Installation et configuration d'un serveur FTP : Pure-ftpd

Pour installer un serveur de bases de données Mysql, se connecter en tant que root et lancer la commande suivante :

apt-get install mysql-server

L'installeur du serveur Mysql vous demande d'entrer un mot de passe pour l'utilisateur administrateur de la base de données (root). Entrez un mot de passe 2x et terminez l'installation. Voilà, votre serveur Mysql est installé !

Il existe différentes versions de Pure-ftpd. Nous allons installer la version mysql, car nous utiliserons une authentification par base de données avec les utilisateurs virtuels.

apt-get install pure-ftpd-mysql

Nous allons créer un utilisateur Mysql afin de ne pas utiliser l'utilisateur administrateur de Mysql.

Connexion à la base de données en tant qu'administrateur de la base de données (root) :

$ mysql -u root -p

Entrez le mot de passe administrateur Mysql que vous avez défini lors de l'installation du serveur de base de données. Vous êtes maintenant connecté en CLI au serveur Mysql, en tant qu'administrateur tout puissant. À présent, nous allons créer un nouvel utilisateur Mysql avec des droits restreints :

CREATE USER 'USER_MYSQL_A_CREER'@'localhost' IDENTIFIED BY 'MON_MOT_DE_PASSE';

GRANT USAGE ON * . * TO 'USER_MYSQL_A_CREER'@'localhost' IDENTIFIED BY 'MON_MOT_DE_PASSE'
WITH MAX_QUERIES_PER_HOUR 0 MAX_CONNECTIONS_PER_HOUR 0 MAX_UPDATES_PER_HOUR 0 MAX_USER_CONNECTIONS 0 ;

On crée une base de données en donnant les droits sur cette base au nouvel utilisateur Mysql :

CREATE DATABASE IF NOT EXISTS NOM_BASE_DE_DONNEES;

GRANT ALL PRIVILEGES ON NOM_BASE_DE_DONNEES.* TO 'USER_MYSQL_A_CREER'@'localhost';

On crée une table utilisateur pour Pure-ftpd et son schéma :

CREATE TABLE users (User varchar(16) NOT NULL default '',
Password varchar(64) NOT NULL default '',
Uid varchar(11) NOT NULL default '',
Gid varchar(11) NOT NULL default '',
Dir varchar(128) NOT NULL default '',
PRIMARY KEY (User)
);

À présent, nous allons configurer la connexion à la base de données.
Le fichier à éditer est /etc/pure-ftpd/db/mysql.conf .
Différentes méthodes de stockage des mots de passe en base sont proposées : cleartext, crypt, md5 et password.

Nous en profitons aussi pour spécifier que les mots de passe des comptes FTP devront être chiffrés^(iv) (dans cet exemple en md5).
Le chiffrement des mots de passe s'explique facilement. En effet, s'il arrivait qu'une personne mal intentionnée ou qu'une faille permette d'accéder au contenu de la base de données, la personne aurait la possibilité de se connecter sans problème aux différents espaces de stockage FTP, grâce aux mots de passe en clair.

Le chiffrement des mots de passe offre donc une couche de sécurité dans le stockage des informations de connexion, car un hash a pour but d'être irréversible (en théorie).

Renseignez les champs suivants :

# Mandatory : user to bind the server as.

MYSQLUser       USER_MYSQL_A_CREER

# Mandatory : user password. You must have a password.

MYSQLPassword   MON_MOT_DE_PASSE

# Mandatory : database to open.

MYSQLDatabase   NOM_BASE_DE_DONNEES

# Mandatory : how passwords are stored
# Valid values are : "cleartext", "crypt", "md5" and "password"
# ("password" = MySQL password() function)
# You can also use "any" to try "crypt", "md5" *and* "password"

MYSQLCrypt      md5

Par défaut, le serveur Pure-ftpd permet la connexion ftp grâce aux utilisateurs Unix de la machine. Nous allons supprimer cette option afin de sécuriser les accès aux ftp et n'autoriser que les connexions par les utilisateurs virtuels inclus dans la base.

