release/src/router/vsftpd/EXAMPLE/INTERNET_SITE/README

   1 This example shows how you might set up a (possibly large) internet facing
   2 FTP site.
   3
   4 The emphasis will be on security and performance.
   5
   6 We will see how by integrating vsftpd with xinetd, we get a powerful
   7 combination.
   8
   9 Step 1) Set up your xinetd configuration file.
  10
  11 An example xinetd configuration file "vsftpd.xinetd" is supplied.
  12 To install it:
  13
  14 cp vsftpd.xinetd /etc/xinetd.d/vsftpd
  15
  16 Let's look at the important content in this file and see what it does:
  17
  18 disable                 = no
  19 socket_type             = stream
  20 wait                    = no
  21
  22 This says that the service is active, and it is using standard TCP sockets.
  23
  24 user                    = root
  25 server                  = /usr/local/sbin/vsftpd
  26
  27 The server program /usr/local/sbin/vsftpd is used to handle incoming FTP
  28 requests, and the program is started as root (vsftpd will of course quickly
  29 drop as much privilege as possible). NOTE! Make sure that you have the vsftpd
  30 binary installed in /usr/local/sbin (or change the file path in the xinetd
  31 file).
  32
  33 per_source              = 5
  34 instances               = 200
  35
  36 For security, the maximum allowed connections from a single IP address is 5.
  37 The total maximum concurrent connections is 200.
  38
  39 no_access               = 192.168.1.3
  40
  41 As an example of how to ban certain sites from connecting, 192.168.1.3 will
  42 be denied access.
  43
  44 banner_fail             = /etc/vsftpd.busy_banner
  45
  46 This is the file to display to users if the connection is refused for whatever
  47 reason (too many users, IP banned).
  48
  49 Example of how to populate it:
  50 echo "421 Server busy, please try later." > /etc/vsftpd.busy_banner
  51
  52 log_on_success          += PID HOST DURATION
  53 log_on_failure          += HOST
  54
  55 This will log the IP address of all connection attempts - successful or not,
  56 along with the time. If an FTP server is launched for the connection, it's
  57 process ID and usage duration will be logged too. If you are using RedHat
  58 like me, this log information will appear in /var/log/secure.
  59
  60
  61 Step 2) Set up your vsftpd configuration file.
  62
  63 An example file is supplied. Install it like this:
  64
  65 cp vsftpd.conf /etc
  66
  67 Let's example the contents of the file:
  68
  69 # Access rights
  70 anonymous_enable=YES
  71 local_enable=NO
  72 write_enable=NO
  73 anon_upload_enable=NO
  74 anon_mkdir_write_enable=NO
  75 anon_other_write_enable=NO
  76
  77 This makes sure the FTP server is in anonymous-only mode and that all write
  78 and upload permissions are disabled. Note that most of these settings are
  79 the same as the default values anyway - but where security is concerned, it
  80 is good to be clear.
  81
  82 # Security
  83 anon_world_readable_only=YES
  84 connect_from_port_20=YES
  85 hide_ids=YES
  86 pasv_min_port=50000
  87 pasv_max_port=60000
  88
  89 These settings, in order
  90 - Make sure only world-readable files and directories are served.
  91 - Originates FTP port connections from a secure port - so users on the FTP
  92 server cannot try and fake file content.
  93 - Hide the FTP server user IDs and just display "ftp" in directory listings.
  94 This is also a performance boost.
  95 - Set a 50000-60000 port range for passive connections - may enable easier
  96 firewall setup!
  97
  98 # Features
  99 xferlog_enable=YES
 100 ls_recurse_enable=NO
 101 ascii_download_enable=NO
 102 async_abor_enable=YES
 103
 104 In order,
 105 - Enables recording of transfer stats to /var/log/vsftpd.log
 106 - Disables "ls -R", to prevent it being used as a DoS attack. Note - sites
 107 wanting to be copied via the "mirror" program might need to enable this.
 108 - Disables downloading in ASCII mode, to prevent it being used as a DoS
 109 attack (ASCII downloads are CPU heavy).
 110 - Enables older FTP clients to cancel in-progress transfers.
 111
 112 # Performance
 113 one_process_model=YES
 114 idle_session_timeout=120
 115 data_connection_timeout=300
 116 accept_timeout=60
 117 connect_timeout=60
 118 anon_max_rate=50000
 119
 120 In order,
 121 - Activates a faster "one process per connection" model. Note! To maintain
 122 security, this feature is only available on systems with capabilities - e.g.
 123 Linux kernel 2.4.
 124 - Boots off idle users after 2 minutes.
 125 - Boots off idle downloads after 5 minutes.
 126 - Boots off hung passive connects after 1 minute.
 127 - Boots off hung active connects after 1 minute.
 128 - Limits a single client to ~50kbytes / sec download speed.
 129
 130
 131 Step 3) Restart xinetd.
 132
 133 (on RedHat)
 134 /etc/rc.d/init.d/xinetd restart
 135
 136 If you run into problems, check:
 137 1) Your /etc/xinetd.d directory only has one FTP service.
 138