Форум Сайтостроение Администрирование серверов

vsFTPd и доступ

Г
На сайте с 25.10.2007
Offline
68
Гесер
1408

Создал юзера, запихнул его в /etc/vsftpd.users,пробнул зайти - не может получить список файлов. Права на папку 777. В ftpusers юзера естественно нет. OS - Debian Вот сам конфиг:

# Example config file /etc/vsftpd.conf
#
# The default compiled in settings are fairly paranoid. This sample file
# loosens things up a bit, to make the ftp daemon more usable.
# Please see vsftpd.conf.5 for all compiled in defaults.
#
# READ THIS: This example file is NOT an exhaustive list of vsftpd options.
# Please read the vsftpd.conf.5 manual page to get a full idea of vsftpd's
# capabilities.
#
#
# Run standalone? vsftpd can run either from an inetd or as a standalone
# daemon started from an initscript.
listen=YES
listen_port=21

#
# Run standalone with IPv6?
# Like the listen parameter, except vsftpd will listen on an IPv6 socket
# instead of an IPv4 one. This parameter and the listen parameter are mutually
# exclusive.
#listen_ipv6=YES
chmod_enable=YES

local_root=/var/www/community.kidsunity.org/www
#
# Allow anonymous FTP? (Beware - allowed by default if you comment this out).
anonymous_enable=NO
guest_enable=YES
guest_username=user
#
# Uncomment this to allow local users to log in.
local_enable=YES
#
# Uncomment this to enable any form of FTP write command.
write_enable=YES
#
# Default umask for local users is 077. You may wish to change this to 022,
# if your users expect that (022 is used by most other ftpd's)
anon_umask=0007
file_open_mode=0777

local_umask=022
userlist_enable=YES
userlist_deny=NO
userlist_file=/etc/vsftpd.users

#
# Uncomment this to allow the anonymous FTP user to upload files. This only
# has an effect if the above global write enable is activated. Also, you will
# obviously need to create a directory writable by the FTP user.
anon_upload_enable=YES
#
# Uncomment this if you want the anonymous FTP user to be able to create
# new directories.
anon_mkdir_write_enable=NO
anon_other_write_enable=NO

#
# Activate directory messages - messages given to remote users when they
# go into a certain directory.
dirmessage_enable=YES
#
# Activate logging of uploads/downloads.
xferlog_enable=YES
#
# Make sure PORT transfer connections originate from port 20 (ftp-data).
connect_from_port_20=YES
#
# If you want, you can arrange for uploaded anonymous files to be owned by
# a different user. Note! Using "root" for uploaded files is not
# recommended!
chown_uploads=YES
chown_username=user
#
# You may override where the log file goes if you like. The default is shown
# below.
xferlog_file=/var/log/vsftpd.log
#
# If you want, you can have your log file in standard ftpd xferlog format
#xferlog_std_format=YES
#
# You may change the default value for timing out an idle session.
#idle_session_timeout=600
#
# You may change the default value for timing out a data connection.
#data_connection_timeout=120
#
# It is recommended that you define on your system a unique user which the
# ftp server can use as a totally isolated and unprivileged user.
#nopriv_user=ftpsecure
#
# Enable this and the server will recognise asynchronous ABOR requests. Not
# recommended for security (the code is non-trivial). Not enabling it,
# however, may confuse older FTP clients.
#async_abor_enable=YES
#
# By default the server will pretend to allow ASCII mode but in fact ignore
# the request. Turn on the below options to have the server actually do ASCII
# mangling on files when in ASCII mode.
# Beware that on some FTP servers, ASCII support allows a denial of service
# attack (DoS) via the command "SIZE /big/file" in ASCII mode. vsftpd
# predicted this attack and has always been safe, reporting the size of the
# raw file.
# ASCII mangling is a horrible feature of the protocol.
#ascii_upload_enable=YES
#ascii_download_enable=YES
#
# You may fully customise the login banner string:
#ftpd_banner=Welcome to blah FTP service.
#
# You may specify a file of disallowed anonymous e-mail addresses. Apparently
# useful for combatting certain DoS attacks.
#deny_email_enable=YES
# (default follows)
#banned_email_file=/etc/vsftpd.banned_emails
#
# You may restrict local users to their home directories. See the FAQ for
# the possible risks in this before using chroot_local_user or
# chroot_list_enable below.
#chroot_local_user=YES
#
# You may specify an explicit list of local users to chroot() to their home
# directory. If chroot_local_user is YES, then this list becomes a list of
# users to NOT chroot().
#chroot_list_enable=YES

