TP n 2 : Installation et administration du serveur ProFTP. Partie 1 : Fonctionnement du protocole FTP (pas plus de 15min)

Transcription

1 TP n 2 : Installation et administration du serveur ProFTP Objectifs du TP Comprendre le fonctionnement du protocole FTP Installation et compilation d un paquet source Configuration, lancement et administration d un serveur ftp : ProFTP Outil et documentation: Les sources du serveur proftpd : proftpd1.3.4.tar.gz Le répertoire proftpd1.3.4 : README, INSTALL et doc/ Partie 1 : Fonctionnement du protocole FTP (pas plus de 15min) En vous aidant de la documentation, expliquer en quelques lignes le fonctionnement du protocole FTP, les ports utilisés et les modes supportés. Partie 2 : Installation d un serveur ftp (proftpd) Nous vous proposons dans cet exercice d'installer proftpd, l un des serveurs FTP les plus connus sous Unix/Linux. Pour l'installer, on peut soit : utiliser le paquet binaire (package binaire) correspondant à votre distribution linux construire les exécutables (les binaires) à partir du code source de l'application. Installation à partir d'un package binaire Un paquet est un ensemble d'archives contenant les métainformations du paquet (somme de contrôle, dépendances, scripts d'installation,...) et les données de l'application ou des bibliothèques à installer. Selon la distribution linux, il existe des outils de gestion des paquets qui permettent l installation, la désinstallation ou la configuration des paquets: Sous les distributions basées Debian (debian, ubuntu, kubuntu,...), le nom d un paquet a toujours l'extension.deb. Le gestionnaire de paquets se nomme dpkg Pour installer un paquet qui se nomme proftpd1.3.4.deb, il suffit de taper dans un terminal dpkg i proftpd1.3.4.deb. Il existe des outils basés sur dpkg, permettant une gestion simplifiée et poussée des paquets. On peut citer : APT, ou Synaptic (GUI). Par exemple, si on est connecté à internet et si le fichier /etc/apt/sources.list contient les bons dépôts de paquets il suffit de taper aptget install proftpd et le serveur proftpd sera téléchargé et installé. Sous Redhat, Fedora, Suse ou Mandriva, le gestionnaire de paquets se nomme rpm. Le nom d un paquets ont l'extension.rpm. Pour installer un paquet qui se nomme proftpd1.3.4.rpm, il suffit de taper dans un terminal rpm ivh proftpd1.3.4.rpm. Comme dans le cas de dpkg, il existe des outils, qui sont basés sur rpm, permettant une gestion simplifiée et poussée des paquets : urpmi, yum,... Par exemple, si on est connecté à internet et si le fichier /etc/yum.conf contient les bon dépôts de paquets, il suffit de taper yum install proftpd et le serveur proftpd sera téléchargé et installé. 1

2 Dans ce TP, nous vous proposons d installer le serveur proftpd directement à partir du code source de l'application. Certes, cette installation est plus complexe que l'utilisation des paquets binaires, mais lorsqu il n existe pas de paquets pour une application, c'est la seule possibilité offerte. Installation à partir du code source : Cette installation nécessite le téléchargement de l'archive compressée proftpd1.3.4.tar.gz Les étapes d'installation sont les suivantes. Décompression de l'archive. Pour décompresser une archive d extension.tar.gz (ou tgz), taper tar zxvf nomarchive. (si l'archive a une extension.tar.bz2, taper tar jxvf nomarchive) 1. Téléchargez l'archive proftpd1.3.4.tar.gz et décompresserla. Accès aux sources. Le fait de décompresser une archive, va créer un répertoire, du même nom que l archive, contenant le contenu de l archive. Ce répertoire sera créé dans votre répertoire courant. 2. Accédez à ce répertoire et listez son contenu. 3. Selon vous, quel fichier fautil lire absolument en premier? (Indication : Lisezmoi) 4. Ou se trouve les fichiers de documentations? 5. Quel est le fichier qui renseigne sur les étapes d installation? Configuration. Les paquets sources sont prévus pour pouvoir être compilés sur plusieurs platesformes. Avant la phase de compilation proprement dite, il y a une phase de configuration pendant laquelle on vérifie la présence de certains programmes et bibliothèques nécéssaires, on défini les options et positionne certains paramètres internes. Cherchez les réponses aux question suivantes dans le fichier INSTALL : 6. Quelle est la commande qui permet de configurer les paramètres de proftpd? (attention, ne le faites pas maintenant, attendez la question 13 :) 7. Par défaut, sous quel utilisateur et groupe sera installé le serveur proftpd, et comment on peut changer ces paramètres? 8. Par défaut, sous quel répertoire seront installés les commandes proftpd et ftpshut? ftpcount et ftpwho? 9. Par défaut, sous quel répertoire sera installé le fichier de configuration de proftpd? 10. Par défaut, sous quel répertoire seront installés les pages du manuel? 11. Par défaut, sous quel répertoire seront installés les fichiers des états d exécutions (logs). 12. Comment fautil procéder pour que le fichier de configuration soit installé sous /etc, les fichiers des états d'exécution sous /var et les autres fichiers sous /usr? 13. Procédez à l exécution de la configuration avec les paramètres de la question 12. 2

