vsftpd 특정 사용자에 대해 상위디렉터리 제한

vsftpd 특정 사용자에 대해 상위디렉터리 제한

1) 상위디렉터리 이동 제한하기

# You may specify an explicit list of local users to chroot() to their home
# directory. If chroot_local_user is YES, then this list becomes a list of
# users to NOT chroot().
chroot_local_user=YES
# (default follows)
chroot_list_file=/etc/vsftpd.chroot_list

root@Cp:/

># cat /etc/vsftpd.chroot_list
CP

root@Cp:/

># /etc/rc.d/init.d/vsftpd restart

->위 처럼 수정 후 ftp localhost로 test 한다. cd ..로 디렉터리 이동은 되는데 dir 해서 리스트를 볼 수는 없다.
2) conf 파일 설정 설명
root@C:/root># cat /etc/vsftpd/vsftpd.conf | grep -v ^# (주석 처리 되지 않은 것만 보기)
anonymous_enable=NO 
->익명 접속을 허용하지 않으면 NO 라고 입력한다.
local_enable=YES 
->로컬계정 사용자들의 접속을 허용하지 않으면 NO 라고 한다.
write_enable=YES 
->ftp 전송명령어 중 write를 허용하지 않으면 NO 라고 한다.
local_umask=022 
->umask 의 기본 값은 077이다. umask값이 077이면 새로 생성되는 파일의 퍼미션은 600이 되고, 새로 생성되는 디렉터리의 퍼미션은 700이 된다. 당연히 보안강화가 된다.
dirmessage_enable=YES
->ftp 접속한 사용자가 특정 디렉터리로 이동할때 개별 디렉터리의 메시지를 보여주도록 설정 한것이다. 밑에서 message_file 이라는 부분을 검색해서 해당 메시지를 넣게 되면 개발 디렉터리 안내 파일로 사용할 파일명을 지정할 수 있다.
xferlog_enable=YES
->ftp 접속 후 파일 업로드 및 다운로드에 대한 로그를 남긴다는 의미이다.
connect_from_port_20=YES
->ftp는 기본적으로 21번 포트와 20번 포트를 사용한다. ftp접속과 명령어에 사용되는 포트는 21번 이며, 실제 데이터전송에 사용되는 기본포트는 20번이다. 이때 20번 포트의 데이터전송 연결을 헝ㅇ할 것인가 아닌가를 설정하는 것으로 YES는 허용한다는 의미이다.
xferlog_std_format=YES
->로그파일에 남길 로그파일의 포맷을 기본포맷으로 남긴다는 뜻이다. 리눅스에서 ftp 기본로그파일로 /var/log/xferlog 을 사용한다. 이 지시자는 이 파일의 표준포맷으로 로그를 남기도록 설정하는 것이다. 이 파일의 포맷보다는 vsftpd 로그포맷을 사용하는 것이 보다 자세한 로그를 남길 수 있다. 즉, 디렉터리 생성로그나 또는 로그인 같은 상세로그까지 기록해 준다.
ftpd_banner=
chroot_list_enable=YES
chroot_local_user=YES
chroot_list_file=/etc/vsftpd/chroot_list
->특정 사용자들에 대해 자신의 홈 디렉터리를 루트 디렉터리로 인식하도록 하는 기능이다. 
chroot_list_enable=YES로 설정하고 chroot_list_file=/etc/vsftpd/chroot_list 파일에 등록된 사용자들에 한해서 chroot() 기능이 적용되어 자기 자신의 홈디렉터리 상위디렉터리 이동이 제한된다.
이 파일에 등록할때는 한 행에 사용자 계정을 등록하면 된다. (chroot_local_user=YES 이 부분 주석처리 해야된다. )
->chroot_local_user=YES는 특정 사용자가 아닌 전체 사용자를 대상으로 자기 자신 홈 디렉터리 상위 디렉터리로 이동하지 못하도록 하는 설정이다.
chroot_local_user=YES와 chroot_list_enable=YES가 모두 YES 이면, /etc/vsftpd/chroot_list 파일에 등록된 사용자를 제외한 나머지 사용자들이 상위디렉터리 이동이 제한이 되는 것이다.
listen=YES
->만약 vsftpd를 xinetd모드가 아닌 standalone으로 서비스 하려면 위의 listen 을 YES 로 설정하고 listen_port에 서비스 할 포트를 지정하면 된다. (기본포트 21번)
pam_service_name=vsftpd
->PAM 설정파일명으로 사용할 파일명을 지정한다. 이 설정이 적용되면 기본이 vsfpd이므로 /etc/pam.d/vsftpd 파일이 사용된다.
userlist_enable=YES
tcp_wrappers=YES
3) 사용자 홈 디렉터리 변경하기
vi /etc/passwd ->파일을 열어서 CFTP:x:58705:58705::/home/CFTP:/bin/bash 의 ::/data:/ 로 변경
chown -R CFTP:CFTP /data ->권한을 변경해 준다. (/data영역의 소유권 수정 )