# (default follows)
#chroot_list_file=/etc/vsftpd.chroot_list
#
# You may activate the "-R" option to the builtin ls. This is disabled by
# default to avoid remote users being able to cause excessive I/O on large
# sites. However, some broken FTP clients such as "ncftp" and "mirror" assume
# the presence of the "-R" option, so there is a strong case for enabling it.
#ls_recurse_enable=YES
#
#
# Debian customization
#
# Some of vsftpd's settings don't fit the Debian filesystem layout by
# default. These settings are more Debian-friendly.
#
# This option should be the name of a directory which is empty. Also, the
# directory should not be writable by the ftp user. This directory is used
# as a secure chroot() jail at times vsftpd does not require filesystem
# access.
secure_chroot_dir=/var/run/vsftpd
#
# This string is the name of the PAM service vsftpd will use.
pam_service_name=vsftpd
#
# This option specifies the location of the RSA certificate to use for SSL
# encrypted connections.
rsa_cert_file=/etc/ssl/certs/vsftpd.pem

лог сервера:

Mon Aug 30 16:20:20 2010 [pid 2027] CONNECT: Client "ip"
Mon Aug 30 16:20:20 2010 [pid 2026] [user] OK LOGIN: Client "ip"

лог клиента:

Статус: Определение IP-адреса для ***
Статус: Соединяюсь с :21...
Статус: Соединение установлено, ожидание приглашения...
Ответ: 220 (vsFTPd 2.0.7)
Команда: USER ***
Ответ: 331 Please specify the password.
Команда: PASS *****
Ответ: 230 Login successful.
Команда: OPTS UTF8 ON
Ответ: 200 Always in UTF8 mode.
Статус: Соединение установлено
Статус: Получение списка каталогов...
Команда: PWD
Ответ: 257 "/"
Команда: TYPE I
Ответ: 200 Switching to Binary mode.
Команда: PASV
Ответ: 227 Entering Passive Mode (***)
Команда: LIST
Ошибка: Превышено время ожидания соединения
Ошибка: Не могу получить список каталогов!
Andreyka
На сайте с 19.02.2005
Offline
822
Andreyka
#1

Активный/Пассивный?

Не стоит плодить сущности без необходимости
GL
На сайте с 30.08.2010
Offline
25
guns_linger
#2

проблема не в доступе, а скорее всего в фаерволе на сервере. должны быть еще открыты некоторые порты кроме 21.

а именно- в vsftpd.conf можно указать

pasv_min_port=65000

pasv_max_port=65535

(к примеру)

и разрешить их в фаерволе

guns_linger добавил 30.08.2010 в 18:04

Andreyka:
Активный/Пассивный?

судя по логам клиента-пассивный.

впрочем активный в наши дни уже не актуален :) большинство клиентов сидят за NAT и не имеют реального адреса.

администрирование *nix,windows () icq 99033430
Как найти вредоносный код Безопастность. Chroot для Apache Как ходить на сайт
M
На сайте с 01.12.2009
Offline
235
madoff
#3

да похоже на Iptables, не подгруженный модуль ftp, так как LIST не выводиться.

покажите вывод

iptables -L -nv
Администратор Linux,Freebsd. построения крупных проектов.
Г
На сайте с 25.10.2007
Offline
68
Гесер
#4
не подгруженный модуль ftp

ipt_ftp_conntrack?

[зачеркнуто]Стало после открытия доп. портов

Статус: Не удалось установить соединение с "ECONNREFUSED - Connection refused by server".
Ошибка: Невозможно подключиться к серверу

[/зачеркнуто]