3 Compilation proprement dite. La phase de compilation consiste à construire à partir des sources de l'application (se trouvant sous le répertoire src/) un exécutable adapté à votre plateforme. Cet exécutable sera construit mais non encore installé dans votre système, c.àd. ne sera pas encore reconnu comme commande interne de votre système. Lors de la compilation, si des messages d erreurs apparaissent dans le terminal, ca veut dire que la compilation a rencontré des problèmes. Généralement, ces problèmes sont des problèmes de dépendances, càd que le logiciel a besoin de certaines fonctionnalités (bibliothèques) qui ne trouve pas dans votre système. 14. Quelle est la commande qui permet de lancer la phase de compilation? Procédez à la compilation. Installation de votre serveur. Une fois la phase de compilation s'est bien passée sans erreurs, l'installation des exécutables, du fichier de configuration, des fichiers d'exécution, peut être faite 15. Quelle est la commande qui permet d'installer le logiciel et quel privilège requièretelle? Procédez à l installation. 16. Comment se nomme le fichier de configuration du serveur? Ou se trouvetil dans notre cas? Partie 3 : Utilisateur nobody Par défaut le daemon proftpd se lance avec les privilèges de root et cela pose évidemment des problèmes de sécurité. C'est pourquoi il est conseillé d'utiliser un utilisateur sans droits particuliers. Le plus indiqué étant nobody du groupe nobody. 17. Essayez démarrer le serveur proftpd avec la commande : proftpd Que se passetil? Expliquez le message d erreur obtenu. 18. Modifiez le fichier de configuration /etc/proftpd.conf pour que le serveur se lance avec l utilisateur nobody et le groupe nobody Vérifiez qu il est correct avec la commande : proftpd t 19. Démarrez le serveur proftpd avec la commande : proftpd Vérifiez sous quelle identité il s exécute : ps aux grep proftpd 3

4 Partie 4 : Utilisation du serveur ftp A ce stade là, votre serveur est bien installé. Il se lance indépendamment (standalone), càd, le lancement est manuel et non automatique au démarrage de votre machine. Pour un fonctionnement de base, il n'y a rien à faire! Par défaut, le serveur utilise les comptes utilisateurs locaux dont les données sont stockées dans /etc/passwd et /etc/shadow. Un utilisateur possédant un compte sur le système peut donc s'authentifier avec ce compte à partir d'un client ftp quelconque. 20. Editez le fichier de configuration et essayer de comprendre le sens de chaque directive. 21. Examinez les ports ouverts sur votre station avec les commandes nmap localhost et lsof i P. Sur quel port le serveur proftpd écoutetil les connexions entrantes? 22. A partir d'une station Linux ou Windows ou sur le même poste, essayez de vous connecter à votre station avec un client ftp (graphique comme FileZilla,gFTP ou en mode commande avec sous le compte root et le mot de passe root. Que constatezvous? 23. Maintenant reconnectezvous en ftp sous le compte utilisateur / mot de passe user. Dans quel répertoire le serveur vous atil placé à l acceptation de votre connexion? Quels sont les répertoires auxquels vous pouvez accédez en lecture et écriture, et en lecture seule? 24. Effectuez une série de transferts dans et depuis votre répertoire personnel : du client ftp vers le serveur et du serveur vers le client (voire même vers le serveur de votre voisin) 25. A l aide de l outil «Utilisateurs et groupes» du menu «Système / Administration», créez un utilisateur test sur votre station et connectez vous au serveur ftp sous ce nouveau compte. 26. La directive UseFtpUsers qui vaut «on» ou «off» permet prendre en compte ou non le fichier /etc/ftpusers des compte utilisateurs ne pouvant pas utiliser le serveur proftpd Ajoutez cette directive et positionnerla à on Créez /etc/ftpusers s il n existe pas et ajouter tous les comptes listés dans /etc/passwd sauf utilisateur Arrêtez le serveur avec killall HUP proftpd et redémarrez le avec proftpd Testez que seul utilisateur peut se connecter au serveur proftpd 27. Enlevez le compte test de /etc/ftpusers, redémarrez le serveur et connectezvous y avec le compte utilisateur et dans une autre fenêtre avec le compte test 28. Tapez la commande ftpwho et dire son utilité. De même pour ftptop 29. Examinez les logs de transactions (téléchargements) du serveur proftpd Pour cela, faire d abord man xferlog, puis lire le fichier de log /var/log/xferlog. Comparez ce que la commande ftpstats vous donne et ce qui est dans ce fichier. 4

