Note > Voici l’emplacement des fichiers de configuration :
On installe vsftpd et on le stoppe le temps de le configurer
agi vsftpd /etc/init.d/vsftpd stop
Sur MySQL ou MariaDB, on cree un utilisateur BDDUSER avec une bdd qui lui est associee (via phpmyadmin par exemple)Ensuite on crée deux nouvelles tables dans cette bdd
On l’installe, et surtout on n’oublie pas le module libpam-mysql :
agi libpam libpam-mysql
Il faut maintenant configurer pam, qui va permettre a vsftpd d’aller chercher les utilisateurs dans la base mysql plutôt que dans les utilisateurs systeme, stockés dans /etc/passwd et /etc/shadow.On sauvegarde l’ancien fichier (au cas où, mais pas dans le même répertoire, sinon il serait lu aussi) et on en crée un tout neuf :
mkdir -p /var/backups/config cp /etc/pam.d/vsftpd /var/backups/config/vsftpd.bak nano /etc/pam.d/vsftpd
Et on remplace l’integralite du contenu par les lignes 2 suivantes,Où BDDUSER est l’utilisateur crée sur MySQLBDDPASS son mot de passeBDDNAME le nom de la base de donnees qui lui est associée
auth required pam_mysql.so verbose=1 user=BDDUSER passwd=BDDPASS host=localhost db=BDDNAME table=ftpcomptes usercolumn=pseudo passwdcolumn=mdp crypt=1 sqllog=true logtable=ftplogging logmsgcolumn=msg logusercolumn=pseudo logpidcolumn=pid loghostcolumn=host logrhostcolumn=rhost logtimecolumn=time account required pam_mysql.so verbose=1 user=BDDUSER passwd=BDDPASS host=localhost db=BDDNAME table=ftpcomptes usercolumn=pseudo passwdcolumn=mdp crypt=1 sqllog=true logtable=ftplogging logmsgcolumn=msg logusercolumn=pseudo logpidcolumn=pid loghostcolumn=host logrhostcolumn=rhost logtimecolumn=time ### INFOS # verbose : Mode verbeux, necessaire pour logger les acces ( 0=desactive, 1 = active ) # user : Utilisateur employe par VsftpD pour se conncter a MySQL # password : Mot de passe de l'utilsateur employe par VsftpD pour se connecter a MySQL # host : Hote hebergeant le serveur MySQL (localhost ou adresse IP) # db : nom de la base de donnees a utiliser # table : nom de la table contenant les utilisateurs # usercolumn : nom de la colonne contenant les noms des utilisateurs # passwdcolumn : nom de la colone contenant les mot de passe des utilisateurs # crypt : type de cryptage utilise pour les mots de passe ( 0 = clair , 1 = fonction ENCRYPT(), 2 = fonction PASSWORD(), 3 = fonction MD5(), 4 = fonction SHA1() ) # sqllog : activation du logging d'acces en base SQL ( 0 = desactive, 1 = active ) # logtable : nom de la table de log des acces utilisateurs # logmsgcolumn : nom de la colonne ou seront stockes les messages de pam_mysql # logusercolumn : nom de la colonne ou seront stockes les nom des utilisateurs # logpidcolumn : nom de la colonne ou seront stockes les numeros de process (pid) # loghostcolumn : nom de la colonne ou seront stockes les adresses ou se connectent les utilisateurs (en general le serveur lui même) # logrhostcolumn : nom de la colonne ou seront stockes les adresses distantes des utilisateurs # logtimecolumn : nom de la colonne ou seront stockes les heures de connexion
NOTE : La fonction crypt de la librairie pam_mysql accepte differents arguments (0, 1, 2, 3, 4) , cependant je n’en ai trouve que deux qui fonctionnent avec mysqlEn effet, sous mysql la fonction MD5() et la fonction SHA1() existent, mais elles ne renvoient pas les mêmes valeurs que le crypt fourni par pam_mysql.