iptables -L -nv


Chain INPUT (policy DROP 5 packets, 884 bytes)
pkts bytes target prot opt in out source destination
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 209.160.0.0-209.160.79.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 212.220.106.0-212.220.109.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 217.69.128.0-217.69.135.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 217.118.92.0-217.118.95.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 207.171.0.0-207.171.63.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 67.18.0.0-67.19.255.255
33 1584 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 98.192.0.0-98.255.255.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 94.51.176.0-94.51.191.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 94.51.128.0-94.51.159.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 94.51.112.0-94.51.127.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 94.50.144.0-94.50.159.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 94.50.128.0-94.50.143.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 94.50.112.0-94.50.127.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 90.151.128.0-90.151.143.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 90.151.108.0-90.151.111.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 90.151.16.0-90.151.31.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 90.150.128.0-90.150.143.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 90.150.224.0-90.150.239.255
14 672 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 89.237.37.0-89.237.37.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 85.26.164.0-85.26.167.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 85.26.232.0-85.26.239.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 83.149.20.0-83.149.23.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 78.108.88.0-78.108.95.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 78.47.43.176-78.47.43.183
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 188.98.0.0-188.98.79.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 188.18.112.0-188.18.127.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 188.17.192.0-188.17.207.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 188.16.0.0-188.16.63.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 188.16.192.0-188.16.255.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 188.17.160.0-188.17.191.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 188.18.128.0-188.18.191.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 188.18.112.0-188.18.127.255
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 source IP range 122.170.0.0-122.170.127.255
184 115K ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- * * 0.0.0.0/0 127.0.0.0/8
97 12040 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp dpt:245
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp spt:245 flags:!0x17/0x02
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp dpts:65000:65535
0 0 ACCEPT udp -- * * 0.0.0.0/0 ip_сервера udp dpts:65000:65535
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp dpt:53
0 0 ACCEPT udp -- * * 0.0.0.0/0 ip_сервера udp dpt:53
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp dpt:3306
0 0 ACCEPT udp -- * * 0.0.0.0/0 ip_сервера udp dpt:3306
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp spt:53 dpts:1024:65535 flags:!0x17/0x02
6 1036 ACCEPT udp -- * * 0.0.0.0/0 ip_сервера udp spt:53 dpts:1024:65535
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp dpt:25
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp spt:25 dpts:1024:65535 flags:!0x17/0x02
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp spts:1024:65535 dpt:113
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp spt:113 dpts:1024:65535 flags:!0x17/0x02
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp dpt:110
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp dpt:995
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp dpt:143
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp dpt:993
46 44506 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp spt:80 dpts:1024:65535 flags:!0x17/0x02
0 0 ACCEPT icmp -- * * 0.0.0.0/0 ip_сервера icmp type 0
0 0 ACCEPT icmp -- * * 0.0.0.0/0 ip_сервера icmp type 3
0 0 ACCEPT icmp -- * * 0.0.0.0/0 ip_сервера icmp type 8
0 0 ACCEPT icmp -- * * 0.0.0.0/0 ip_сервера icmp type 11
206 29951 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp dpt:80
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp dpt:443
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp dpt:20
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp spt:20 dpts:1024:65535 flags:!0x17/0x02
0 0 ACCEPT udp -- * * 0.0.0.0/0 ip_сервера udp dpt:20
0 0 ACCEPT udp -- * * 0.0.0.0/0 ip_сервера udp spt:20 dpts:1024:65535
17 817 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp dpt:21
0 0 ACCEPT tcp -- * * 0.0.0.0/0 ip_сервера tcp spt:21 dpts:1024:65535 flags:!0x17/0x02
0 0 ACCEPT udp -- * * 0.0.0.0/0 ip_сервера udp dpt:21
0 0 ACCEPT udp -- * * 0.0.0.0/0 ip_сервера udp spt:21 dpts:1024:65535
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpts:1024:65535 flags:!0x16/0x02
0 0 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpts:1024:65535

Chain FORWARD (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination

Chain OUTPUT (policy DROP 3 packets, 3138 bytes)
pkts bytes target prot opt in out source destination
184 115K ACCEPT all -- * lo 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- * * 127.0.0.0/8 0.0.0.0/0
384 255K ACCEPT all -- * * ip_сервера 0.0.0.0/0

M
На сайте с 01.12.2009
Offline
235
madoff
#5

переведите для начала фаервол, в дефолт состояние ACCEPT , ипрвоерти будет ли работать ftp

Г
На сайте с 25.10.2007
Offline
68
Гесер
#6

Все в норме, фаер непричем. Сервер почему-то не рестартанул.Всем спасибо.

M
На сайте с 01.12.2009
Offline
235
madoff
#7
Гесер:
Все в норме, фаер непричем. Сервер почему-то не рестартанул.Всем спасибо.

Ну да закон windows используете?, видимо вы ftp сервес, не рестартнули. :)

Г
На сайте с 25.10.2007
Offline
68
Гесер
#8

Рестартанул, но он не рестартанулся, а только стопарнулся.😂

Еще вопрос такой - что/где/как надо сделать, что бы на чтение не было доступа вообще за пределами домашнего каталога? На запись и так нет.🚬

Думается мне, cmod'ом тут не обойтись, тем более он и так дефолтовый везде,что уже по идее должно закрывать доступ.

Google открывает подросткам доступ Сервис «Вопросы и ответы» Новая стратегия борьбы со
M
На сайте с 16.09.2009
Offline
278
myhand
#9

chroot_local_user=YES

предварительно выяснив в мане что это такое.

Абонементное сопровождение серверов (Debian) Отправить личное сообщение (), написать письмо ().

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий