Pure-FTPd s virtuálními uživateli v PostgreSQL

9. 7. 2008 | Zdeněk Zámečník | Návody | 5482×

Mnoho z vás určitě řešilo na první pohled vcelku primitivní záležitost - a to realizaci FTP serveru se snadnou správou a nízkými nároky. Dnes vám ukáži, že i obyčejný FTP server toho může umět opravdu hodně. Návod pro začátečníky.

Úvodem

Já sám jsem několik programů z těchto řad vyzkoušel, ale nejvíce si mě získal Pure-FTPd, který je šířen pod licencí GPL. Měl jsem dva základní požadavky - podpora virtuálních uživatelů (nikoliv unixových) umístěných v PostgreSQL nebo MySQL databázi a možnost virtuálních kvót. Obojí Pure-fptd splňuje a umí toho i mnohem více. Tento návod popisuje instalaci Pure-FTPd s podporou PostgreSQL na Debianu. Základním předpokladem je, že máte nainstalovanou PostgreSQL a zvládáte alespoň základní operace s ní (vytvoření databáze, tabulky a její naplnění daty). Pokud preferujete MySQL, můžete tento návod s malými úpravami použít také, protože se jedná o velmi podobnou konfiguraci.

Instalace Pure-FTPd

Začneme instalací z repozitářů příkazem:

apt-get install pure-ftpd-postgresql

Nejdříve je třeba nastavit, aby Pure-FTPd běžel trvale jako démon. To provedeme editací souboru /etc/default/pure-ftpd-common, kde nastavíme parametr STANDALONE_OR_INETD=standalone. Rovněž je nasnadě zapnout volbu VIRTUALCHROOT=true, aby nám nikdo nemohl "běhat" po celém filesystému.

Konfigurace

Teď přistoupíme k základní konfiguraci, editujeme soubor /etc/pure-ftpd/db/postgresql.conf. V první řadě musíme programu říci, na kterou databázi a jakým způsobem se má připojit:

PGSQLServer     localhost
PGSQLPort       5432
PGSQLUser       ftpdaemon
PGSQLPassword   tajneheslo
PGSQLDatabase   ftp

Nenašel jsem způsob, jak heslo pro přístup k databázi uložit šifrovaně, proto zdůrazňuji, abyste výše zmíněného uživatele ftpdaemon vytvořili pouze s právy pro čtení a souboru postgresql.conf nastavili práva 600.

V dalších odstavcích už konfigurujeme samotné chování FTP. Nastavíme, že uživatelská hesla v databázi jsou pouze MD5 hashe. Můžete také použít volbu cleartext, ale není příliš chytré ukládat hesla v plaintextu.

PGSQLCrypt      md5

Následuje SQL dotaz, který při autentizaci hledá platného uživatele s odpovídajícím heslem:

PGSQLGetPW      SELECT password FROM users WHERE username='\L' AND active='true'

Další dva dotazy načítají user ID a group ID autentizovaného uživatele, což oceníte zejména při konfiguracích s větším počtem uživatelů:

PGSQLGetUID     SELECT uid FROM users WHERE username='\L'
PGSQLGetGID     SELECT gid FROM users WHERE username='\L'

Pokud je nepotřebujete využívat, můžete nastavit tyto parametry, kterými dosáhneme statického nastavení:

PGSQLDefaultUID 2000
PGSQLDefaultGID 2000

Možná je vhodné poznamenat, že tyto dva parametry přepisují předchozí PGSQLGetUID a PGSQLGetGID

Nyní cesta k adresáři, do kterého bude mít uživatel přístup:

PGSQLGetDir     SELECT directory FROM users WHERE username='\L'

A nakonec zde máme volby kvót a omezování uploadu/downloadu:

PGSQLGetQTAFS  SELECT quotafiles FROM users WHERE username='\L'
PGSQLGetQTASZ  SELECT quotasize FROM users WHERE username='\L'
PGSQLGetBandwidthUL SELECT uploadbw FROM users WHERE username='\L'
PGSQLGetBandwidthDL SELECT downloadbw FROM users WHERE username='\L'

Soubor uložíme a přejdeme k dalšímu kroku.

