✎ proftpd [Wiki ubuntu-fr]

Vous affichez une ancienne révision du document ! Si vous l'enregistrez, vous créerez une nouvelle version avec ce contenu.

----

====== Serveur FTP : PROFTPD ======

===== Introduction =====

Proftpd est sûrement l'un des meilleurs serveurs FTP disponibles. Il vous offrira énormément de possibilités mais n'est pas facile à maîtriser pour un débutant,
donc pour utiliser la majorité des fonctions de proftpd sans trop de difficulté utilisez l'interface graphique [[:gproftpd]]

===== Installation =====

Pour installer le package, rien de plus simple, vérifiez que vos [[depots#depots_officiels|dépôts Universe]] sont bien activés puis [[:tutoriel:comment_installer_un_paquet|installez le paquet]] **[[apt://proftpd|proftpd]]**.

A la question « Lancer ProFTPd à partir d'inetd ou indépendamment ? », à moins de savoir ce que vous faites, répondez **indépendamment** (en fait si c'est pour un "petit serveur FTP léger" préférez inetd, pour un "gros serveur FTP puissant" choisissez indépendant).

Et voilà, vous avez un serveur ftp, enfin presque !

===== Configuration =====

[[:tutoriel:comment_editer_un_fichier|Éditer le fichier]] de configuration de proftpd : **/etc/proftpd/proftpd.conf**

Voilà les paramètres intéressants à changer pour une utilisation de base (si vous voulez plus de détail référez-vous à la documentation) :

ServerName : le nom de votre serveur ftp

Quotas on : enlevez le # devant la ligne pour la décommenter si vous voulez utiliser les quotas

Trouvez et décommentez les lignes suivantes (en retirant les # au début de chaque ligne) pour autoriser un accès anonyme "standard" :
<file># A basic anonymous configuration, no upload directories.

<Anonymous ~ftp>
   User                         ftp
   Group                        nogroup
   # We want clients to be able to login with "anonymous" as well as "ftp"
   UserAlias                    anonymous ftp
   # Cosmetic changes, all files belongs to ftp user
   DirFakeUser  on ftp
   DirFakeGroup on ftp
 
   RequireValidShell            off
 
   # Limit the maximum number of anonymous logins
   MaxClients                   10
 
   # We want 'welcome.msg' displayed at login, and '.message' displayed
   # in each newly chdired directory.
   DisplayLogin                 welcome.msg
   DisplayFirstChdir            .message
 
   # Limit WRITE everywhere in the anonymous chroot
   <Directory *>
     <Limit WRITE>
       DenyAll
     </Limit>
   </Directory>
 </Anonymous>
</file>
Faites bien attention à décommenter le dernier paragraphe (intitulé "Limit WRITE everywhere in the anonymous chroot"), sinon l'utilisateur anonyme aura un accès en écriture dans le répertoire /home/ftp.
Par contre, ne décommentez pas la suite (intitulée "Uncomment this if you're brave": "Décommentez ceci si vous en avez le courage").

Vous pouvez interdire de se logger en root sur le ftp en ajoutant la ligne suivante 
  RootLogin off

Une fois la configuration modifiée, relancez le serveur avec la commande suivante :
  sudo service proftpd restart

==== Configuration pour le mode passif ====

Concernant le transfert de fichiers en FTP il existe deux méthodes : passif ou actif

Le mode le plus simple est le transfert en mode actif, ou le port utilisé est le port 20 (le port 21 ne sert qu'à initier la connexion et envoyer des commandes)

La deuxième méthode consiste à utiliser le mode passif : une plage de ports est utilisée, ces ports étant attribués selon la configuration du serveur et le nombre d'utilisateurs.
Par défaut, la plupart des clients FTP transfèrent les fichiers en mode passif et il est donc utile de s'occuper de cette partie de la configuration.

Pour configurer la plage de ports utilisée on rajoute au fichier dans la partie générale :

<code>
PassivePorts 5000 5100
</code>
Où 5000 représente le premier port utilisé et 5100 le dernier. Il est déconseillé d'utiliser des numéros de ports trop bas (inférieurs à 1024) généralement réservés (HTTP, SSH etc...)

Chaque utilisateur occupe environ 5 ports à chaque transferts, à vous de voir combien de ports vous devrez ouvrir.