Pour cela, nous allons dans le répertoire /etc/pure-ftpd/conf et éditons le fichier UnixAuthentication en plaçant sa valeur à « no » :

echo no > /etc/pure-ftpd/conf/UnixAuthentication

Il peut être utile de changer les permissions des dossiers et fichiers sur un FTP. Avec Pure-ftpd, il est possible de définir un umask différent pour les dossiers et les fichiers. Cela se fait en créant un fichier Umask dans /etc/pure-ftpd/conf et en y écrivant les valeurs des umasks désirés, dans l'ordre fichier-dossier.

echo "133 022" > /etc/pure-ftpd/conf/Umask

Avec les umasks 133 et 022, les fichiers déposés sur le ftp auront comme droits 644 et les dossiers 755.

Par défaut, en se connectant par ftp au serveur, il est possible de remonter dans l'arborescence, jusqu'au « / ». Afin de restreindre l'accès aux utilisateurs ftp à leur répertoire racine personnel, il faut activer l'option « Chroot » dans la configuration de Pure-ftpd. Encore une fois, cela se fait par le biais un fichier dans le dossier /etc/pure-ftpd/conf :

echo yes > /etc/pure-ftpd/conf/ChrootEveryone

Il peut être utile de visualiser les fichiers cachés sur le système de fichiers, ces fameux fichiers commençant par un « . », par exemple les fichiers .htaccess que l'on peut trouver sur certains sites web. On peut forcer leur affichage en passant une nouvelle option au serveur Pure-ftpd. Dans ce cas, on crée un nouveau fichier de configuration dans /etc/pure-ftpd/conf :

echo yes > /etc/pure-ftpd/conf/DisplayDotFiles

Certaines applications web telles que Joomla offrent la possibilité d'installer des modules directement depuis le back-office. Un problème de permissions peut être rencontré pour installer ces modules. En effet, l'utilisateur pris en compte par l'application pour installer ces modules est l'utilisateur du serveur web, par exemple www-data s'il s'agit d'un serveur web apache.

Dans ce cas, donnez les droits à l'utilisateur du serveur web au niveau du répertoire web racine et à tout son contenu à l'aide de la commande « chown ». Ensuite, pour que vous puissiez à la fois uploader sans problème et installer des modules depuis le back-office, autorisez le serveur Pure-ftpd à se connecter en tant que l'utilisateur du serveur web. Puis notez l'UID de l'utilisateur système du serveur web (www-data) et dire au serveur FTP qu'il autorise cet UID à se connecter. Encore une fois, tout se passe dans le répertoire /etc/pure-ftpd/conf. L'UID de www-data étant 33, il faut autoriser l'utilisateur 33 à se connecter :

echo 33 > /etc/pure-ftpd/conf/MinUID

Pure-ftpd propose un nombre impressionnant d'options afin de customiser à souhait son serveur FTP. Je vous invite à lire la documentationDocumentation de Pure-ftpd de Pure-ftpd.

En voici un extrait, présentant les options existantes :

--(switches sorted by ##GNU-style long switches## lexical order)--

-W  --allowanonymousfxp
-z  --allowdotfiles
-w  --allowuserfxp  
-O  --altlog                <format>:<log file>
-t  --anonymousbandwidth    <bandwidth (KB/s)>
-M  --anonymouscancreatedirs    
-i  --anonymouscantupload
-e  --anonymousonly 
-q  --anonymousratio        <upload ratio>:<download ratio>
-s  --antiwarez 
-r  --autorename

-S  --bind                  <ip address,port>
-b  --brokenclientscompatibility    

-À  --chrooteveryone
-9  --clientcharset         <charset>
-j  --createhomedir
-Z  --customerproof

-B  --daemonize 
-D  --displaydotfiles   
-H  --dontresolve   

-Y  --tls                   <0:no TLS | 1:TLS+cleartext | 2:enforce TLS |
                             3:enforce encrypted data channel as well>

-P  --forcepassiveip        <ip address>
-F  --fortunesfile          <file>
-8  --fscharset             <charset>

