CentOS 7 : VSFTPD로 FTP Server 설정 방법, 예제, 명령어

FTP(파일 전송 프로토콜)는 사용자가 원격 네트워크로 파일을 전송하거나 원격 네트워크에서 파일을 전송할 수 있도록 하는 표준 클라이언트-서버 네트워크 프로토콜입니다.

Linux에서 사용할 수 있는 몇 개의 오픈 소스 FTP 서버가 있습니다. 대중적이고 널리 사용되는 것은 PureFTPD, ProFTPD 및 vsftpd입니다.

이 튜토리얼에서는 CentOS 7에 vsftpd(Very Secure Ftp Daemon)를 설치합니다. 안정적이고 안전하며 빠른 FTP 서버입니다. 또한 vsftpd를 구성하여 사용자를 홈 디렉토리로 제한하고 SSL/TLS를 사용하여 전체 전송을 암호화하는 방법도 보여 드리겠습니다. 

보다 안전하고 빠른 데이터 전송을 위해 SCP 또는 SFTP를 사용합니다.

 

 

CentOS 7 : VSFTPD로 FTP Server 설정 방법, 예제, 명령어

 

 

전제조건

이 튜토리얼을 계속하기 전에 sudo 권한을 가진 사용자로 로그인했는지 확인하십시오.

 

 

 

CentOS 7 vsftpd 설치

vsftpd 패키지는 기본 CentOS 리포지토리로 설치하려면 다음 명령을 실행합니다. 

sudo yum install vsftpd

 

 

패키지가 설치되면 vsftpd 데몬을 시작하고 부팅 시 자동으로 시작되도록 설정합니다.

sudo systemctl start vsftpd
sudo systemctl enable vsftpd

 

 

상태를 인쇄하여 vsftpd 서비스가 실행 중인지 확인할 수 있습니다.

vsftpd 서비스가 활성 상태이고 실행 중임을 나타내는 출력은 다음과 같습니다.

sudo systemctl status vsftpd

# ● vsftpd.service - Vsftpd ftp daemon
#    Loaded: loaded (/usr/lib/systemd/system/vsftpd.service; enabled; vendor preset: disabled)
#    Active: active (running) since Thu 2018-11-22 09:42:37 UTC; 6s ago
#  Main PID: 29612 (vsftpd)
#    CGroup: /system.slice/vsftpd.service
#            └─29612 /usr/sbin/vsftpd /etc/vsftpd/vsftpd.conf

 

 

 

vsftpd 구성

vsftpd 서비스를 구성하려면 /etc/vsftpd/vsftpd.conf 구성 파일을 편집해야 합니다. 대부분의 설정은 구성 파일 내부에 잘 문서화되어 있습니다. 사용 가능한 모든 옵션을 보려면 공식 vsftpd 페이지를 방문하십시오.

다음 섹션에서는 보안 vsftpd 설치를 구성하는 데 필요한 몇 가지 중요한 설정에 대해 설명합니다.

vsftpd 구성 파일을 여는 것부터 시작합니다.

sudo nano /etc/vsftpd/vsftpd.conf

 

 

1. FTP 액세스

FTP 서버에 로컬 사용자만 액세스할 수 있도록 허용하고, anonymous_enable 및 local_enable 지침을 찾아 아래 행과 구성이 일치하는지 확인합니다.

# /etc/vsftpd/vsftpd.conf

anonymous_enable=NO
local_enable=YES

 

 

2. 업로드 활성화

파일 업로드 및 삭제와 같은 파일 시스템 변경을 허용하려면 write_enable 설정을 해제하십시오.

# /etc/vsftpd/vsftpd.conf

chroot_local_user=YES

 

 

 

3. Chroot Jail

FTP 사용자가 chroot 지시문을 주석 처리하여 홈 디렉토리 외부에 있는 파일에 액세스하지 못하도록 합니다. 

