<!doctype linuxdoc system>
<!-- Nagekeken door Nine Matthijssen, smurfin@nl.linux.org -->
<linuxdoc>
<article>
<titlepag>

<!-- Title Info -->


<title>FTP Setup Tips </title>
<author><name>Will Harris, <tt>wil@redhat.com</tt> <newline>
Vertaler: Reggy Ekkebus, <tt>reggy@zeelandnet.nl</tt></name></author>
<date>v1.1, 20 april 1999.</date>
<!-- Copyright 1999, Red Hat Software -->
</titlepag>
<toc>

<sect><heading>Inleiding</heading>
<p>"Red Hat Tips" is documentatie die bedoeld is om Red Hat gebruikers te
helpen met bepaalde taken. Enkele van deze documenten zijn voor beginnende
gebruikers, andere zijn voor gevorderde gebruikers. Als je een bijdrage wilt
leveren, zend die dan naar <tt>tech-sup@redhat.com</tt>. Als je veranderingen
hebt voor een individueel Tips document, zend die dan naar de auteur van dat
document.</p>
</sect>


<sect><heading>Introductie</heading>
<p>Dit document beschrijft de configuratie voor wu-ftpd en proftpd voor
gewone gebruikers en anonieme gebruikers. 
Je moet root zijn voor dit gehele proces.

Het eerste deel gaat over het instellen van wu-ftpd en anonieme ftp.
Het tweede deel gaat over het instellen van proftpd.</p>
</sect>

<sect><heading>Voorbereiding</heading>
<p>Installeer de NetKit-B en anonftp RPM's. NetKit-B heeft de FTP server
daemon; anonftp heeft de binaries, libraries en dingen die in de FTP directory
gaan.

/home/ftp is de root directory van je FTP server. Anonftp zet het meeste
voor je op, maar er zijn nog een paar dingen die je zelf moet doen.

Je moet een kopie van <tt>/etc/passwd</tt> en <tt>/etc/group</tt> in
<tt>/home/ftp/etc</tt> zetten, zodat het <tt>/ls</tt> commando de
gebruikersnamen en groepnamen ook weergeeft.
Voor de veiligheid van je systeem moet je de gecodeerde wachtwoorden 
vervangen door sterretjes. Om <tt>/etc/passwd</tt> naar
<tt>/home/ftp/etc/passwd</tt> te kopie&euml;ren en de wachtwoorden te vervangen
door sterretjes, gebruik je dit commando: 

<tscreen><verb>
	sed -e 's/:[^:]*:/:*:/' /etc/passwd >~ftp/etc/passwd
</verb></tscreen>

In <tt>/etc/group</tt> staan onder Red Hat Linux geen wachtwoorden, dus
deze kun je gewoon kopie&euml;ren: 

<tscreen><verb>
	cp /etc/group ~ftp/etc/group
</verb></tscreen>

Een andere optie (en een goed idee voor veiligheid) is het gebruik van 
shadow passwords. Onder linux kun je dit doen door simpelweg het volgende
uit te voeren:

<tscreen><verb>
        pwconv
</verb></tscreen>

Dit commando converteert het password bestand naar shadow, vernieuwt de 
pam libs om shadow passwords te gebruiken en een permissie te zetten
op <tt>/etc/shadow</tt>. 
Als je dit doet, dan kun je gewoon de bestanden <tt>/etc/passwd</tt> en 
<tt>/etc/group</tt> kopie&euml;ren:

<tscreen><verb>
	cp /etc/passwd /etc/group ~ftp/etc/
</verb></tscreen>

Dat is dat, kijk het voor de zekerheid nog even na voor je verder gaat.

Notitie: De enige regels die we eigenlijk nu nodig hebben zijn die van de root.
</p></sect> 

<sect><heading>Beveiligen</heading>
<p>De anonftp RPM plaatst enkele binaries en libraries in de <tt>/home/ftp</tt>
directory om Ftp gebruikers dingen te laten doen zoals: 
automatisch bestanden unzippen als ze worden opgehaald of het ophalen van
een hele directory met tar bestanden. Er zijn een paar extra bestanden
geplaatst door de anonftp RPM die bijna nooit gebruikt worden en die moeten
worden verwijderd om de veiligheid te bevorderen.

<tscreen><verb>
	cd /home/ftp/bin
	rm cpio sh zcat
	cd ../etc
	rm ld.so.cache
	cd ../lib
	rm ld.so* libtermcap*
</verb></tscreen>

Tot slot moet je de permissies van bestanden veranderen om de veiligheid
te bevorderen.