Příprava databáze

Nejdříve vytvoříme tabulku users se strukturou odpovídající předchozí konfiguraci:

CREATE TABLE "public"."users" (
  "id" SERIAL, 
  "username" VARCHAR(20) NOT NULL,
  "password" VARCHAR(32) NOT NULL, 
  "active" BOOLEAN DEFAULT true,
  "uid" INTEGER DEFAULT 2000,
  "gid" INTEGER DEFAULT 2000,
  "directory" VARCHAR(100) NOT NULL,
  "quotasize" INTEGER DEFAULT 0,
  "quotafiles" INTEGER DEFAULT 0,
  "downloadbw" INTEGER DEFAULT 0,
  "uploadbw" INTEGER DEFAULT 0,
  CONSTRAINT "users_pkey" PRIMARY KEY("id")
) WITH OIDS;

Poté do tabulky přidáme jednoho uživatele na vyzkoušení:

INSERT INTO public.users (username, "password", active, uid, gid, directory, quotasize, quotafiles, downloadbw, uploadbw)
VALUES ('test','098f6bcd4621d373cade4e832627b4f6',true,2001,2001,'/var/www/test',10,0,50,0);

Tímto jsme vytvořili uživatele test s heslem test, uživatel je aktivní, jeho UID i GID je 2001, má přístup do složky /var/www/test, kde má k dispozici 10 MB prostotu, počet souborů pro něj není omezen, stahovat může rychlostí 50 kB/s a uploadovat neomezenou rychlostí.

Spuštění

Nyní spustíme démona #/etc/init.d/pure-ftpd-postgresql start. Odpovědí by mělo být přibližně toto:

Starting ftp server: Running: /usr/sbin/pure-ftpd-postgresql-virtualchroot -l pgsql:/etc/pure-ftpd/db/postgresql.conf -l pam -u 1000 -E -O clf:/var/log/pure-ftpd/transfer.log -B

Nyní, jestliže jste nikde neudělali chybu, by mělo fungovat připojení přes standardní port 21. V případě neúspěchu si zkontrolujte, zda jste zmíněnou složku uživatele nezapomněli vytvořit, popřípadě při připojování sledujte syslog (tail -F /var/log/syslog). Pokud funguje vše, kromě omezování rychlosti, popř. i diskových kvót, zkontrolujte si řádně postgresql.conf, zda v něm jsou stejné názvy sloupců jako v databázi. Pokud se nedaří ani inicializovat spojení, není na škodu pokus o připojení telnetem přímo na stroji s FTP.

telnet localhost 21

Měl by vám odpovědět přibližně takto:

220---------- Welcome to Pure-FTPd [privsep] [TLS] ----------
220-You are user number 2 of 50 allowed.
220-Local time is now 14:31. Server port: 21.
220-This is a private system - No anonymous login
220-IPv6 connections are also welcome on this server.
220 You will be disconnected after 15 minutes of inactivity.

V případě, že se tak nestane, je také možné, že se vám zobrazí nějaká klíčová chybová hláška, která může významně pomoci s hledáním příčiny. Mám zkušenosti, že ani logování na vyšší úrovni nic nezaznamenalo, ale v telnetu mi server odpověděl chybovým hlášením.

Několik tipů na závěr

Zobrazování skrytých souborů

Pure-FTPd umí také zobrazovat skryté soubory, neboli soubory, jejichž název začíná tečkou. To ocení zejména provozovatelé webových serverů. Na mnoha hostingách tato funkce chybí, což občas může způsobit spoustu problémů, pokud nevidíte soubor .htaccess. Takže jak na to? Jednoduše!

echo yes > /etc/pure-ftpd/conf/DisplayDotFiles

A restartujeme démona:

/etc/init.d/pure-ftpd-postresql restart

Automatické vytvoření adresáře

Také vám při větším počtu uživatelů vadí, že má každý svoji vlastní složku a že ji musíte vždy s odpovídajícími právy vytvořit? K tomu je tady možnost existence dalšího konfiguračního souboru:

echo yes > /etc/pure-ftpd/conf/CreateHomeDir

Opět nezapomeňte opět restartovat démona.

Zakázání příkazu chmod

Jsou případy, kdy nechceme, aby si uživatel mohl měnit přístupová práva souborů příkazem chmod:

echo yes > /etc/pure-ftpd/conf/NoChmod

Vypnutí DNS překladu

Zrychlení FTP lze docílit vypnutím reverzního DNS překladu, který v drtivé většině případů nepotřebujeme:

echo yes > /etc/pure-ftpd/conf/DontResolve

Nastavení doby neaktivity před odpojením

Ve výchozím nastavení Pure-FTPd odpojuje relace neaktivní 15 minut. To můžete změnit takto:

echo 30 > /etc/pure-ftpd/conf/MaxIdleTime

V tomto případě jsme dobu prodloužili na 30 minut.

