ProFTPD est un serveur FTP libre permettant de transférer des fichiers par Internet ou par le biais d'un réseau local.

ProFTPD permet entre autres la gestion des virtualhosts, du FTPS et du chroot des utilisateurs.

Tutoriel réalisé sur Debian Wheezy.

Site officiel ProFTPD

Pour installer ProFTPD (GNU/Linux Debian) utiliser la commande suivante :

sudo apt-get install proftpd

Durant l'installation il vous sera demandé de quelle manière ProFTPD doit être lancé.

inetd : pour un serveur avec peu de connexions simultanées.Le serveur FTP ne consommera pas de ressources sur le serveur lorsque personne ne sera connecté, mais le démarrage du serveur FTP sera plus lent.

indépendamment : pour un serveur avec un très grand nombre de connexions simultanées.ProFTPd sera lancé dès le démarrage du serveur et tournera toujours en toile de fond mais consommera plus de ressources.Ce mode est appelé le mode standalone.

Afin que mon serveur FTP soit plus réactif, je choisis indépendamment.

 

 (cliquer sur l'image pour l'agrandir)

 

Je vais maintenant vérifier que ProFTPD est lancé à l'aide la commande suivante dans un terminal :

ps aux | grep proftpd

Ici vous pouvez voir que ProFTPD est lancé avec le le numéro d'identification du processus (pid) 3947.

PS : après chaque modification effectuée dans le fichier de configuration ( proftpd.conf ), n'oubliez pas de relancer ProFTPD avec la commande :

sudo /etc/init.d/proftpd restart 

 

  (cliquer sur l'image pour l'agrandir)

 

Je vais maintenant tester une 1ère connexion à mon serveur FTP.

Pour cela je rentre le nom d'hôte ou adresse_ip, mon login/mot de passe et le port (1).

Si les informations de connexions sont bonnes, alors la connexion s'établit (2).

Une fois la connexion établie, je peux voir mon dossier personnel apparaître (3).

 

  (cliquer sur l'image pour l'agrandir)

 

Je teste la création d'un dossier.

 

  (cliquer sur l'image pour l'agrandir)

 

Vous pouvez voir que la création de mon dossier a réussi.

 

  (cliquer sur l'image pour l'agrandir)

 

Vous pouvez également constater que je peux remonter dans l'arborescence et accéder aux dossiers systèmes situés à la racine.

Nous verrons un peu plus loin dans le tutoriel comment "emprisonner" des utilisateurs dans leurs dossiers personnels afin qu'ils ne puissent pas remonter dans l'arborescence.

 

 (cliquer sur l'image pour l'agrandir)

 

Nous allons voir maintenant les directives basiques pour la configuration de ProFTPD.

Télécharger « proftpd.conf »

Pour cela éditez le fichier de configuration à l'aide de la commande suivante :

sudo nano /etc/proftpd/proftpd.conf

ServerName : nom de votre serveur.

ServerType : mode de fonctionnement du serveur ( inetd ou standalone ).

Les commandes timeout permettent de déconnecter le client au bout de "x" secondes :

TimeoutNoTransfer : s'il n'opère aucun transfert.

TimeoutStalled : s'il a stoppé le transfert.

TimeoutIdle : s'il n'a effectué aucune activité après la saisie du login/passwd.

DefaultRoot : permet de "chrooter" les utilisateurs FTP locaux dans leurs répertoires personnels.

RequireValidShell (on/off) : si cette directive est mise sur "on", proftpd exigera que les utilisateurs qui se connectent aient des shells valides ( ex : bin/sh ou /bin/bash ).

Port : port d'écoute du serveur ftp.

PassivePorts : plage des ports passifs que ProFTPd utilisera pour répondre aux clients

PS : L'échange de données client / serveur peut fonctionner suivant 2 possiblités :

Mode actif : le client FTP (en utilisant la commande PORT) détermine le port d'écoute et joue le rôle de serveur pour le canal de données.

Mode passif : le client FTP (en utilisant la commande PASV) choisit le mode passif et c'est le serveur FTP qui détermine le port d'écoute et joue le rôle de serveur pour le canal de données.

MaxInstances : nombre maximal de connexions simultanées.

Umask 022 022: droits du propriétaire du fichier ou dossier.

