VSFTP 설정

출처 : 죄송합니다. 기억이 잘 나지 않는다...

/etc/vsftpd/vsftpd.conf
or
/etc/vsftpd.conf

anonymous_enable=yes

익명(anonymous)접속을 허용할 것인가(YES) 허용하지 않을 것인가(NO를 결정하는 지시자입니다. 기본값은 YES로 되어있으며 익명계정 접속ㅇ르 허용하지 않으려면 NO로 설정하시기 바랍니다.

local_enable=YES

로컬 계정 사용자들의 접속을 허용할 것인가의 여부를 결정합니다. YES로 설정하면 로컬계정사용자의 접속을 허용하는 것이며 NO로 설정하면 허용하지 않는 것입니다. 기본 설정은 YES로 되어있기 때문에 접속을 허용하게 됩니다. 만약 NO로 설정되어 있을 때 로컬계정으로 접속을 시도하면 "530 This FTP server is anonymous only."와 같은 에러메세지를 출력하면서 접속을 거부합니다.

wirte_enable=YES

ftp로 접속이 된 상태에서 사용할 수 있는 ftp전용명령어에는 여러가지가 있습니다. 이 설정은 ftp전용명령어 중에 write명령어를 허용할 것인가를 결정하는 것입니다.

허용하려면 YES, 허용하지 않으려면 NO를 설정하시면 됩니다. 기본값은 NO입니다.

local_umask=022

로컬계정 사용자들의 umask값을 설정하는 지시자입니다. 거의 모든 ftp서버에서 기본 umask값은 022입니다. 하지만 vsftpd에서의 umask기본값은 077입니다.(저는 rpm으로 설치했는데 022 네요..) umask값이 077일경우에 새로 생성되는 파일의 퍼미션은 600이 되며 새로 생성되는 디렉토리의 퍼미션은 700이 됩니다. 당연히 umask값이 022일 때보다는 보안이 훨씬 강화됩니다. 여기서 "local_umask=022" 의 주석을 제거하여 유효하게 설정하면 대부분의 FTP서버에서 사용하는 umask값을 022로 설정하게 됩니다. 만약 022외에 다른 umask값을 설정하고자 한다면 그 값을 설정해 주시면 됩니다.

anon_upload_enable=YES

익명(anonymous)계정 사용자에게 파일 업로드를 허용할 것인가(YES) 허용하지 않을 것인가(NO)의 여부를 설정하는 지시자 입니다. 기본값은 허용하지 않는 NO 입니다. 가능한 익명계정으로 접속한 사용자에게는 업로드 권한을 허용하지 않는 것이 보안에 훨씬 좋습니다. 따라서 가능한 NO로 설정하시기 바랍니다.

anon_mkdir_write_enable=YES

익명(anonymous)계정 사용자에게 디렉토리 생성권한을 허용할 것인가(YES) 허용하지 않을 것인가(NO)의 여부를 설정하는 지시자입니다. 기본값은 허용하지 않는 NO입니다. 가능한 익명계정으로 접속한 사용자에게는 디렉토리 생성권한을 허용하지 않는 것이 보안에 훨씬 좋습니다. 따라서 가능한 NO로 설정하시기 바랍니다.

ftpd_banner=Welcome to blah FTP service.

ftp서버로 접속할 때에 안내메세지등을 출력하려면 여기서 설정하시면 됩니다. 이 설정이 적용되면 ftp 접속을 하였을 때 "Welcome to blah FTP service." 라는 아낸문이 출력됩니다. 이 설정에서 한글을 사용할 수도 있습니다. 각 디렉토리별 안내문에 대한 설정은 다음 지시자의 설명을 보시기 바랍니다.

dirmessage_enable=YES

ftp 접속한 사용자가 특정 디렉토리로 이동하였을 때 개별 디렉토리의 메시지를 보여주도록 허용할 것인가(YES) 허용하지 않을 것인가(NO)를 설정하는 것입니다. 밑에서 설명하고 있는 "message_file" 지시자에서 개별 디렉토리 안내 파일로 사용할 파일명을 지정할 수 있습니다.

message_file=.message

ftp 접속후에 특정 디렉토리로 이동할 때에 디렉토리 안내메세지 파일로 사용할 파일명을 지정한 것입니다. 이 설정파일은 바로 위에 설명한 "dirmessage_enable" 이 YES로 설정되어 있을 때 적용됩니다.

