teratail
回答率
85.48%
質問するログイン新規登録
トップに関する質問vsftpdによるftps ( ftp over tls/ssl ) において、データ用ポート(ftp-data)だけ暗号化されない

編集履歴

質問編集履歴

4

暗号化

2018/08/18 08:15

投稿

tatsa398
tatsa398

スコア6

test CHANGED
File without changes
test CHANGED
File without changes

3

/etc/vsftpd.confに対する設定変更の差分の編集

2018/08/18 08:14

投稿

tatsa398
tatsa398

スコア6

test CHANGED
File without changes
test CHANGED
@@ -72,6 +72,12 @@
72
72
 
73
73
  vsftpd 3.0.3の/etc/vsftpd.confに対して加えた設定変更の差分は以下です。
74
74
 
75
+ (編集履歴を参照。
76
+
77
+ cipher_suites,pasv拒否、ftp-data port20のblockのみです。
78
+
79
+ )
80
+
75
81
 
76
82
 
77
83
  ```
@@ -100,7 +106,7 @@
100
106
 
101
107
  # on the IPv6 "any" address (::) will accept connections from both IPv6
102
108
 
103
- @@ -19,29 +20,32 @@
109
+ @@ -19,33 +20,36 @@
104
110
 
105
111
  # sockets. If you want that (perhaps because you want to listen on specific
106
112
 
@@ -178,15 +184,29 @@
178
184
 
179
185
  # go into a certain directory.
180
186
 
187
+ -dirmessage_enable=YES
188
+
189
+ +dirmessage_enable=NO
190
+
191
+ #
192
+
193
+ # If enabled, vsftpd will display directory listings with the time
194
+
195
+ # in your local time zone. The default is to display GMT. The
196
+
181
- @@ -58,6 +62,7 @@
197
+ @@ -57,7 +61,8 @@
198
+
199
+ xferlog_enable=YES
182
200
 
183
201
  #
184
202
 
185
203
  # Make sure PORT transfer connections originate from port 20 (ftp-data).
186
204
 
187
- connect_from_port_20=YES
205
+ -connect_from_port_20=YES
206
+
188
-
207
+ +#connect_from_port_20=YES
208
+
189
- +#connect_from_port_20=NO
209
+ +connect_from_port_20=NO
190
210
 
191
211
  #
192
212
 
@@ -194,7 +214,7 @@
194
214
 
195
215
  # a different user. Note! Using "root" for uploaded files is not
196
216
 
197
- @@ -67,7 +72,7 @@
217
+ @@ -67,11 +72,11 @@
198
218
 
199
219
  #
200
220
 
@@ -212,6 +232,16 @@
212
232
 
213
233
  # Note that the default log file location is /var/log/xferlog in this case.
214
234
 
235
+ -#xferlog_std_format=YES
236
+
237
+ +xferlog_std_format=NO
238
+
239
+ #
240
+
241
+ # You may change the default value for timing out an idle session.
242
+
243
+ #idle_session_timeout=600
244
+
215
245
  @@ -96,8 +101,8 @@
216
246
 
217
247
  # predicted this attack and has always been safe, reporting the size of the
@@ -252,7 +282,7 @@
252
282
 
253
283
  #
254
284
 
255
- @@ -146,10 +151,34 @@
285
+ @@ -146,10 +151,36 @@
256
286
 
257
287
  #
258
288
 
@@ -282,35 +312,37 @@
282
312
 
283
313
  +ssl_sslv3=NO
284
314
 
285
- +ssl_tlsv1=YES
315
+ +ssl_tlsv1=NO
286
-
287
- +ssl_ciphers=HIGH
288
316
 
289
317
  +force_local_data_ssl=YES
290
318
 
291
319
  +force_local_logins_ssl=YES
292
320
 
321
+ +force_dot_files=YES
322
+
293
323
  +allow_anon_ssl=YES
294
324
 
295
- +#require_ssl_reuse=NO
296
-
297
- +ssl_ciphers=ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:CAMELLIA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!SHA:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA
298
-
299
- +
300
-
301
- +#implicit_ssl=YES
325
+ +require_ssl_reuse=YES
326
+
327
+ +ssl_ciphers=ECDHE:ECDSA:!aNULL:!eNULL:!EXPORT:!DES:!CAMELLIA:!RC4:!MD5:!SHA:!PSK:!aECDH:!EDH:!DH:!DSS:!CBC3:!CBC
328
+
329
+ +
330
+
331
+ +implicit_ssl=YES
302
332
 
303
333
  +listen_port=990
304
334
 
305
335
  +
306
336
 
307
- +pasv_promiscuous=YES
337
+ +pasv_promiscuous=NO
308
-
338
+
309
- +pasv_min_port=30000
339
+ +#pasv_min_port=30000
310
-
340
+
311
- +pasv_max_port=30100
341
+ +#pasv_max_port=30100
312
-
342
+
313
- +
343
+ +
344
+
345
+ +#syslog_enable=YES
314
346
 
315
347
  +log_ftp_protocol=YES
316
348
 
@@ -330,6 +362,8 @@
330
362
 
331
363
 
332
364
 
365
+
366
+
333
367
  ```
334
368
 
335
369
  ### 経路暗号化を実現するNAS用プロトコルの代替案について

2

補足

2018/08/18 05:43

投稿

tatsa398
tatsa398

スコア6

test CHANGED
File without changes
test CHANGED
@@ -340,13 +340,15 @@
340
340
 
341
341
 
342
342
 
343
- ・sambaだと、ldapの設定してないと、ldapsとしてのtls/sslを利用できない。
343
+ ・sambaだと、ldapの設定無しに、tls/sslを利用できない。
344
-
344
+
345
- ・webdavはデータの破損が怖い
345
+ ・webdavはデータの破損が怖い (webdav vs ftpより)
346
+
346
-
347
+ ・tls likeな通信がいいので、sftpは除外
347
-
348
-
348
+
349
+
350
+
349
- という問題があり、ftpを検討しました。非暗号接続でいいなら、sambaで十分なのですが。
351
+ という問題があり、ftpを試しました。非暗号接続でいいなら、sambaで十分なのですが。
350
352
 
351
353
 
352
354
 

1

補足

2018/08/17 17:19

投稿

tatsa398
tatsa398

スコア6

test CHANGED
File without changes
test CHANGED
@@ -62,6 +62,10 @@
62
62
 
63
63
 
64
64
 
65
+ あと、匿名ユーザーとunixユーザーでのログインで比較しても結果は同じです。
66
+
67
+ ソフトの問題というより、ftpのデータ用ポートは非暗号化される仕様なのでしょうか。
68
+
65
69
 
66
70
 
67
71
 
@@ -328,9 +332,21 @@
328
332
 
329
333
  ```
330
334
 
331
-
335
+ ### 経路暗号化を実現するNAS用プロトコルの代替案について
336
+
337
+
338
+
332
-
339
+ NASに利用できるプロトコルは様々にありますが、
340
+
341
+
342
+
333
-
343
+ ・sambaだと、ldapの設定してないと、ldapsとしてのtls/sslを利用できない。
344
+
345
+ ・webdavはデータの破損が怖い
346
+
347
+
348
+
349
+ という問題があり、ftpを検討しました。非暗号接続でいいなら、sambaで十分なのですが。
334
350
 
335
351
 
336
352