Si cette configuration suffit pour un réseau local (après ouverture des ports dans votre pare-feu), il sera plus problématique d'utiliser le FTP à distance (sur internet) si vous utilisez un routeur et le NAT (partage de connexion).
Pour ce faire, il vous faudra tout d'abord rediriger les ports 20 et 21 (si on conserve la configuration de base à ce niveau) puis les ports utilisés pour le FTP passif (ici 5000 à 5100). Consultez la documentation de votre routeur pour cela.

Le reste de la configuration s'effectue au niveau du serveur: en effet pour effectuer un transfert en mode passif, le serveur doit spécifier l'adresse ip publique du serveur. Il faut donc lui indiquer dans le fichier de configuration (si vous avez une connexion avec IP dynamique cela risque de poser problème et je vous déconseille de faire du FTP en passif dans ce cas-là)

<file>
#
# /etc/proftpd.conf -- Masquerade avec Virtual Host Local .
# 
ServerType			standalone

MultilineRFC2228		on

# To prevent DoS attacks, set the maximum number of child processes
# to 30.  If you need to allow more than 30 concurrent connections
# at once, simply increase this value.  Note that this ONLY works
# in standalone mode, in inetd mode you should use an inetd server
# that allows you to limit maximum number of processes per service
# (such as xinetd)
MaxInstances			30

# Some logging formats
LogFormat         default "%h %l %u %t \"%r\" %s %b"
LogFormat			auth    "%v [%P] %h %t \"%r\" %s"
LogFormat			write   "%h %l %u %t \"%r\" %s %b"

# Global settings
<Global>

DeferWelcome			off

#DefaultServer			on
#ShowSymlinks			on
ListOptions                	"-l"
DenyFilter			\*.*/
# Utilisation de NIS ou LDAP:
#PersistentPasswd		off
# Utilisation de TLS:
#TLSEngine 			on
# Utilisation des Quotas:
#Quotas				on
# Utilisation des Ratio:
#Ratios				on

DisplayConnect 			before.msg
DisplayLogin                    welcome.msg
DisplayFirstChdir               .message

MaxLoginAttempts	2
RequireValidShell	no
MaxClients		50

# Umask 022 interdit l'écriture et la creation de fichier et de répertoire.
Umask				022  022
TimeoutLogin         		120
TimeoutNoTransfer		900
TimeoutStalled			3600
TimeoutIdle			600
# Delay engine reduces impact of the so-called Timing Attack described in
# http://security.lss.hr/index.php?page=details&ID=LSS-2004-10-02
# It is on by default. 
#DelayEngine 			off

# utilisateur et groupe du serveur.
User				ftp
Group				nogroup
# Chroot PROFTPD
DefaultRoot ~

# Logging options
TransferLog			/var/spool/syslog/proftpd/xferlog.legacy

# Turn off Ident lookups
	#
	IdentLookups         off
	#
	# Logging
	#
	# file/dir access
	#
	ExtendedLog		/var/spool/syslog/proftpd/globaccess.log WRITE,READ write
	#
	#
	# Record all logins
	#
	ExtendedLog		/var/spool/syslog/proftpd/globauth.log AUTH auth
	#
	# Paranoia logging level....
	#
   ##ExtendedLog    /var/spool/syslog/proftpd/paranoid.log ALL default

#
# Deny writing to the base server...
#
<Limit WRITE>
	DenyAll
</Limit>

# --------------------------------------------
	# Got a Frontpage customer who keeps breaking things????
	#  - stick 'em in group fpage
	# --------------------------------------------
	<Directory ~/public_html>
	#
	# Block them from doing anything other than reading...
	#
		<Limit STOR RNFR DELE>
			DenyGroup fpage
		</Limit>	
	</Directory>
	#
	# ditto for ftp_root if it's there...
	#
	<Directory ~/ftp_root>
		<Limit STOR RNFR DELE>
			DenyALL
		</Limit>	
	</Directory>
	#
	# Limit by IP...
	#
	#<Directory /web/zsl>
	#	<Limit ALL>
	#		Order Allow,Deny
	#		Allow 195.200.31.220
	#		Allow 212.32.17.0/26
	#		Deny ALL
	#	</Limit>
	#</Directory>

<Anonymous ~ftp>
   User				ftp
   Group			nogroup
#   # Alias pour la connection de l utilisateur anonyme
   UserAlias			anonymous ftp
#   # n'utiliser que des alias authentifiés
   AuthAliasOnly on
#   # Cosmetic changes, all files belongs to ftp user
   DirFakeUser	on ftp
   DirFakeGroup on ftp
# Hide all files owned by user 'root'
   HideUser			root
# 
   RequireValidShell		off
# 
  # Message et nombre maximum de connections
  MaxClients			50 "Désolé, le maximum de %m utilisateurs est atteint -- réessayez plus tard"

