Como instalar ProFTPD com TLS no CentOS 7.2

Este tutorial descreve a instalação e configuração do ProFTPD em um servidor CentOS 7.2. O ProFTPD é um daemon FTP para sistemas operacionais Unix e Linux e distribuído sob a Licença Pública GNU (GPL).

1 Nota Preliminar

Este tutorial é baseado em um servidor CentOS, então você deve configurar uma instalação básica do servidor CentOS 7.2 antes de continuar com este tutorial. O sistema deve ter um endereço IP estático. Eu uso 192.168.1.100 como meu endereço IP neste tutorial e server1.example.com como o nome do host.

2 Instalar e configurar o ProFTPD

2.1 Instalação:

Precisamos de software do repositório EPEL, habilite-o da seguinte forma:

yum -y install epel-release

Em seguida, importe a chave GPG do EPEL:

rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-7

e atualize os pacotes:

yum -y update

Instalaremos o ProFTPD e o OpenSSL da seguinte forma:

yum install -y proftpd openssl proftpd-utils

Precisamos iniciar o serviço e habilitá-lo para iniciar automaticamente na inicialização.

systemctl start proftpd.service  
systemctl enable proftpd.service

Se você tiver o firewalld instalado, então configure o Firewall com firewall-cmd para abrir a porta FTP:

firewall-cmd --add-service=ftp --permanent  
firewall-cmd --reload

Podemos verificar a versão do ProFTPD da seguinte forma:

proftpd -v

[root@server1 ~]# proftpd -v

ProFTPD Versão 1.3.5b

[root@server1 ~]#

2.2 Criando Usuários do ProFTPD

Eu criarei um grupo ftpgroup e um usuário tom para o ProFTPD. Eu configurarei /ftpshare como diretório home para o usuário tom.

groupadd ftpgroup

Em seguida, adicionarei o usuário srijan ao ftpgroup:

useradd  -G ftpgroup tom -s /sbin/nologin -d /ftpshare  
passwd tom

[root@server1 ~]# passwd tom  
Mudando a senha para o usuário srijan.  
Nova senha: <--ftppassword  
Digite novamente a nova senha: <--ftppassword  
passwd: todos os tokens de autenticação atualizados com sucesso.  
[root@server1 ~]#

Defina as permissões para o diretório ftpshare:

chmod -R 1750 /ftpshare/

Agora estamos prontos para a conexão ProFTPD. Mas as conexões ainda não estão criptografadas, resolveremos isso no próximo capítulo.

3 Habilitando TLS no ProFTPD

Para habilitar TLS no ProFTPD, abra /etc/proftpd/proftpd.conf. Antes de editar o arquivo, é melhor fazer um backup do arquivo original e depois editar o arquivo com o nano.

cp -pf /etc/proftpd.conf /etc/proftpd.conf.bak  
nano /etc/proftpd.conf

Adicione e modifique as linhas conforme mostrado em vermelho.

[...]  
DefaultRoot                     ~ !adm
PassivePorts    6000    6100  
[...]   
  
#
  TLSEngine                     on
  TLSRequired                   on
  TLSRSACertificateFile         /etc/pki/tls/certs/proftpd.pem
  TLSRSACertificateKeyFile      /etc/pki/tls/certs/proftpd.pem
  TLSCipherSuite                ALL:!ADH:!DES
  TLSOptions                    NoCertRequest
  TLSVerifyClient               off
  TLSRenegotiate                ctrl 3600 data 512000 required off timeout 300
  TLSLog                        /var/log/proftpd/tls.log
#  
#    TLSSessionCache            shm:/file=/var/run/proftpd/sesscache
#  
#  
[...]