<tscreen><verb>
	chmod 111 ~ftp/bin/* ~ftp/bin ~ftp/etc ~ftp/lib
	chmod 444 ~ftp/etc/*
	chmod 555 ~ftp ~ftp/lib/*
</verb></tscreen>

Als je klaar bent moet je het volgende hebben:

<tscreen><verb>
	bin:
	total 164
	---x--x--x   1 root     root        14776 Oct 31 09:54 compress
	---x--x--x   1 root     root        45277 Oct 29 21:59 gzip
	---x--x--x   1 root     root        22977 Oct 29 20:07 ls
	---x--x--x   1 root     root        77873 Oct 25 17:49 tar
</verb></tscreen>

<tscreen><verb>
	etc:
	total 2
	-r--r--r--   1 root     root          495 Mar 20 19:46 group
	-r--r--r--   1 root     root          921 Mar 20 19:45 passwd
</verb></tscreen>

<tscreen><verb>
	lib:
	total 702
	-r-xr-xr-x   1 root     root        20994 Oct 30 18:58 ld-linux.so.1
	-r-xr-xr-x   1 root     root        20994 Oct 30 18:58 ld-linux.so.1.7.5
	lrwxrwxrwx   1 root     root           13 Mar 20 19:43 libc.so.5 -> libc.so.5.0.9
	-r-xr-xr-x   1 root     root       669157 Oct 30 19:53 libc.so.5.0.9
</verb></tscreen>

Als er bestanden ontbreken, begin dan opnieuw en herinstalleer de anonftp
RPM. Om de permissies te zien als hierboven typ:

<tscreen><verb>
	ls -al
</verb></tscreen>

Nu alles veilig is moet je de <tt>/pub</tt> directory aanmaken
waar je de bestanden zet voor de anonieme ftp. 

<tscreen><verb>
	mkdir ~ftp/pub
	chmod 555 ~ftp/pub
</verb></tscreen>

Plaats elk bestand dat je wilt aanbieden via FTP in de <tt>/pub</tt>
directory. Je mag ook subdirectory's aanmaken in de <tt>/pub</tt> directory.

Voor de veiligheid en om zeker te weten dat anonieme gebruikers ook 
de bestanden kunnen lezen, doe dan dit met elk bestand en elke directory: 


<tscreen><verb>
	chmod 444 (naam van het bestand)
	chmod 555 (naam van de directory)
</verb></tscreen>

Een 'incoming' directory is af te raden, omdat je dan last kunt hebben van
software piraterij. Sommige mensen zetten dan software op je site, waar je voor
moet betalen en de houder van de site krijgt dan een bekeuring, omdat die 
verantwoordelijk is voor de dingen die op de site staan. Als het echt
nodig is doe dan dit: 
<tscreen><verb>
	mkdir ~ftp/incoming
	chmod 333 incoming
</verb></tscreen>

De mode 333 betekent dat ze alleen in de directory kunnen schrijven en niet
lezen.

Dat was het! Voor de veiligheid: zorg dat alles in <tt>/home/ftp</tt>
niet te schrijven is.

<tscreen><verb>
	chmod -R a-w ~ftp
</verb></tscreen>

(Je mag als root nog wel in de directory schrijven).
</p></sect>

<sect><heading>ProFTPd Setup</heading>
<p> OK, voor degenen die ProFTPd willen: eerst kijken of je de nieuwste 
versie hebt.

	<tt><url url="ftp://ftp.proftpd.org"name="ProFTPd"></tt> 

voor de RPM (Opmerking: Deze worden niet onderhouden door RedHat Software).

	<tt><url url="ftp://rhcn.redhat.com/pub/rhcn/RPMS/"name="ProFTPd
RPM"></tt>

Als je het pakket eenmaal gedownload en ge&iuml;nstalleerd hebt via een van de
methoden.

(Onthoud: Om proftpd te installeren via rpm moet je de wu-ftpd en anonftp wegdoen.) 
Je moet het configuratiebestand aanpassen voor je site.
Als je de RHCN rpm gebruikte, staat het configuratiebestand in
<tt>/etc/proftpd.conf</tt>.  Als je hem zelf gecompileerd hebt, staat het
configuratiebestand in: <tt>/usr/local/etc/proftpd.conf</tt>.

Nu voor de configuratie: open het configuratiebestand met een editor naar keuze. 
Het bestand ziet er ongeveer uit als hieronder:

<tscreen><verb>
	# This is a basic ProFTPD configuration file (rename it to
	# 'proftpd.conf' for actual use.  It establishes a single server
	# and a single anonymous login.  It assumes that you have a user/group
	# "nobody" and "ftp" for normal operation and anon.

