Esta entrada continua el contenido iniciado en el artículo VSFTP instalar y configurar un servidor FTP en una Raspberry Pi con Ubuntu, desde dónde enlazamos más contenido relacionado con la insralación y la configuración de vsftp.

Usuarios virtuales vs usuarios de sistema

La configuración por defecto de vsftp nos permite autentificarnos con las credenciales de los usuarios que tengamos creados en el sistema, dándonos acceso a las mismas carpetas a las que estos tienen acceso. Pero además nos permite autentificarnos con usuarios virtuales creados especificamente para acceder por ftp a una determinada carpeta. Y lo mejor de todo es que estas dos opciones son totalmente compatible entre si, pudiendo elegir entre:

1. Habilitar solo el acceso de los usuarios del sistema (por defecto).
2. Habilitar solo el acceso de usuarios virtuales.
3. Habilitar el acceso de usuarios del sistema y usuarios virtuales.

/etc/vsftps.conf

Para no extendernos demasiado en esta entrada, a continuación veremos el resultado final del archivo /etc/vsftpd.conf. Si estás interesado en conocer los detalles de cada línea de configuración puede echarle un vistazo a la documentación oficial de vsftp en este enlace. Para facilitar la lectura hemos eliminado todas las líneas de comentarios originales del archivo:

# configuración excluyendo comentarios
use_localtime=YES
xferlog_enable=YES
connect_from_port_20=YES
secure_chroot_dir=/var/run/vsftpd/empty
user_sub_token=$USER
hide_ids=YES
listen=YES
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
chroot_local_user=YES
allow_writeable_chroot=YES
hide_ids=YES

# Configuración específica de usuarios virtuales
user_config_dir=/etc/vsftpd/usersConf
guest_enable=YES
virtual_use_local_privs=YES
pam_service_name=vsftpd

Creación de usuarios virtuales

Una vez realizada la configuración de vsftp, lo siguiente que haremos será crear los usuarios virtuales. Para ello crearemos un directorio dónde alojar los ficheros de autentificación y acto seguido los propios ficheros, que en este ejemplo serán dos, uno por usuario. Por algún motivo que desconozco no he podido hacer funcionar la autentificación con PAM sin incluir la opción -d en la creación de los ficheros de autentificación, lo que nos limita a contraseñas con un máximo de 8 caracteres, una opción que lamentablemente reduce bastante la seguridad.

sudo mkdir /etc/vsftpd
sudo htpasswd -c -d /etc/vsftpd/ftpd.passwd ftpUser1
sudo htpasswd -d /etc/vsftpd/ftpd.passwd ftpUser2

El comando htpasswd nos solicitará que definamos la contraseña y que la confirmemos, y ojo que en el segundo usuario hemos omitido la opción -c, solo es necesario incluirla con el primer usuario, si la incluimos en el segundo o sucesivos truncaremos el fichero y por lo tanto únicamente dejaremos el último usuario que hemos creado.

Instalación y Configuración de PAM

Como adelantabamos en el punto anterior utilizaremos PAM (Pluggable Authentication Modules) para la autentificación de los usuarios, así que si no lo tenemos instalado deberemos hacerlo:

sudo apt-get update
sudo apt-get install libpam-pwdfilev

El archivo de configuración de PAM para el servicio vsftp por defecto se encuentra en /etc/pam.d/vsftp, notad que hicimos referencia a él en la configuración de vsftp mediante la directiva pam_service_name. Así que por seguridad realizaremos una copia de seguridad de este archivo y acto seguido lo editaremos de forma que quede así:

auth required pam_pwdfile.so pwdfile /etc/vsftpd/ftpd.passwd
account required pam_permit.so

Como ves, le estamos indicando que utilice el archivo que acabamos de crear con el comando htpasswd para autentificar a los usuarios virtuales.

Directorios de usuarios virtuales

El último paso que nos queda para tener nuestro servicio funcionando es definir cuales serán los directorios a los que tendrán acceso los usuarios. Para realizar esta configuración crearemos un archivo por cada usuario al que estemos concediendo acceso, y para mantenerlos organizados los almacenaremos dentro de un directorio que crearemos a tal efecto, al que ya hemos hecho referencia en /etc/vsftpd.conf mediante la directiva user_config_dir. El nombre de cada archivo debe ser idéntico al nombre de usuario al que hace referencia:

sudo mkdir /etc/vsftpd/usersConf
sudo vim /etc/vsftpd/usersConf/ftpUser1
sudo vim /etc/vsftpd/usersConf/ftpUser2

El contenido de cada archivo debe hacer referencia al directorio al que le estamos concediendo acceso de la siguiente manera:

local_root=/var/www/targetDir

Permisos de escritura

Un aspecto de gran importancia es configurar correctamente los permisos de escritura del directorio de cada usuario, en caso contrario nos encontraremos con un error cuando intentemos cargar cualquier archivo en nuestro servidor.

