VSFTPD

FTP server pouze pro lokální uživatele

Následující kapitola se bude zabývat nastavení FTP serveru pouze pro lokální uživatele, kteří budou mít možnost zápisu do svých domovských adresářů, ale nebudou mít právo opustit svůj domovský adresář, protože v něm budou tzv. "chrootováni". Toto nastavení lze samozřejmě libovolně kombinovat s nastavením pro anonymní uživatele uvedeném výše. Lokální uživatel nemusí mít nastaven platný shell a někdy je výhodné tohoto faktu využít a nastavit daným uživatelům shell na /sbin/nologin, což zajistí, že se nebudou smět přihlásit například přes ssh.

Pro povolení lokálních uživatelů a pro povolení zápisu do jejich domovského adresáře (včetně povolení vytváření adresářů, přejmenování a mazání souborů i adresářů a změny jejich práv) je zapotřebí nastavit minimálně tyto direktivy:

local_enable=YES
write_enable=YES

Z hlediska bezpečnosti je dobré omezit uživatelům možnost procházení všech systémových adresářů a souborů, jenž mají nastaveno právo pro čtení pro všechny. Toto se obvykle řeší pomocí tzv. chrootu, který uzavře uživatele v jeho domovském adresáři. Nastavení je jednoduché a provedeme jej pomocí volby chroot_local_user=YES. Pokud budeme chtít nějakému uživateli zrušit chrootování v jeho domovském adresáři, tak jej můžeme umístit do souboru /etc/vsftpd.chroot_list (každého uživatele na samostatný řádek) daném direktivou chroot_list_file a ještě musíme povolit volbu chroot_list_enable=YES. V případě, že nastavíme výše uvedenou direktivu chroot_local_user=NO, tak se soubor /etc/vsftpd.chroot_list stane seznamem uživatelů, kteří budou chrootovaní a všichni ostatní uživatelé neuvedení v tomto souboru chrootovaní nebudou. Jakou možnost zvolíme záleží podle situace.

Stejně jako u anonymních uživatelů, tak i pro lokální uživatele můžeme limitovat přenosové rychlosti v Bytech/s a to direktivou local_max_rate.

Případně můžeme limitovat maximální počet klientů, kteří se mohou k našemu FTP serveru současně přihlásit (to platí samozřejmě jak pro lokální, tak pro anonymní uživatele) a to direktivou max_clients nebo můžeme omezit počet současně přihlášených klientů z jedné IP adresy k čemuž slouží direktiva max_per_ip. Tyto dvě volby lze uplatnit pouze při běhu serveru v tzv. "standalone" módu, tedy při nastavené direktivě listen=YES. V případě, že se vsftpd spouští přes xinetd, tak lze tyto volby nastavit přímo v tomto obslužném démonu.