5 Partie 5 : Gestion de l accès à un site Web (optionnel) Dans cette partie, on suppose que sur la même station un serveur ftp et serveur Apache sont hébergés. On vous propose de gérer à l accès des utilisateurs authentifiés au serveur ftp désirant configurer leur site web personnel ou le site web principal. Il apparait absolument nécessaire de parfaire le paramétrage actuel du serveur ftp. Les clients authentifiés peuvent naviguer partout, en remontant jusqu'à la racine du système de fichier!! Ils peuvent ainsi pratiquement télécharger tout ce qui peut se lire. Cette partie peut être vue comme une suite de TP sur Apache (Cela suppose que vous avez déjà installé Apache dans votre machine, pour cela reportezvous au TP n 1). Commencer prudemment par faire une copie de sauvegarde du fichier de configuration /etc/proftpd.conf. 30. Limitez l'accès des clients du serveur à leur répertoire personnel. Ne pas oublier de relancer le serveur après chaque changement dans proftdpd.conf. 31. On veut limiter l'accès des utilisateurs (et donc la mise en ligne de fichiers) aux sousrépertoires accueillant le site web d un utilisateur. Comment procèdeton dans ce cas? 32. Créer un nouveau compte stagiaire avec le mot de passe de votre choix. 33. La politique de votre établissement veut que ce stagiaire ne puisse utiliser ce serveur ftp. Comment doiton procéder pour interdire son accès au serveur? Testez. 34. Créer un nouveau compte web destiné au webmaster du site WEB 35. Faire en sorte que son répertoire personnel soit le site web principal : /var/wwww 36. Accorder à web les droits Linux de propriété de groupe sur toute cette arborescence. 37. L'utilisateur web peutil bien accéder en lectureécriture à l'ensemble du site? 38. Interdire l'accès au répertoire /var/www/prive comme suivant et testez. # Accès # refuser l'accès de web dans /var/www/prive <Directory /var/www/prive> <Limit ALL> DenyAll </Directory> 5

6 Partie 6 : Accès en anonymous (optionnel) On souhaite permettre le téléchargement de ressources, dans un répertoire dédié à cela pour des utilisateurs "anonymes" (sans exigence d'authentification). Pour cela, Il faut créer la section anonymous pour que les clients puissent se connecter comme anonymous sans authentification. 39. Vérifiez l existence d un compte ftp sans shell, faisant partie du groupe ftp et ayant comme répertoire personnel /var/ftp (pour le vérifier, examinez les fichiers /etc/passwd et /etc/group) 40. L'utilisateur anonymous sera défini comme un alias du compte ftp, et on limitera à 10 connexions maximum simultanées. Voici une configuration de base, permettant le téléchargement à partir du répertoire /var/ftp, et les dépôts sans droit de lecture (uploads) dans /var/ftp/depot <Anonymous ~ftp> User ftp Group nogroup # pour que anonymous soit considéré comme un alias de ftp UserAlias anonymous ftp MaxClients 10 "désolé, au maximum %m connexions!" # pas de shell RequireValidShell off # sans mot de passe AnonRequirePassword off # PAS de droit d'écriture en général <Directory /home/ftp> <Limit WRITE> DenyAll </Directory> # le sousrép. depot est en écriture seule <Directory /home/ftp/depot> <Limit READ> DenyAll #écriture de fichiers depuis un client vers notre serveur proftpd <Limit STOR> AllowAll </Directory> </Anonymous> 41. Complétez /etc/proftpd.conf (voir cidessus), et relancez le serveur. 42. Essayiez de vous connecter avec le compte anonymous Quel est le répertoire racine alors accessible? Peuton y écrire? 43. Observez les propriétés et les permissions du sousrépertoire /var/ftp. 44. Créez le sousrépertoire /var/ftp/depot avec les mêmes permissions que sur /var/ftp. 45. Testez en anonymous le dépôt de document dans /var/ftp puis dans ses 2 sousrep. 46. Quelqu'un (anonyme ou authentifié) peutil récupérer un tel document déposé? 47. Alors qui va récupérer ces documents? 48. Créez un compte admin (Admin du FTP), qui appartienne au groupe primaire ftp, et dont le répertoire personnel soit /var/ftp. 49. Ouvrir une session FTP comme admin et tester ses prérogatives. 6