En nuestro caso, estamos concediendo acceso a una carpeta de un servidor web, así que daremos por hecho que los permisos están configurados tal y como explicamos en la entrada Archivos y permisos de usuario en Apache 2 y Linux.

sudo usermod -a -G www-data ftpd
sudo chown ftpd:www-data /var/www/users/ftpUser1

Comprobamos que todo funciona

Reiniciamos el servidor y comprobamos que todo funciona:

sudo service vsftpd restart

Recuerda que si tienes algún problemalor archivos de logs de vsftp están en /var/log/vsftp.log y los logs de autentificación /var/log/auth.log.

Lamentablemente, según mi experiencia, esa practica no está tan extendida en los servidores ftp, dónde a día de hoy todavía todavía existen un gran número de ellos que no implementan el protocolo FTPS, haciendo uso de conexiones sin encriptar y por lo tanto menos seguras. Una lástima teniendo en cuenta que no es algo complicado.

Hoy veremos cómo habilitar el protocolo FTPS en nuestro servidor vsftp, ampliando el contenido publicado en el artículo VSFTP instalar y configurar un servidor FTP en una Raspberry Pi con Ubuntu. Además, es muy probable que también te interese echarle un vistazo a la entrada FTP, FTPS y SFTP: diferencias, ventajas e inconvenientes, pues es una buena introducción si no estás familiarizado con estos protocolos.

Esta configuración está realizada sobre Ubuntu Mate 16.0.4.2 corriendo en una Raspberry PI, pero es perfectamente aplicable a otras distribuciones y versiones de Linux y otros hardwares.

Asumiremos que ya tenemos nuestro servidor vsftp funcionando y que tenemos OpenSSL instalado. Así que el primer paso será crear los certificados SSL pertinentes:

sudo openssl req -x509 -nodes -days 365 -newkey rsa:1024 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem

A continuación agregamos las siguientes líneas al final del archivo /etc/vsftpd.conf:

# Opciones para el certificado SSL
rsa_cert_file=/etc/ssl/private/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.pem
ssl_enable=YES

Ya solo nos queda reiniciar el servidor y comprobar que la configuración que hemos aplicado funciona correctamente.

sudo service vsftpd restart

Y con estos sencillos pasos hemos terminado, mejorando notablemente la seguridad de nuestro servidor FTP.

Esta entrada pertenece a la serie de artículos sobre cómo utilizar una Raspberry PI como herramienta de apoyo para el desarrollo web, y veremos como instalar y configurar vsftp en Ubuntu, crear usuarios virtuales y habilitar el acceso con el protocolo FTPS.

vsftp

Puestos a implementar una solución ftp el primer paso será elegir uno de las muchas posibilidades que existen en el mercado. Si ya hemos descartado el protocolo SFTP, y queremos un servidor FTP o FTPS que nos permita mantener la simplicidad pero ampliando la versatilidad, y que además esté disponible bajo licencia de software libre, vsftp (Very Secure FTP) es una buena opción.

Además otra de las ventajas de Vsftp es que su uso está muy extendido y es fácil resolver cualquier duda con alguna consulta en internet, y entre algunas de sus características podemos destacar:

• Usuarios virtuales
• Configuración avanzada por usuario
• Configuración por IP de origen
• Límites por IP de origen
• Limitación de ancho de banda
• Encriptación sobre SSL

Características más que suficientes para cubrir muchos de los casos que podemos necesitar.

Por otro lado, si leiste el articulo FTP, FTPS y SFTP: diferencias, ventajas e inconvenientes, es interesante destacar que es totalmente compatible tener habilitado el acceso SFTP y el acceso FTP y FTPS con Vsftp. Esto nos permitiría por ejemplo utilizar SFTP para los usuarios del sistema y FTPS para una lista de usuarios específicos con unas necesidades distintas.

Instalar vsftp

Como es habitual la instalación de cualquier programa incluido en los repositorios de una distro es algo muy sencillo.

sudo apt-get update
sudo apt-get install vsftpd

Tras la instalación de vsftp el servidor es perfectamente funcional con los usuarios del sistema

Configurar vsftp

La configuración de vsftp ofrece muchas posibilidades y se realiza en el archivo /etc/vsftpd.conf, puedes ver todas las opciones de configuración que tiene en este enlace.

En cuanto a las configuraciones que vamos a aplicar lo haremos en entradas separadas para facilitar la organización y la lectura y evitar que esto se convierta en un artículo demasiado largo y aburrido. A continuación tienes los enlaces:

• Creación y configuración de usuarios virtuales
• Habilitar el acceso por FTPS

Comprobamos que todo funciona

Después de aplicar cualquier configuración deberemos probar que funciona correctamente, para ello el primer paso será reiniciar el servidor para aplicar la nueva configuración y acto seguido conectarnos con nuestro cliente ftp favorito.

sudo service vsftpd restart

En caso de que tengamos algún tipo de problema podemos revisar los logs de vsftp en /var/log/vsftp.log y los logs de autentificación /var/log/auth.log. Ojo que podemos tener más de un archivo de log por servicio.