Nastavení maximálního počtu spojení

Pure-FTPd normálně povoluje 50 současných spojení. Pokud jich chcete povolit například 100, zadejte:

echo 100 > /etc/pure-ftpd/conf/MaxClientsNumber

Zákaz zapisování do skrytých souborů

Může dojít i k situacím, kdy nechceme, aby uživatelé mohl zasahovat do souborů začínajících tečkou.

echo yes > /etc/pure-ftpd/conf/ProhibitDotFilesWrite

Podobně funguje také parametr ProhibitDotFilesRead.

Zákaz mazání jakýchkoliv souborů

Užitečná funkce na veřejných FTP určených k uploadování anonymními uživateli.

echo yes > /etc/pure-ftpd/conf/KeepAllFiles

U této volby jsem se setkal s nemožností uploadu souboru začínajícího tečkou.

Závěrem

Pure-FTPd je mocný nástroj. Umí toho mnohem více, v tomto článku jsem se pokusil o výtah toho všeobecně nejvyužitelnějšího. Jako velké plus vidím možnost postavení si vlastních SQL dotazů pro autentizaci, což nám může umožnit například omezování IP adres, ze kterých se jednotliví uživatelé mohou připojovat. V manuálu naleznete spoustu dalších parametrů týkajících se např. anonymních uživatelů, nastavení globálních diskových kvót, masek pro nové soubory, TLS apod. Věřím, že si u nejednoho uživatele či správce linuxového systému najde domov.

       

Komentáře

[GandY]

Ako je to s ochranou pred SQL injection?

[vrx]

Prepáč, ale to si napisal len preto aby tu niečo bolo? Čo má spoločné ftp server a SQL injection? O SQL injection by si mohol hovoriť len vtedy ak si vytvoríš (alebo nájdeš) nejaký webový frontend, kde sa pripájaš k db a používaš dotazy na získanie informácii a ich zadávanie do DB.

[GandY]

No podľa mňa SQL injection hrozí všade tam, kde vkladáš do SQL príkazu neošetrené data. Čo mi bráni, pri prihlásení sa cez FTP, zadať používateľské meno v tvare

'; drop table users;

(brať iba ako príklad, s pg nemám žiadne skúsenosti). Odporúčam prečítať si minimálne definíciu na wikipedii.

[vrx]

Môžeš mi prosím ťa vysvetliť kde je možné vložiť sql dotaz pri prihlasovaní na FTP??? Veď tie dotazy sú v konfiguračnom súbore, do ktorého (ak je zabezpečený komp) sa nikdo nedostane a ak by sa aj dostal tak nebude sa snažiť zmazať tabuľku keď má ku nej prístupové login a heslo aj keď len na čítanie(podľa článku), alebo sa posnaží získať heslo root-a a nie vkladať do konfigurákov také veci.

Pozn.: Rôzne frontendy vynechávam tam už ide o php, resp. inú technológiu, cez ktorú sú sql injection aktuálnejšie.

[Messa]

A co myslíš, že se asi děje s loginem, kterým se přihlašuješ? Vkládá se do SQL dotazu. Takže teoretická šance pro SQL injection tu je. Nicméně pochybuji, že někdo, kdo dokáže implementovat FTP server (nebo modul do něj) nedokáže SQL injection ošetřit, takže tipuji, že je to bezpečné

Jestli si myslíš, že SQL injection se týká jen webu, tak aby ses někdy krutě nedivil... Myslíš si snad, že když zrovna nepíšeš web, tak žádné ošetřování dat dělat nemusíš? (Samozřejmě to záleží na použité klientské knihovně, pokud se SQL příkaz sestavuje funkcí ve stylu printf nebo se používají parametrizované dotazy, pak musí být umění to udělat špatně.)

[GandY]

No to je to čo ma zaujíma, či je to ošetrené na úrovni toho ftp servera (premenná /L prechádza cez nejaké filtre), alebo na úrovni práv pri prihlasovaní sa do DB (nastavené iba čítanie a tým pádom odstránené problémy s DML a DDL). Bolo by fajn, keby to autor článku preveril.

[jahoda]

a ty si nam odkial spadol?