# /etc/vsftpd/vsftpd.conf

user_sub_token=$USER
local_root=/home/$USER/ftp

 

 

기본적으로 chroot를 사용하도록 설정한 경우 vsftpd는 사용자가 잠긴 디렉토리가 쓰기 가능한 경우 파일 업로드를 거부합니다. 이는 보안 취약성을 방지하기 위한 것입니다.

다음 방법 중 하나를 사용하여 chroot를 사용하도록 설정한 경우 업로드할 수 있습니다.

방법 1. - 업로드를 허용하는 권장 방법은 chroot를 사용하도록 설정하고 FTP 디렉토리를 구성하는 것입니다. 이 튜토리얼에서는 사용자 홈 내에 chroot 역할을 하는 ftp 디렉토리와 파일 업로드를 위한 쓰기 가능한 업로드 디렉토리를 생성합니다.

# /etc/vsftpd/vsftpd.conf

user_sub_token=$USER
local_root=/home/$USER/ftp

 

 

방법 2. - 다른 옵션은 vsftpd 구성 파일에 다음 지시어를 추가하는 것입니다. 사용자에게 홈 디렉토리에 쓰기 가능한 액세스 권한을 부여해야 하는 경우 이 옵션을 사용합니다.

# /etc/vsftpd/vsftpd.conf

allow_writeable_chroot=YES

 

 

4. 패시브 FTP 연결

vsftpd는 모든 포트를 수동 FTP 연결에 사용할 수 있습니다. 포트의 최소 및 최대 범위를 지정하고 나중에 방화벽에서 범위를 엽니다.

구성 파일에 다음 줄을 추가하십시오.

# /etc/vsftpd/vsftpd.conf

pasv_min_port=30000
pasv_max_port=31000

 

 

5. 사용자 로그인 제한

특정 사용자만 FTP 서버에 로그인할 수 있도록 하려면 userlist_enable= 다음에 다음 줄을 추가하십시오.

# /etc/vsftpd/vsftpd.conf

userlist_file=/etc/vsftpd/user_list
userlist_deny=NO

 

 

이 옵션을 사용하도록 설정한 경우 /etc/vsftpd/user_list 파일에 사용자 이름을 추가하여 로그인할 수 있는 사용자를 명시적으로 지정해야 합니다.

 

 

6. SSL/TLS로 전송 보호

SSL/TLS를 사용하여 FTP 전송을 암호화하려면 SSL 인증서가 있어야 하며 이를 사용하도록 FTP 서버를 구성해야 합니다.

신뢰할 수 있는 인증 기관에서 서명한 기존 SSL 인증서를 사용하거나 자체 서명된 인증서를 생성할 수 있습니다.

FTP 서버의 IP 주소를 가리키는 도메인 또는 하위 도메인이 있는 경우 무료 SSL 암호화 인증서를 쉽게 생성할 수 있습니다.

이 튜토리얼에서는 openssl 명령을 사용하여 자체 서명된 SSL 인증서를 생성합니다.

다음 명령은 10년 동안 유효한 2048비트 개인 키와 자체 서명된 인증서를 생성합니다. 개인 키와 인증서는 모두 동일한 파일에 저장됩니다.

sudo openssl req -x509 -nodes -days 3650 -newkey rsa:2048 -keyout /etc/vsftpd/vsftpd.pem -out /etc/vsftpd/vsftpd.pem

 

 

SSL 인증서가 생성되면 다음과 같이 하십시오.

SSL 인증서가 생성되면 vsftpd 구성 파일을 엽니다.

rsa_cert_file 및 rsa_private_key_file 지시문을 찾아 pam 파일 경로로 변경하고 ssl_enable 지시문을 YES로 설정합니다.

# /etc/vsftpd/vsftpd.conf

rsa_cert_file=/etc/vsftpd/vsftpd.pem
rsa_private_key_file=/etc/vsftpd/vsftpd.pem
ssl_enable=YES

 

 

 

달리 지정하지 않으면 FTP 서버는 TLS만 사용하여 보안 연결을 만듭니다.

