Dotaz: proftpd + TLS

[vetron]

zdravim, Mam spojazdene ftp-cko s podporou TLS,(Debian 2.4.20,proftpd 1.2.10) chcem sa spytat,da sa nejak interne v konfiguraku proftpd nastavit aby sa prihlasenie klienta uskutocnilo len ak sa prihlasoval cez TLS. Cize ak sa prihlasoval nesifrovane aby bol login neuspesny. Dik

Odpovědi

[Barbucha.eu]

Tak tohle mě taky zajímá. Mám taky Debian s ProFTPd. TLS umí. Ale jen když pošle klient požadavek AUTH SSL. Navíc stejně nevím, zda samotná komunikace pak pokračuje přes ftp nebo ftps. Myslel jsem, že se to vyřeší, když mu zadám TLSRequired on, ale to se akorát pak nejde ničím přihlásit.

[#Tom]

FTP s TLS moc nepomůže, šifrování se vztahuje zpravidla jen na přihlašování, na přenos dat ne. Lepší by bylo strčit FTP přenos do nějakého tunelu, to ale ztěžuje připojení, klient to musí podporovat. Nejvhodnější tak je asi přenos dat po SSH třeba s tímto doplňkem.

[Barbucha.eu]

Dejme tomu, že šifrované přihlášení stačí. Lze vynutit, aby se použilo vždy?

[Libor Klepac]

myslim, ze ano

                                                                                                           # Are clients required to use FTP over TLS when talking to this server?                            
# moznosti on|off|cert|data                                                                        
TLSRequired on                                                                                     

[Libor Klepac]

hups, pardon za rozhozeni

[Barbucha.eu]

Takže se to dělá tím TLSRequire on. Ovšem potom nevím, čím se přihlásit, protože pak se nejde přihlásit ničím. Ani Midnightcommanderem, Totalcommanderem, pftp nebo ftp-ssl. Nevím proč, ale ftp-ssl přejde do zabezpečeného, jen když je TLSRequire off. S on to prostě nefunguje. A když je TLSRequire off, tak vpodstatě žádný klient TLS nepoužije, protože ho vlastně většina neumí.

Zdá se mi, že když dám TLSRequire on, tak mi prostě to FTP jede, ale nefunguje. Poté, co zadám uživatelské jméno, klient, co TLS neumí, spadne s chybou 500 TLS/SSL required on control chanel. Login failed. (To je logické a vlastně to indikuje, že je vše v pořádku.) Ovšem klient, který TLS umí, zamrzne...

[Barbucha.eu]

Teď jsem to zkoušel a funguje to. Když dám TLSRequire on, tak klienti, co TLS neumějí se nepřihlási a Ftp-ssl se přihlásí.

V čem byla chyba? Nevím, ale podle výpisu Ftpcount se zdá, že zamrzlý klient po zabití neopustil server a protože jsem to zkoušel pořád dokola, nejspíš byl překročen limit najednou přihlášených uživatelů.

[Libor Klepac]

no ja mam to tls ve virtualhostu na portu 990 (zapomnel jsem to napsat), takze se normalne jde na port 21 prihlasit, a na port 990 s ftps