[LINUX 34일차] CentOS FTP 보안설정(모든 사용자, 특정 사용자) / 접근제어 / Active, Passive mode

CentOS FTP 보안설정(모든 사용자, 특정 사용자) / 접근제어 / Active, Passive mode에 대해서 정리한다.

 

 

※ FTP 보안설정

( /etc/vsftpd/vsftpd.conf )

 

 100 #chroot_local_user=YES
 101 #chroot_list_enable=YES
 103 #chroot_list_file=/etc/vsftpd/chroot_list

 

 

 1) 모든 사용자의 상위 디렉터리 접근 거부
  100 chroot_local_user=YES
   ->쓰기 권한 삭제
    #>chmod u-w ~admin01
   ->104 allow_writeable_chroot=YES

 

   * 상위 디렉터리 접근 거부는 막고 쓰기 권한은 추가하려면 아래 옵션을 추가
   ( chroot_local_user=YES만 사용하면 쓰기권한도 없어진다 )

 

 2) 특정 사용자만 상위 디렉터리 접근 거부
  100 #chroot_local_user=YES
  101 chroot_list_enable=YES
  103 chroot_list_file=/etc/vsftpd/chroot_list
  104 allow_writeable_chroot=YES

 

  * /etc/svftpd/chroot_list 파일에 들어있는 특정 사용자만 거부

 

 3) 특정 사용자만 상위 디렉터리 접근 허용
  100 chroot_local_user=YES
  101 chroot_list_enable=YES
  103 chroot_list_file=/etc/vsftpd/chroot_list
  104 allow_writeable_chroot=YES

 

 

※ 접근제어

1) tcp_wrappers=YES  ( tcpwrapper <호스트 기반 접근 제어> )
 - /etc/hosts.allow : 허용 할 ip
 - /etc/hosts.deny : 거부 할 ip

 

 #>vi /etc/hosts.allow
 <service_name> : <ip_address>
 vsftpd : ALL
 ALL : ALL

 #>vi /etc/hosts.deny
 <service_name> : <ip_address>
 vsftpd : 100.100.100. EXCEPT 100.100.100.129

 

2) vsftpd ( user_list )
 - user_list에 적힌 사용자 거부
  userlist_enable=YES

 - user_list에 적힌 사용자만 허용
  userlist_enable=YES
  userlist_deny=NO

 /etc/vsftpd/user_list

 

3) PAM ( Plugabble Athorization Module )
 pam_service_name=vsftpd
 deny file=/etc/vsftpd/ftpusers

 

 

※ Active vs Passive mode

1) Active mode
 pasv_enable=NO -> Active mode만 허용
  client#>ftp -A 100.100.100.128

  server#>ss -ant

 

2) Passive mode
 pasv_enable=YES
 pasv_min_port=4000
 pasv_max_port=4100

 

 * Port
  Well Known Port : 0 ~ 1023
  unKnown Port : 1024 ~ 65535

 client#>ftp 100.100.100.128
 server#>ss -ant