 

 

 

vsftpd 서비스 다시 시작

편집을 마치면 vsftpd 구성 파일(주석 제외)은 다음과 같은 모양으로 표시됩니다.

# /etc/vsftpd/vsftpd.conf

anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
chroot_local_user=YES
listen=NO
listen_ipv6=YES
pam_service_name=vsftpd
userlist_enable=YES
userlist_file=/etc/vsftpd/user_list
userlist_deny=NO
tcp_wrappers=YES
user_sub_token=$USER
local_root=/home/$USER/ftp
pasv_min_port=30000
pasv_max_port=31000
rsa_cert_file=/etc/vsftpd/vsftpd.pem
rsa_private_key_file=/etc/vsftpd/vsftpd.pem
ssl_enable=YES

 

 

파일을 저장하고 vsftpd 서비스를 다시 시작하여 변경 내용을 적용합니다.

sudo systemctl restart vsftpd

 

 

 

방화벽 열기

방화벽을 실행하는 경우 FTP 트래픽을 허용해야 합니다.

포트 21(FTP 명령 포트), 포트 20(FTP 데이터 포트) 및 30000-31000(패시브 포트 범위)을 열려면 다음 명령을 실행합니다.

sudo firewall-cmd --permanent --add-port=20-21/tcp
sudo firewall-cmd --permanent --add-port=30000-31000/tcp

 

 

다음을 입력하여 방화벽 규칙을 다시 로드합니다.

firewall-cmd --reload

 

 

 

FTP 사용자 생성

FTP 서버를 테스트하기 위해 새 사용자를 생성합니다.

FTP 액세스 권한을 부여할 사용자가 이미 있는 경우 첫 번째 단계를 건너뜁니다.

allow_writeable_chroot=을(를) 설정하는 경우입니다.구성 파일의 YES는 세 번째 단계를 건너뜁니다.

newftpuser라는 새 사용자를 생성합니다.

sudo adduser newftpuser

 

 

그런 다음 사용자 암호를 설정해야 합니다.

sudo passwd newftpuser

 

 

사용자를 허용된 FTP 사용자 목록에 추가합니다.

echo "newftpuser" | sudo tee -a /etc/vsftpd/user_list

 

 

 

FTP 디렉터리 트리를 만들고 올바른 사용 권한을 설정하십시오.

sudo mkdir -p /home/newftpuser/ftp/upload
sudo chmod 550 /home/newftpuser/ftp
sudo chmod 750 /home/newftpuser/ftp/upload
sudo chown -R newftpuser: /home/newftpuser/ftp

 

 

이전 섹션에서 설명한 대로 사용자는 파일을 ftp/업로드 디렉토리에 업로드할 수 있습니다.

이 때 FTP 서버가 완전히 작동하며 FileZilla와 같은 TLS 암호화를 사용하도록 구성할 수 있는 FTP 클라이언트를 사용하여 서버에 연결할 수 있어야 합니다.

셸 액세스를 사용하지 않도록 설정하는 중입니다.

기본적으로 사용자를 생성할 때 명시적으로 지정하지 않으면 사용자가 서버에 대한 SSH 액세스 권한을 가집니다.

셸 액세스를 비활성화하기 위해 사용자에게 계정이 FTP 액세스로만 제한되었음을 알리는 메시지를 인쇄하는 새 셸을 만듭니다.

다음 명령을 실행하여 /bin/ftp 전용 셸을 생성하고 실행할 수 있도록 합니다.

echo -e '#!/bin/sh\necho "This account is limited to FTP access only."' | sudo tee -a  /bin/ftponly
sudo chmod a+x /bin/ftponly

 

 

/etc/shell 파일의 유효한 셸 목록에 새 셸을 추가합니다.

echo "/bin/ftponly" | sudo tee -a /etc/shells

 

 

사용자 셸을 /bin/ftp 전용으로 변경합니다.

sudo usermod newftpuser -s /bin/ftponly

 

 

FTP 액세스 권한만 부여할 다른 사용자의 셸을 변경하려면 동일한 명령을 사용하십시오.