022 donnes des droits 664 ( rw-r--r-- ) pour les fichiers et 755 ( rwxr-xr-x ) pour les dossiers.

AllowOverwrite (on/off) : si la directive est mise à "on", cela permettra à un utilisateur de remplacer ses anciens fichiers par ses nouveaux, cette option sera inutile si vous interdisez l'écriture.

User  userftp : définit avec quel utilisateur ProFTPD sera lancé ( vous pouvez modifier le nom de l'utilisateur comme vous le souhaitez ).

Group  groupftp : définit avec quel groupe ProFTPD sera lancé ( vous pouvez modifier le groupe de l'utilisateur comme vous le souhaitez ).

Pour avoir une liste détaillée de toutes les directives de ProFTPD :

Directives « ProFTPD »

Nous allons voir maintenant comment créer des utilisateurs virtuels.En effet, il peut être parfois long et fastidieux de créer des comptes locaux pour autant de comptes FTP associés.

La création d'utilisateurs virtuels pour proFTPD permettra de créer des comptes qui ne seront disponibles que pour le FTP.

Cette méthode permettra de créer des utilisateurs FTP sans être obligé de créer des utilisateurs système. 

Pour créer ces utilisateurs nous aurons besoin d'ajouter quelques directives dans notre fichier de configuration :

AuthUserFile /etc/proftpd/ftpd.passwd : emplacement du fichier contenant la liste des utilisateurs virtuels.

AuthGroupFile /etc/proftpd/ftpd.group : emplacement du fichier contenant la liste des groupes virtuels.

UseFtpUsers on : active l'utilisation du fichier /etc/ftpusers qui donne la liste des utilisateur n'ayant pas d'accès au serveur ftp ( vous pouvez ajouter d'autres utilisateurs interdits dans ce fichier ).

Nous allons d'abord commencer par créer l'utilisateur ( userftp ) et le groupe ( groupftp ) que nous avons définis dans notre fichier de configuration avec la commande :

sudo groupadd groupftp && sudo useradd -g groupftp -d /dev/null -s /bin/false userftp

Nous vérifions ensuite que la groupe a bien été crée avec la commande :

cat /etc/group | grep groupftp

Vous pouvez voir que le groupe a bien été crée avec l'identifiant de groupe (GID) 1001.

 

  (cliquer sur l'image pour l'agrandir)

 

Nous vérifions ensuite que l'utilisateur a bien été crée avec la commande : 

cat /etc/passwd | grep userftp

Vous pouvez voir que l'utilisateur a bien été crée avec l'identifiant d'utilisateur (UID) 1001.

 

 

  (cliquer sur l'image pour l'agrandir)

 

Maintenant, je vais créer un utilisateur virtuel. 

La création des utilisateurs virtuels se fait à l'aide de la commande ftpasswd sous la forme :

sudo ftpasswd --passwd --name=nom_utilisateur  --uid=numéro_uid --file=/etc/proftpd/ftpd.passwd --home=emplacement_dossier_utilisateur --shell=/bin/false

Ici, je vais créer l'utilisateur ftpuser1, ayant pour uid 1002, pour répertoire personnel /home/ftpuser1 et dont l'identifiant/mot de passe seront stockés dans /etc/proftpd/ftpd.passwd.

PS : vous pouvez mettre un numéro de uid au hasard du moment que celui-ci n'existe pas dans /etc/passwd.

sudo ftpasswd --passwd --name=ftpuser1 --uid=1002 --file=/etc/proftpd/ftpd.passwd --home=/home/ftpuser1 --shell=/bin/false

PS : L'utilisation du shell ”/bin/false” permet d'interdire l'accès au shell pour les utilisateurs FTP.Le shell /bin/false n'existant pas dans le fichier /etc/shells, il vous suffira simplement de le rajouter.

Pour changer le mot de passe d'un utilisateur, utiliser la commande :

sudo ftpasswd --passwd --name=nom_utilisateur --change-password

 

   (cliquer sur l'image pour l'agrandir)

 

Pendant la création de l'utilisateur, il vous sera demandé de créer son mot de passe.

 

   (cliquer sur l'image pour l'agrandir)

 

J'édite maintenant le fichier ftpd.passwd et je vois que mon utilisateur virtuel ftpuser1 a bien été crée.