-h  --help  

-4  --ipv4only
-6  --ipv6only

-K  --keepallfiles

-l  --login                 <auth> or <auth>:<config file>
-1  --logpid                <file>
-L  --limitrecursion        <number:number>

-c  --maxclientsnumber      <number>
-C  --maxclientsperip       <number>
-k  --maxdiskusagepct       <percentage>
-I  --maxidletime           <time (min)>
-m  --maxload               <load>
-u  --minuid                <uid>

-N  --natmode
-E  --noanonymous   
-R  --nochmod
-G  --norename
-0  --notruncate

-v  --bonjour               <name>

-p  --passiveportrange      <minport:maxport>
-y  --peruserlimits         <per user max>:<max anonymous sessions>
-g  --pidfile               <path to pid file>
-X  --prohibitdotfilesread  
-x  --prohibitdotfileswrite 

-f  --syslogfacility        <facility>

-a  --trustedgid            <gid>
-V  --trustedip             <ip address>

-U  --umask                 <mask>
-o  --uploadscript
-T  --userbandwidth         <bandwidth (KB/s)> or [<up bw>]:[<down bw>]
-Q  --userratio             <upload ratio>:<download ratio>

La syntaxe des options ci-dessus est celle que l'on peut utiliser dans la commande de démarrage de Pure-ftpd.
Pour que ces options soient prises en compte à chaque démarrage du serveur, on utilise les fichiers de configuration comme présentés dans les sous-sections du titre V.
Par exemple, pour limiter le nombre de clients à 30 lors d'un démarrage du serveur, on utilise la commande avec l'option « -C 30 ». Afin que cette commande soit prise en compte à chaque démarrage du serveur, il faut créer un fichier dans /etc/pure-ftpd/conf/ s'appelant : MaxClientsNumber et y spécifier le nombre d'utilisateurs désirés.

echo 30 > /etc/pure-ftpd/conf/MaxClientsNumber

Inetd est un démon qui active un service à la demande, lorsqu'un client tente de s'y connecter. Son avantage initial et principal est de n'allouer des ressources qu'en cas de besoin. En effet, contrairement aux démons qui utilisent des ressources système en continu par le biais de processus permanents parfois peu actifs, inetd écoute le port d'un service, dans l'attente d'une demande de connexion cliente. Lorsqu'une demande de connexion arrive, inetd active le service en lançant de nouveaux processus le temps de répondre aux requêtes clientes. Lorsque les connexions clientes sont terminées, les processus créés sont tués.

Du fait de son fonctionnement, inetd est souvent appelé « super-serveur », car il peut gérer à lui seul toutes les composantes serveur.

Il peut donc être intéressant d'utiliser inetd pour un service qui ne serait que rarement utilisé et/ou qui serait très gourmand en ressources afin de ménager votre machine. Cependant, le lancement du service prend du temps, la réponse à la requête cliente prend donc elle aussi plus de temps. C'est pourquoi, pour un service qui est utilisé fréquemment, la solution inetd n'est pas préconisée, le mode standalone est à privilégier.

Pour démarrer le serveur Pure-ftpd en tant que service, il faut éditer le fichier /etc/defaults/pure-ftpd-common et placer le champ STANDALONE_OR_INETD à inetd :

# STANDALONE_OR_INETD
# valid values are "standalone" and "inetd".
# Any change here overrides the setting in debconf.
STANDALONE_OR_INETD=inetd

Ensuite, pour démarrer et arrêter le serveur, utiliser la commande suivante :

/etc/init.d/openbsd-inetd start
# ou
/etc/init.d/openbsd-inetd stop

Pour démarrer le serveur Pure-ftpd en tant que démon, il faut éditer le fichier /etc/defaults/pure-ftpd-common et placer le champ STANDALONE_OR_INETD à standalone :

# STANDALONE_OR_INETD
# valid values are "standalone" and "inetd".
# Any change here overrides the setting in debconf.
STANDALONE_OR_INETD=standalone

Ensuite, pour démarrer et arrêter le serveur, utiliser la commande suivante :

/etc/init.d/pure-ftpd-mysql start
# ou
/etc/init.d/pure-ftpd-mysql stop