xferlog_enable=YES

ftp 접속후에 파일 업로드와 다운로드에 대한 로그를 남길것인가(YES) 남기지 않을 것인가(NO)를 설정하는 지시자입니다. 이 지시자의 설정은 디스크의 용량을 고려하여 결정해야 합니다. 즉, ㅏ일 업로드/다운로드 로그는 괸장히 많은 용량을 필요로 하고 또한 시스템 부하율도 함께 고려하여 신중히 결정해야 합니다. 물론 로그를 남기는 것이 로그분석과 개별 사용자의 파일 업로드/다운로드 상황을 알 수 있는 방법이기는 하지만 시스템 상황을 고려해야한다는 의미입니다.

xferlog_file=/var/log/vsftpd.log

ftp 로그파일의 위치를 결정하는 지시자입니다. Vsftp는 기본적으로 /var/log/vsftpd.log 파일을 기본 로그파일로 사용합니다. 만약 로그파일 위치나 파일명을 변경하시려면 이 지시자에서 설정변경하시면 됩니다.

xferlog_std_format=YES

로그파일에 남길 로그파일의 포맷을 기본포맷으로 남길 것인가(YES) 아닌가(NO)를 설정하는 지시자입니다. 리눅스에서 ftp 기본 로그파일로 /var/log/xferlog을 사용합니다. 이 지시자는 이 파일의 표준포맷으로 로그를 남기도록 하는 설정입니다. 이 파일의 포맷보다는 vsftpd 로그포맷을 사용하시는 것이 보다 자세한 로그를 남길 수 있습니다. 즉, 디렉토리생성로그나 또는 로그인 같은 상세로그까지 기록해줍니다.

connect_from_port_20=YES

ftp 서비스는 기본적으로 21번 포트와 20번포트를 사용합니다. ftp 접속과 명령어에 사용되는 포트는 21번이며 실제 데이터전송에 사용되는 기본포트는 20번입니다. 이때 20번 포트의 데이터전송 연결을 허용할 것인가(YES) 허용하지 않을 것인가(NO)를 설정하는 지시자입니다.

session_support=YES

이 설정이 YES로 설정되어 유효하게 되었을 때에는 바이너리파일인 wtmp에 ftp 접속관련 기록이 남기게 됩니다. last라는 명령어는 각 사용자들의 접속기록을 wtmp파일에서 가져와 확인하는 명령어이므로 이 설정이 적용되면 last 명령어로 ftp접속기록을 확인할 수 있게 됩니다.

idle_session_timeout=600

ftp 연결에서 idle타임에 대한 타임아웃값을 설정합니다. 예를 들어 이 값이 600으로 설정되어 있다면 ftp 접속후에 600초(10분)동안 아무런 작업도 없이 놀고 있다면 강제 로그아웃(timeout)시켜 버립니다.

data_connection_timeout=120

데이터 전송시 적용되는 타임아웃값을 설정합니다. 만약 ftp연결시 큰 파일을 업로드 또는 다운로드 할 때에 전송도중 접속이 끊기는 상황이 발생한다면 이 설정을 주석처리하거나 또는 이값을 현재 설정값 보다 크게 잡아주시고 재시도 해보십시요.

anon_max_rate=0

local_max_rate=0

trans_chunk_size=0

위 세가지 설정은 ftp 서비스의 전송속도를 제한 하도록 하는 설정입니다. 즉, 초당 byte수를 지정할 수 있으며 제한없이 허용하려면 0로 설정하시면 됩니다. 이 설정은 vsftpd가 독립데몬(standalone)모드로 서비스될 때에만 적용되는 것입니다.

max_clients=30

max_per_ip=3

이 설정은 동시 ftp 접속자수를 제한하는 설정입니다. 첫번째 max_clients는 ftp접속을 최대 30명까지만 허용한다는 설정입니다. 그리고 max_per_ip는 한 IP(호스트)에서 동시에 3번까지만 접속이 가능하다는 설정입니다. 이 또한 서비스거부공격(DoS)를 방어하기 위한 방법으로 활용될 수 있습니다.

ascii_upload_enable=YES

ascii_download_enable=YES

기본적으로 ASCII모드로 업로드/다운로드하는 것은 제한되어 있습니다. 이 설정으로 ASCII모드로의 업로드/다운로드를 허용할도록 설정할 수 있습니다.