Vous pourrez également remarquer que le mot de passe a été crypté par ftpasswd.

 

                                                        (cliquer sur l'image pour l'agrandir)


Je vais maintenant créer le groupe virtuel ftpgroup1, groupe auquel appartiendra l'utilisateur ftpuser1.

La création des groupes virtuels se fait à l'aide de la commande ftpasswd sous la forme :

sudo ftpasswd --group --name=nom_groupe  --gid=numéro_gid --file=/etc/proftpd/ftpd.group  --member=nom_utilisateur

PS : vous pouvez mettre un numéro de gid au hasard du moment que celui-ci n'existe pas dans /etc/group.

sudo ftpasswd --group --name=ftpgroup1 --gid=1100 --file=/etc/proftpd/ftpd.group --member=ftpuser1

 

                                                         (cliquer sur l'image pour l'agrandir)

 

J'édite maintenant le fichier ftpd.group et je vois que le groupe virtuel ftpgroup1 a bien été crée et que ftpuser1 fait bien partie de ce groupe.

 

 (cliquer sur l'image pour l'agrandir)

 

Pour finir, je vais créer le répertoire personnel de ftpuser1 à l'aide de la commande suivante :

sudo mkdir /home/ftpuser1

Je modifie les permissions de son répertoire personnel avec la commande :

sudo chown -R 1002:1100 /home/ftpuser1 

De cette manière ftpuser1 et le groupe ftpgroup1 seront propriétaires du répertoire personnel. 

Le -R ( récursivité ) appliquera ces permissions à tous les sous-dossiers et fichiers contenus dans son dossier personnel.

Je vérifie que les droits ont bien été appliqués avec la commande :

ls -l /home | grep ftpuser1

 

  (cliquer sur l'image pour l'agrandir)

 

Pour terminer, je vais "emprisonner" ftpuser1 dans son répertoire personnel afin qu'il ne puisse accéder aux dossiers systèmes situés à la racine, ni même aux dossiers des autre utilisateurs.

Pour cela, j'édite le fichier de proftp.conf et je décommente la ligne DefaultRoot et j'y ajoute !mickael.

Cette directive permettra d'emprisonner tous les utilisateurs ( présence du ~ ) sauf l'utilisateur mickael ( présence du !mickael ) dans leurs répertoires personnels.

 

  (cliquer sur l'image pour l'agrandir)

 

Je vais maintenant tester la connexion au serveur FTP avec l'utilisateur ftpuser1.

Vous pouvez observer que la connexion a bien fonctionné.

 

   (cliquer sur l'image pour l'agrandir)

 

Je vais maintenant vérifier que ftpuser1 est bien emprisonné dans son répertoire personnel.

Pour cela, je clique sur "Vers un rép. de plus haut niveau".

Vous remarquerez que ftpuser1 ne peut pas remonter dans l'arborescence et qu'il est effectivement emprisonné dans son dossier personnel.

 

   (cliquer sur l'image pour l'agrandir)

 

Je vais tenter la même chose avec l'utilisateur mickael.

 

 (cliquer sur l'image pour l'agrandir)

 

Vous pourrez constater que je ne suis pas "emprisonné" dans mon dossier personnel et que la configuration du "chroot" de ProFTPD a bien fonctionné.

 

 (cliquer sur l'image pour l'agrandir)

 

 (cliquer sur l'image pour l'agrandir)

 

Le FTP est un protocole en clair.L'authentification est basée sur un nom d'utilisateur et un mot de passe non chiffrés et les données transitent en clair sur le réseau.

Pour remédier a cela, vous pouvez utiliser le FTPS ( FTP over SSL ).

Avec cette méthode l'authentification sera chiffrée et le canal de données le sera également.

Il existe 2 méthodes de chiffrement FTPS.

FTPS explicite : 

Le client FTP envoie une commande ( par exemple "SSL AUTH" ou "AUTH TLS" ) au serveur ftp pour établir une connexion de commande sécurisée.

Cette méthode utilise le port 20 pour le canal de données et le port 21 pour le canal de contrôle.

Avec le SSL explicit, la connexion se fait en clair, le chiffrement s'effectue après l'authentification.

 

FTPS implicite :

La connexion est automatiquement sécurisée dès que le client FTP établit une connexion au serveur FTP.