Adicionei as portas 6000 e 6100 para permitir o modo passivo do ftp, da mesma forma, permitirei o modo passivo através do serviço firewalld do CentOS da seguinte forma:

firewall-cmd --add-port=6000-6100/tcp --permanent  
firewall-cmd --reload

Podemos verificar o status das portas da seguinte forma:

firewall-cmd --list-ports

[root@server1 ~]# firewall-cmd --list-ports  
6000-6100/tcp  
[root@server1 ~]#

Além disso, precisamos informar ao SELINUX para permitir a leitura/gravação dos arquivos.

setsebool -P allow_ftpd_full_access=1

Para usar TLS, devemos criar um certificado SSL. Eu o criarei em /etc/pki/tls/certs, podemos gerar o certificado SSL da seguinte forma:

openssl req -x509 -nodes -newkey rsa:1024 -keyout /etc/pki/tls/certs/proftpd.pem -out /etc/pki/tls/certs/proftpd.pem

[root@server1 certs]# openssl req -x509 -nodes -newkey rsa:1024 -keyout /etc/pki/tls/certs/proftpd.pem -out /etc/pki/tls/certs/proftpd.pem

Gerando uma chave privada RSA de 1024 bits

……………………………..++++++

………++++++

escrevendo nova chave privada em ‘/etc/pki/tls/certs/proftpd.pem’

Você está prestes a ser solicitado a inserir informações que serão incorporadas

no seu pedido de certificado.

O que você está prestes a inserir é o que é chamado de Nome Distinto ou DN.

Existem vários campos, mas você pode deixar alguns em branco

Para alguns campos haverá um valor padrão,

Se você digitar ‘.’, o campo ficará em branco.

Nome do País (código de 2 letras) [XX]:

<–DE

Nome do Estado ou Província (nome completo) []:

<– Hamburg

Nome da Localidade (por exemplo, cidade) [Cidade Padrão]:

<– Luneberg

Nome da Organização (por exemplo, empresa) [Empresa Padrão Ltd]:

<–Howtoforge

Nome da Unidade Organizacional (por exemplo, seção) []:

<– Desenvolvimento

Nome Comum (por exemplo, seu nome ou o nome do host do seu servidor) []:

<–

server1.example.com

Endereço de E-mail []:

<– [email protected]

[root@server1 certs]#

Dê os valores acima em vermelho conforme sua escolha, eu apenas dei um exemplo.

Agora, por motivos de segurança, farei com que os certificados sejam apenas legíveis da seguinte forma:

chmod  0440 /etc/pki/tls/certs/proftpd.pem

Finalmente, reinicie o serviço ProFTPD da seguinte forma:

systemctl restart proftpd.service

Podemos nos conectar ao servidor ProFTPD com o software Filezilla, você deve ter o Filezilla instalado no computador cliente para se conectar ao servidor. Abra o Filezilla e forneça os detalhes da seguinte forma:
Insira os detalhes da conta no FileZilla.

Os detalhes serão:

Host = 192.168.1.100
Protocolo = FTP
Usuário = tom
Porta = pode ficar em branco se você não a personalizou para outra porta que não seja 21
Senha = ftppassword (criada acima)

Nota: Como criptografamos nossa conexão na etapa acima, usaremos a Criptografia com Requerer FTP explícito sobre TLS

Se você não configurou o TLS, pode usar Usar FTP Simples

Aceitar o certificado SSL
Ele pedirá para confiar no certificado, pressione OK
FileZilla Conectado ao ProFTPd.
Ele estará conectado ao diretório compartilhado FTP com conexão TLS.

4 Acesso FTP anônimo no ProFTPD

Podemos criar uma conta FTP anônima no ProFTPD, basta adicionar estas linhas no arquivo de configuração do ProFTPD:

nano /etc/proftpd.conf

E adicione estas linhas no final do arquivo.

[...]  
###Compartilhamento Anônimo#####

  User ftp
  Group ftp

UserAlias anonymous ftp
DirFakeUser       on ftp 
DirFakeGroup on ftp
MaxClients 10

        
     
DenyAll

Agora precisamos reiniciar o serviço FTP:

systemctl restart proftpd.service

Agora conecte-se através do Filezilla à conta anônima da seguinte forma:

Nota: Como criptografamos nossa conexão na etapa acima, usaremos a Criptografia com Requerer FTP explícito sobre TLS

Se você não configurou o TLS, pode usar Usar FTP Simples

Pressione Conectar.

Estamos conectados com sucesso ao servidor com um usuário anônimo.

Parabéns! Agora configuramos com sucesso o ambiente do servidor ProFTPD no CentOS 7.2 :)

5 Links

CentOS : http://www.centos.org/
ProFTPD : http://www.proftpd.org/