[xkucf03]

SELECT password FROM users WHERE username='\L' AND active='true'

SQL injekce není jen záležitostí webu - týká se každého softwaru, který má nějaké vstupy od uživatele a ty se dostávají do SQL dotazů. Docela bych se divil, kdyby v tomto FTP serveru možnost SQL injekce nebyla ošetřená - to by byl hodně velký amatérismus, ale i to se stává.

Parametry dotazů se zásadně mají předávat jako parametry, nikoli slepovat SQL příkaz jako kousky textu!

[Milan Vít]

S trochou nadsázky nebo trochou úprav? Možná je na mě moc brzo ráno a ještě mi to nemyslí, ale domnívám se, že každé znamená něco trochu jiného

[Robert Krátký]

Pravda

[xxxx]

existuje nejaky ftp server, ktery by mel vsecko virtualni a vse tahal jen z databaze? napr. soubory by byly ulozeny jen jako bloby v databazi, proste zadna vazba na filesystem.

[Věroš]

Existují knihovny pro implementaci FTP serveru do každého slušného jazyka, takže by to neměl být velký problém napsat. Otázka spíš zní, proč by to někdo dělal, bo režie databáze bude nemalá...

[Kvakor]

Mozna by to slo pomoci FUSE, pro ktere existuji implementace souborovych systemu, co jedou ciste z databaze, viz Database File Systems.

[bluemoon]

na svym webu jsem popsal virtualni pristup jak na ftp, tak mail, dns, jabber, jde i prihlasovani do htaccess atd. ve skutecnosti jde cokoli, co podporuji PAM knihovny, ty jsou jak pro mysql, tak pro pgsql ci ldap.

[bluemoon]

toto bych ti jinak nedoporucoval, nebot by ti databaze snadno zabirala na disku vic mista nez ve skutecnosti a po vetsich uploadech bys v tom mel snadno bordel. pochopil jsem vsechna prihlasovani z databaze, tak mne omluvte.

[stybla]

Užitečná fuUnkce na veřejných FTP
muze to nektery z adminu opravit? *pls*

[Luboš Doležel (Doli)]

Hotovo, díky,

[Aldagautr]

rovnez PostgreSQL v nadpisu, jestli to jeste jde

[Luboš Doležel (Doli)]

Hotovo.

[Robert Krátký]

Tak to se opravdu nepovedlo... sorry.

[Dragon Jake]

Pěkný a hezky vysvětlený článek pro začátečníky. Dovolím si ale přidat odkaz na malinký patch, který jsem kdysi v zápalu zuřivosti nad tím, proč nemůžu pure-ftpd přizpůsobit všem svým potřebám, spatlal :) Je sice dělaný pro MySQL, ale věřím, že pro PgSQL by se jednalo o podobnou úpravu. Takže tedy patch umožňující vykonání více SQL dotazů oddělených středníkem v konfiguračním souboru ;)

[xkucf03]

Hezký článek, chválím i výběr SŘBD Ale pro praktické použití bych příště uvítal i obdobný postup pro SFTP, přecejen význam FTP je dneska spíš jen pro nechráněný anonymní přístup.

[Richard Kotal]

Dobrý den,

z podobných důvodů jsem začal používat pure-ftpd.

Bohužel jsem ale narazil na jeden problém a do je práce s velmi velkými soubory (download, upload) a to přes 2GB. Jedná se o to, že při stahování nebo ukládání takových souborů přes internet a na dosti rychlé lince se spojení ukončí, aniž by došlo k dokončení akce. Na lokální síti, kde se soubory stahují rychle problém není. Napadlo mě, že může být problém v nějakých timeoutech, ale ať ho nastavím, jak chci (i několik dnů) problém přetrvává.

Zatím jsem to obešel tím, že server je spuštěn přes xinetd. V tom případě se soubor nahraje/stáhne. Akorát po dokončení se už nedá se serverem pracovat, klient se musí násilím ukončit a spustit znova a znova přihlásit.

Pokud někdo máte nějaký nápad, byl bych rád.

Děkuji

[king_2]

Ahoj, nainstaloval jsem si ten to ftp server, ale s tim rozdilem ze bych to chtel provozovat s mysql(veskera nastaveni jsem udelal tak ze jsem prepsal postgreSQl na mysql). vse jsem nastavil podle postupu, ale na server se nepripojim.

[Zdeněk Zámečník]

A jak se to konkrétně chová? Děje se něco zajímavého v logu nebo nějaká chybová hláška už při spouštění? Pokud ano, hoď to sem.