 ..
drwxr-xr-x 2 tel4vn tel4vn 4096 Jun 7 13:10 upload

Để tiện cho việc test thử, bạn nên tạo một file test.txt trong thư mục upload:

$ echo "vsftpd test file" | sudo tee /home/tel4vn/ftp/upload/test.txt

Kiểm tra kết nối FTP

Sau khi cấu hình xong, bạn hãy thử kiểm tra kết nối FTP như sau:

$ ftp -p 136.244.105.99
Connected to 136.244.105.99.
220 (vsFTPd 3.0.3)
Name (136.244.105.99:default): anonymous
530 Permission denied.
ftp: Login failed.
ftp>

Như bên trên, người dùng bất kì không thể đăng nhập vào FTP Server. Ta thử lại với người dùng mới tạo:

$ ftp -p 136.244.105.99
Connected to 136.244.105.99.
220 (vsFTPd 3.0.3)
Name (136.244.105.99:default): tel4vn
331 Please specify the password.
Password: your_user's_password
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp>

Với người dùng được cấu hình thì bạn có thể đăng nhập thành công. Thực hiện tải xuống file test.txt vừa tạo:

ftp> cd upload
250 Directory successfully changed.
ftp> get test.txt
227 Entering Passive Mode (136,244,105,99,165,42).
150 Opening BINARY mode data connection for test.txt (17 bytes).
226 Transfer complete.
16 bytes received in 0.0101 seconds (164.3719 kB/s)
ftp>

Tiếp tục thực hiện đổi tên file test.txt để xác nhận người dùng được tạo có quyền write:

ftp> put test.txt upload.txt
227 Entering Passive Mode (136,244,105,99,163,102).
150 Ok to send data.
226 Transfer complete.
17 bytes sent in 0.000894 seconds (518.7988 kB/s)

Cuối cùng đóng kết nối:

ftp> quit

Mã hóa kết nối với SSL/TLS

Để có thể mã hóa kết nối FTP, bạn cần phải có một chứng chỉ SSL và cấu hình vsftpd sử dụng nó. Trong bài viết này, tôi sẽ sử dụng openssl để tạo chứng chỉ như sau:

$ sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem

Sau khi có chứng chỉ, bạn cần cấu hình vsftpd:

$ sudo nano /etc/vsftpd.conf

Tìm và uncomment đoạn cấu hình sau:

rsa_cert_file=/etc/ssl/private/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.pem

Tiếp tục thay đổi giá trị ssl_enable thành yes:

ssl_enable=YES

Sau đó, bạn cần thêm một số cấu hình để tăng bảo mật cho SSL:

allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO
require_ssl_reuse=NO
ssl_ciphers=HIGH

Lưu lại các cấu hình bên trên và khởi động lại dịch vụ:

$ sudo systemctl restart vsftpd

Kiểm tra TLS với Filezilla

Sau phần cấu hình mã hóa FTP với SSL/TLS bên trên, bạn có thể sử dụng Filezilla để kiểm tra.

Mở Filezilla, chọn Site Manager bên trên:

Chọn tiếp New Site để thêm thông tin FTP Server mới:

Thực hiện điền thông tin FTP Server. Do mặc định port FTP là 21 nên bạn có thể để trống ô port. Bạn nhớ chọn Require explicit FTP over TLS do FTP Server đã được mã hóa TLS.

Nếu kết nối thành công, bạn sẽ nhận được cửa sổ như bên dưới. Chọn Always trust this certificate in future sessions để không phải hỏi như lần sau.

Tắt SSH trong vsftpd

Mặc định khi tạo một người dùng FTP, nếu không cấu hình giới hạn, người dùng đó đều có thể SSH vào Server. Chính vì vậy, bạn nên tắt SSH cho những người dùng FTP để nâng cao bảo mật.

Tạo một shell script thực thi /bin/ftponly như bên dưới:

$ echo -e '#!/bin/shnecho "This account is limited to FTP access only."' | sudo tee -a /bin/ftponly
$ sudo chmod a+x /bin/ftponly

Thêm đoạn shell trên vào /etc/shells:

$ echo "/bin/ftponly" | sudo tee -a /etc/shells

Thay đổi đoạn shell của người dùng FTP:

$ sudo usermod tel4vn -s /bin/ftponly

Kết luận

Như vậy, qua bài viết này, tôi đã hướng dẫn bạn cài đặt vsftpd với SSL/TLS. Bạn có thể cân nhắc việc thay thể SFTP hoặc SCP với FTP mã hóa TLS như trên. Cuối cùng với bất kỳ thắc mắc hay lỗi cài đặt nào, bạn hãy bình luận bên dưới để tôi giúp đỡ nhé.

Nguồn bài viết: https://www.howtoforge.com/