Autrement dit, les valeurs ne correspondent pas et l’authentification échoue systématiquement. Personnellement, j’ai choisi crypt=1 (donc ENCRYPT sous MySQL)
On crée un premier utilisateur virtuel sur MySQLINSERT INTO comptes (pseudo, mdp) VALUES(‘exemple’, ENCRYPT(‘mypass’));
Le répertoire de l’utilisateur ‘PSEUDO_USER ‘ est /var/ftp/ftpzone/PSEUDO_USER , mais vsftpd ne peut pas le créer. Il faut donc le faire et le donner à l’utilisateur vsftpd.
mkdir -p /var/ftp/ftpzone/PSEUDO_USER useradd --home /var/ftp/ftpzone --shell /bin/false vsftpd
On donne les droits d’écriture dans un sous répertoire upload et on attribue l’ensemble à vsftpd, et au groupe www-data (si on souhaite donner l’accès à apache) :
chmod 555 /var/ftp/ftpzone/PSEUDO_USER / chmod 775 /var/ftp/ftpzone/PSEUDO_USER/upload/ chown -R vsftpd:www-data /var/ftp/ftpzone/
On cree le repertoire qui stockera les droits des users virtuels
mkdir /etc/vsftpd/user_conf
On cree un repertoire par utilisateur virtuel en specifiant ces droits :
nano /etc/vsftpd/user_conf/PSEUDO_USER
Si on veut que PSEUDO_USER qui est chroot dans /var/ftp/ftpzone/PSEUDO_USER puisse publier le contenu de son ftp (sur /var/www/html/PSEUDO_USER) ou encore accéder à d’autres répertoires, il suffit de lancer les commandes suivantes :
mkdir /var/www/html/PSEUDO_USER chown -R vsftpd:www-data /var/www/html/PSEUDO_USER/ mount --bind /var/www/html/PSEUDO_USER/ /var/ftp/ftpzone/PSEUDO_USER/
Pour l’avoir au boot éditer /etc/fstab et ajouter :
/var/www/html/PSEUDO_USER/ /var/ftp/ftpzone/PSEUDO_USER/ none bind,defaults,auto 0 0
Ne pas oublier de metttre l’user vsftpd dans le groupe www-data pour que chaque upload d’un utilisateur soit directement visible par apache
sudo usermod -g www-data vsftpd
Ensuite on édite la configuration de vsftpd dans /etc/vsftpd.conf
mkdir -p /var/backups/config cp /etc/vsftpd.conf /var/backups/config/vsftpd.conf.bak nano /etc/vsftpd.conf
On remplace TON_PORT et TON_PORT_MAX par les ports de son choix (qu’on pense à ouvrir sur le routeur)
On relance tout ça :
/etc/init.d/vsftpd restart
Et on teste avec filezilla ou la commande ftp :
ftp 127.0.0.1 TONPORT
Et le couple login / mdp qui va bien.
Une fois l’installation effectuée, pour que le serveur se lance automatiquement au démarrage :
systemctl enable vsftpd.service
Pour avoir un monitoring basic (voir les utilisateurs connectes) :
Ensuite, pour voir la liste des utilisateurs il suffit de taper la commande suivante dans un terminal :
ps -aef | grep vsftpd
ou pour suivre les connexions en continu (perso j’ai fait un alias « watchftp »):
watch -n 1 'ps ax | grep vsftpd | grep -v grep'
Attention, tous les utilisateurs du système ayant accès a la commande « ps » pourront également visualiser la liste des utilisateurs connectes.
Si lors des tests de connexion on obtient :
Reponse : 500 OOPS: cannot change directory:/home/ftp
Alors il faudra modifier le /home/ de l’utilisateur vsftpd (nano /etc/passwd ) et mettre /var/ftp/ftpzone
Si lors des tests de connexion on obtient :
Reponse : 500 OOPS: vsf_sysutil_bind
Alors il faut vérifier que les ports de connexion et de data ne sont pas déjà utilise (commande « lsof -i :65432 » par exemple)
Si lors des tests du FTP on obtient des erreurs de permissions ou des « failed »
Alors il faut vérifier qu’on a bien lance la commande : chown -R vsftpd:www-data /var/ftp/ftpzone/ ou encore
chmod 555 /var/ftp/ftpzone/PSEUDO_USER / chmod 775 /var/ftp/ftpzone/PSEUDO_USER/upload/
Après chaque changement de config on oublie pas de relancer vsftpd (ce qui ne gène normalement pas les gens connectes)
/etc/init.d/vsftpd reload /etc/init.d/vsftpd restart
Et on n'oublie pas non plus d’ouvrir les ports utilises dans la box !
###################################################