#   # Limit WRITE everywhere in the anonymous chroot
   <Directory *>
     <Limit RMD DELE MKD STOR WRITE>
        DenyAll
     </Limit>
     <Limit CWD READ>
        AllowAll
     </Limit>
	
   </Directory>
</Anonymous>

</Global>

# Connexion anonyme et des utilisateur à partir du net de du réseau local
# --------------------------------------------
<VirtualHost 192.168.2.2>
	ServerAdmin		aide_gnu_linux@yahoo.fr
	ServerName		"ftp.cereli.org"
	# Port mode PASSV 
        PassivePorts 5000 5100
        # Addresse de Masquage !!! A REMPLACER PAR LA VOTRE !!!
        MasqueradeAddress  XXX.XXX.XXX.XXX
	Port			21
	
</VirtualHost>

# Hôte Virtuel Pour le réseau local
# !!! A remplacer par l'adresse ip local de votre serveur ftp
<VirtualHost 192.168.2.2>
	ServerName "FTP Local"
	Port			80
	MasqueradeAddress  192.168.2.2
</VirtualHost>
</file>

==== Redémarrer Proftpd ====

- Pour le mode "indépendant":
Une fois les deux paramètres modifiés, on demande au serveur de prendre en compte la nouvelle configuration en le relançant:

sudo service proftpd restart

- Pour le mode "inetd":
il suffit de se (re)connecter.

===== Utiliser votre serveur ftp =====

Les utilisateurs de la machine ont un accès ftp en lecture/écriture à leur dossier personnel avec leur login et leur mot de passe habituel.

De plus, tout le monde a un accès anonyme avec le login "anonymous" ou "ftp" et n'importe quel mot de passe. Le dossier auquel ils ont accès est /home/ftp : tous les fichiers et dossiers que vous y mettrez pourront être consultés par tous.

Vous pouvez à tout moment voir qui est connecté à votre serveur avec la commande
  ftpwho
et voir les statistiques avec :
  ftpstats

===== Interface graphique =====

Vous pouvez malgré tout utiliser une interface graphique pour gérer proftpd.

Elle se nomme [[:gproftpd]].

===== Bugs fréquents =====

==== Activation de ProFTPd ====

Il est possible que l'on n'arrive pas à activer proftpd, diverses erreurs s'affichent donc dans le terminal.

Pour corriger ce problème il suffit de créer le dossier var de proftpd via cette commande:

sudo mkdir /var/run/proftpd/

Tout devrait fonctionner maintenant.

==== Avertissements liés au mod_tls ====
Fonctionnement vérifié sur Ubuntu 12.04 LTS (Precise Pangolin)

Si au démarrage de proftpd vous obtenez les messages d'avertissements suivants :
<file>
 proftpd[20236]: mod_tls/2.4.3: compiled using OpenSSL version 'OpenSSL 1.0.0e 6 Sep 2011' headers, but linked to OpenSSL version 'OpenSSL 1.0.1 14 Mar 2012' library
 proftpd[20236]: mod_sftp/0.9.8: compiled using OpenSSL version 'OpenSSL 1.0.0e 6 Sep 2011' headers, but linked to OpenSSL version 'OpenSSL 1.0.1 14 Mar 2012' library
 proftpd[20236]: mod_tls_memcache/0.1: notice: unable to register 'memcache' SSL session cache: Memcache support not enabled
</file>

Rien de grave. Il s'agit de simples messages d'avertissement. Cela ne troublera en rien le fonctionnement de votre serveur FTP.
Si toutefois vous souhaitez solutionner ces messages, il vous faudra procéder comme suit :

=== Récupérer la bonne version pour OpenSSL ===

Visiblement ProFTPd attend OpenSSL en version 1.0.0e. Nous avons de la chance car cette version est disponible dans les dépôts Oneiric.