Cette méthode utilise le port 989 pour le canal de données et le port 990 pour le canal de contrôle.

Avec le SSL implicite, le chiffrement s'effectue dès le début.

Ce mode bien que obsolète est toujours largement utilisé.

 

Avec le FTPS, l'authentification client/serveur s'effectuera par l'intermédiaire s'un certificat d'authentification qui permettra d'effectuer une authentification mutuelle et qui permettra également au client de vérifier l'identité du serveur.

 

Pour mettre le place le FTPS, nous aurons besoin de openssl.

Si celui-ci n'est pas installé sur votre serveur :

sudo apt-get install openssl

Ensuite nous allons ouvrir le fichier de configuration proftpd.conf et y insérer les directives suivantes à la fin du fichier.

 

  (cliquer sur l'image pour l'agrandir)

 

Maintenant, nous allons procéder à la création du certificat et de la clé avec la commande suivante :

sudo openssl req -new -x509 -days 365 -nodes -out /etc/ssl/certs/proftpd.cert.pem -keyout /etc/ssl/certs/proftpd.key.pem

Pendant la création du certificat, certaines informations vous seront demandées ( pays, ville etc...)

 

  (cliquer sur l'image pour l'agrandir)

 

Je vérifie que mon certificat et ma clé ont bien été crées.

 

   (cliquer sur l'image pour l'agrandir)

 

Je me connecte à nouveau à mon serveur FTP en choisissant cette fois-ci "Connexion FTP explicite sur TLS"

 

    (cliquer sur l'image pour l'agrandir)

 

Vous pouvez voir à gauche le mécanisme d'authentification pour invoquer FTPS.

Le serveur nous présente le certificat que nous avons crée juste auparavant afin que nous puissions vérifier son identité.

Une fois que l'identité du serveur a bien été vérifié, cliquez sur "Valider".

 

   (cliquer sur l'image pour l'agrandir)

 

ftpuser1 peut maintenant télécharger/transférer des fichiers de manière sécurisée.

 

 

 (cliquer sur l'image pour l'agrandir)

 

Maintenant que ProFTPD est configuré, nous allons surveiller les connexions en cours.

Pour cela, il suffit de vous connecter en ssh a votre serveur et d'entrer la commande suivante :

ftptop -d 1 -f /var/run/proftpd.scoreboard

-d 1 est la fréquence de rafraichissement en secondes

-f /var/run/proftpd.scoreboard pour indiquer le chemin ou se trouve le tableau de bord de ProFTPD.

Le retour de la commande se découpe en 3 parties :

La 1ère avec la date, l'heure, et le temps écoulé depuis le dernier (re)démarrage du serveur FTP.

La 2ème nous indique le nombre de sessions FTP en cours.

La 3ème qui va nous détailler les sessions en cours.

 

 (cliquer sur l'image pour l'agrandir)

 

Vous pouvez voir maintenant que ftpuser1 s'est connecté au serveur FTP depuis 28 secondes avec l'identifiant de processus ( PID ) 2629, l'adresse IP 192.168.1.45 et qu'il n'effectue aucune action pour le moment car il est en mode idle (repos).

 

  (cliquer sur l'image pour l'agrandir)

 

Maintenant, ftpuser1 va uploader 2 fichiers sur le serveur.

Vous pouvez que 2 processus ( PID 2630, 2631 ) se sont lancés et la commande STOR ( store ) signifie que le client envoie des données sur le serveur.

 

 (cliquer sur l'image pour l'agrandir)

 

Maintenant, ftpuser1 va downloader 2 fichiers depuis le serveur.

Vous pouvez que 2 processus ( PID 2632, 2633 ) se sont lancés et la commande RETR ( retrieve ) signifie que le serveur envoie des données au client.

 

  (cliquer sur l'image pour l'agrandir)

 

Conclusion : 

Ce tutoriel n'est qu'un exemple simple des possibilités offertes par ProFTPD.

Si vous voulez configurer ProFTPD de manière graphique, il existe :

«gproftpd»

Vous pouvez également vous tourner vers VsFTPd ou bien encore Pure-ftpd.

Même si FTPS apporte un gain de sécurité, je préfère néanmoins le SFTP basé sur le ssh car plus simple à mettre en place.

N'hésitez pas à mes faire part de vos remarques sur ce tutoriel...