	ServerName                      "ProFTPD Default Installation"
	ServerType                      standalone
	DefaultServer                   on

	# Port 21 is the standard FTP port.
	Port                            21
	# Umask 022 is a good standard umask to prevent new dirs and files
	# from being group and world writable.
	Umask                           022

	# To prevent DoS attacks, set the maximum number of child processes
	# to 30.  If you need to allow more than 30 concurrent connections
	# at once, simply increase this value.  Note that this ONLY works
	# in standalone mode, in inetd mode you should use an inetd server
	# that allows you to limit maximum number of processes per service
	# (such as xinetd)
	MaxInstances                    30

	# Set the user and group that the server normally runs at.
	User                            nobody
	Group                           nogroup

	# Normaal gesproken willen we dat bestanden overschrijfbaar zijn.
	&lt;Directory /*&gt;
	  AllowOverwrite                on
	&lt;/Directory&gt;

	# A basic anonymous configuration, no upload directory's.
	&lt;Anonymous ~ftp&gt;
	User                          ftp
	Group                         ftp
	# We want clients to be able to login with "anonymous" as well as "ftp"
	UserAlias                     anonymous ftp

	# Beperk het aantal anonieme logins
	MaxClients                    10

	# We want 'welcome.msg' displayed at login, and '.message' displayed
	# in each newly chdired directory.
	DisplayLogin                  welcome.msg
	DisplayFirstChdir             .message

	# Limit WRITE everywhere in the anonymous chroot
	&lt;Limit WRITE&gt;
	   DenyAll
	&lt;/Limit&gt;

	&lt;/Anonymous&gt;
</verb></tscreen>
 
Het eerste wat we doen is onze server configureren voor onze eigen site. We
beginnen met de volgende regel:

<tscreen><verb>
	ServerName                             "ProFTPD Default Installation"
</verb></tscreen>

Verander het in een zelfgekozen server naam. Bijvoorbeeld "Reggy's Ftpsite".
Dan zal het er zo uitzien:

<tscreen><verb>
	ServerName		                "Reggy's Ftpsite""
</verb></tscreen>

Daarna gaan we kijken welk servertype we nemen. Je kunt kiezen tussen een
die altijd draait of een net als de inetd deamon, dat betekent dat de server
start en stopt als de connecties komen en gaan. inetd heeft mijn voorkeur, 
dus ik verander het en dan ziet het er zo uit:

<tscreen><verb>
	ServerType			inetd
</verb></tscreen>


Onthoud: Als je het wilt starten met inetd dan moet je ook een regel aanmaken 
in <tt>/etc/inetd.conf</tt>: 


<tscreen><verb>
	ftp     stream  tcp     nowait  root    /usr/sbin/proftpd       proftpd
</verb></tscreen>

Voor stand alone moet je jezelf hier niet druk over maken. Je moet niets
veranderen aan de Port en Umask, het mag wel. Ik laat de User nobody en
verander de group ook in nobody. Dus dit gaat er zo uitzien: 

<tscreen><verb>
	User                            nobody
	Group                           nobody
</verb></tscreen>

Nu moet je een beslissing nemen over de bestanden. Ik vind het niet
leuk dat bestanden overschrijfbaar zijn, dus ik verander het in:

<tscreen><verb>
	&lt;Directory /*&gt;
	  AllowOverwrite                off
	&lt;/Directory&gt;
</verb></tscreen>

De setup voor anonymous laat ik met rust. Dit staat standaard aan, zonder dat ze 
kunnen schrijven.Er zijn nog veel meer andere opties voor ProFTPd. Kijk in de overige
documentatie voor meer opties.</p>
</sect>

<sect><heading>Overige documentatie</heading>
<p>Zie Garfinkel en Spafford, ``Practical Unix Security'' <tt><url
url="http://www.oreilly.com"name="O'Reilly and Associates."></tt>, 1996, pagina's 
487-494 voor meer info. En

<tt><url url="http://www.landfield.com/wu-ftpd/"name="wu-FTPd"></tt>

<tt><url url="http://www.proftpd.org/"name="ProFTPd"></tt>
</p>
</sect>

<sect><heading>Copyright Gegevens</heading>
<p>Dit document is auteursrechtelijk beschermd. Copyright (C) 1999 door de auteur.  
Herdistributie van dit document mag alleen als de inhoud hetzelfde
blijft. Met andere woorden, je mag dit document afdrukken en herdistribueren.
</p> 
</sect>


</article>
</linuxdoc>