Nous allons rajouter les dépôts Oneiric dans le fichier "/etc/apt/sources.list" selon la commande suivante :
<file>
$ sudo nano /etc/apt/sources.list
</file>

Et écrire la ligne suivante :
<file>
deb http://security.ubuntu.com/ubuntu oneiric-security main
</file>

Mais attention car seul le paquet "openssl" nous intéresse.
Il va falloir créer (ou éditer s'il existe déjà) le fichiet /etc/apt/preferences :
<file>
$ sudo nano /etc/apt/preferences
</file>

Et définir les options en inscrivant les lignes suivantes :
<file>
Package: openssl
Pin: release n=oneiric
Pin-Priority: 1001

Package: libssl1.0.0
Pin: release n=oneiric
Pin-Priority: 1001

Package: libssl1.0.0-dbg
Pin: release n=oneiric
Pin-Priority: 1001

Package: libssl-dev
Pin: release n=oneiric
Pin-Priority: 1001

Package: libssl-doc
Pin: release n=oneiric
Pin-Priority: 1001

Package: *
Pin: release n=oneiric
Pin-Priority: -1
</file>

<note>
Package: le nom exact du paquet sur lequel nous allons agir

Pin: le dépôt du paquet

Pin-Priority: indice de priorité de la version du paquet

Pour plus de détails, voir la manpage apt_preferences

Vous remarquez que d'autres paquets sont "préférés". Il s'agit des dépendances de fonctionnement.

Les trois dernières lignes servent à ignorer les autres paquets du dépôts afin d'éviter les conflits.
</note>

Ensuite il faut mettre à jour APT pour la prise en compte de ces valeurs :
<file>
$ sudo apt-get update
</file>

Vérifions que les versions attendues des paquets remontent correctement :
<file>
$ sudo apt-cache show openssl | grep "1.0.0e"
$ sudo apt-cache show libssl1.0.0 | grep "1.0.0e"
$ sudo apt-cache show libssl-dev | grep "1.0.0e"
$ sudo apt-cache show libssl-doc | grep "1.0.0e"
</file>

Vous devez voir apparaître à chaque fois la ligne suivante :
<file>
Version: 1.0.0e-2ubuntu4.6
</file>

Dans le cas contraire, il faut reprendre les fichiers de configuration "sources.list" et "preferences".

Si les bons paquets s'affichent, alors nous allons lancer leur mise à jour selon la commande suivante :
<file>
$ sudo apt-get install openssl libssl1.0.0 libssl-dev libssl-doc
</file>

<note>
Les paquets les plus récents seront substitués par les paquets de la version souhaitée.
</note>

=== Maintenir l'intégrité des dépôts ===

Pour être sûr qu'aucun conflit ne viendra perturber la stabilité de la distribution, nous allons désactiver les dépôts Oneiric et verrouiller les paquets "openssl" pour être à l'abri d'une mise à jour de version.

Editez une nouvelle fois le fichier "/etc/apt/sources.list" et commentez la ligne spécifiant le dépôt Oneiric (ajoutez un # en début de ligne).

Ensuite il faut ré-éditer le fichier "/etc/apt/preferences" et commenter toutes les lignes précédemment rajouter et inscrire les lignes suivantes :
<file>
Package: openssl
Pin: release n=precise
Pin-Priority: -1

Package: libssl1.0.0
Pin: release n=precise
Pin-Priority: -1

Package: libssl1.0.0-dbg
Pin: release n=precise
Pin-Priority: -1

Package: libssl-dev
Pin: release n=precise
Pin-Priority: -1

Package: libssl-doc
Pin: release n=precise
Pin-Priority: -1
</file>

<note>
Il est spécifié à APT de ne pas rechercher de mise à jour pour les paquets mentionnés.
</note>

Recharger une nouvelle fois les sources de dépôts pour APT :
<file>
$ sudo apt-get update
</file>

=== Module memcache ===
FIXME Il faut commenter le chargement du module memcache dans "/etc/proftpd/modules.conf". Pour cela, procédez comme suit :
<file>
$ sudo /etc/proftpd/modules.conf
</file>

Et commentez la ligne :
<file>
LoadModule mod_tls_memcache.c
</file>

Ajouter un # en début de ligne.

Redémarrer le service "proftpd" :
<file>
$ sudo /etc/init.d/proftpd restart
</file>

Aucun message d'avertissement ne devrait plus apparaître.

----

//Contributeurs: [[utilisateurs:eks]], [[utilisateurs:skateinmars]], [[utilisateurs:benje]], [[utilisateurs:Boris Le Hachoir]], [[utilisateurs:ALXNVX_69]],//

Merci de recopier le code ci-contre pour prouver que vous êtes humain : U C R I H Merci de laisser ce champ vide :

Résumé

Note : En modifiant cette page, vous acceptez que le contenu soit placé sous les termes de la licence suivante : CC Paternité-Partage des Conditions Initiales à l'Identique 3.0 Unported