deny_email_enable=YES

banned_email_file=/etc/vsftpd.banned_email

익명접속시에 기본적으로 사용되는 계정명은 anonymous 이며 패스워드는 email형식으로 입력하면 됩니다. 이때 패스워드로 인정하지 않을 즉, 패스워드로 사용하지 못하도록 할 email 주소를 사용하도록 하는 지시자입니다. 즉, "deny_email_enable=YES"로 설정하시고 "banned_email_file=/etc/vsftpd.banned_emails"라고 설정되어 있다면 패스워드로 허용하지 않을 주소를 /etc/vsftpd.banned_emails 파일에 넣어두시면 됩니다. 그러면 이 파일에 등록된 email주소는 패스워드로 인정하지 않습니다. 따라서 익명접속이 되지 않습니다. 이 설정은 서비스거부공격(DoS)를 방어하기 위한 방법으로도 사용됩니다. 즉, 무차별 ftp 접속시도를 차단하기 위한 좋은 방법이 될 수 있습니다.

chroot_list_enable=YES

chroot_list_file=/etc/vsftpd.chroot_list

전체 사용자가 아닌 특정 사용자들에 대하여 자신의 홈디렉토리를 루트디렉토리로 인식하도록 하는 기능으로서 이 기능은 사용자의 홈디렉토리의 상위디렉토리로 벗어나지 못하도록 하는 설정입니다. 먼저 "chroot_list_enable=YES"로 설정하시고 /etc/vsftpd.chroot_list 파일에는 이 기능을 적용할 사용자계정명을 등록해 두시면 됩니다. 즉, /etc/vsftpd.chroot_list파일에 등록된 사용자들에 한하여 chroot()기능이 적용되어 자기 자신의 홈디렉토리 상위 디렉토리의 이동이 제한됩니다. 이 파일에 등록할 때에는 한행에 한사용자계정씩만 등록하셔야 합니다. 만약 전체 사용자를 대상으로 chroot()기능을 적용하고자 한다면 바로 밑에서 설명하고 있는 "chroot_local_user=YES'로 설정하시기 바랍니다.

chroot_local_user=YES

특정 사용자가 아닌 전체 사용자를 대상으로 chroot()기능을 적용하여 자기 자신의 홈디렉토리 상위 디렉토리로 이동하지 못하도록 하려면 이 설정을 YES로 설정하십시요. 반드시 앞의 설정과 비교해 보시기 바랍니다.

만약 위의 두 설정이 모두 설정되어있다면 즉, "chroot_list_enable=YES"와 "chroot_local_user=YES" 설정이 모두 YES로 되어 있다면 /etc/vsftpd.chroot_list 에 등록된 사용자들만 chroot()적용을 받지 않게 됩니다. 즉, 이 두 설정이 모두 YES로 되어 있다면 /etc/vsftpd.chroot_list에 등록된 사용자들을 제외한 나머지 사용자들만 chroot()가 적용되어 상위 디렉토리로의 이동이 안된다는 의미입니다.

ls_recurse_enable=YES

ftp 접속에는 ls사용시 -R 옵션을 허용하지 않는 것이 기본 설정입니다. -R 옵션이란 서브디렉토리내의 파일들을 리스팅(목록)까지 모두 확인할 수 있도록 하는 것입니다. 서버부하등의 이유로 ftp에서 기본적으로는 지원하지 않지만 vsftpd에서는 이 옵션을 사용하여 허용하도록 설정할 수 있습니다. 즉, 이 지시자의 값이 YES로 되어 있다면 ftp접속후에 디렉토리 목록 확인시에 서브디렉토리들의 목록들까지 한번에 볼 수 있는 -R 옵션을 허용하게 됩니다.

pam_sevice_name=vsftpd

vsftpd에서 PAM설정파일명으로 사용할 파일명을 지정합니다. 이 설정이 적용되면 기본이 vsftpd이므로 /etc/pam.d/vsftpd파일이 사용됩니다.

listen=YES

listen_port=21

만약 vsftpd를 xinetd모드가 아닌 독립데몬(standalone)으로 서비스하려면 위의 listen지시자를 YES로 설정하고 listen_port에 서비스할 포트번호(기본 21번)를 지정하시면 됩니다.


# /etc/init.d/vsftp restart