vsftpd

Hier sucht man nach vsFTPd und aendert diesen String in den ab, den man haben will.

Diese Datei definiert die Version von vsftpd. Hier kann man ebenfalls eine Änderung vornehmen.

definiert den Service (verwendet wird die /etc/services).

wird der Netzwerk-Sockettyp gesetzt (hier straem).

wird angegeben ob ein Service Single-Threaded (yes) oder Multi-Threaded (no) ist.

wird der User definiert, unter dem der Service (hier vsftp) ablaeuft.

wird das Programm angegeben, das gestartet werden soll.

bestimmt die Protokoll-Parameter fuer log_on_success zusaetzlich zu den in xinetd.conf eingestellten.

Bestimmt die Protokoll-Parameter fuer log_on_failure zusaetzlich zu den in xinetd.conf eingestellten.

definiert das nice-Level (nice(1)).

ist dafuer zustaendig ob der Service aktiv ist oder nicht.

Hiermit kann man fuer Anonymous SSL aktivieren. Das funktioniert aber nur, wenn ssl_enable aktiviert ist. Default ist hier NO.

Wenn man diese Option mit YES belegt, haben anonyme User (Anonymous) das Recht Verzeichnisse zu erstellen. damit das aber funktioniert, musz die Option write_enable ebenfalls auf YES gestellt werden und der anonyme User musz Schreibrechte in dem Verzeichnis haben (man chmod).

Damit kann Anonymous erlaubt werden, Dateien und Verzeichnisse zu bearbeiten (Loeschen, Umbenennen, ..)

Hier wird Anonymous erlaubt Dateien hochzuladen. Damit das aber funktioniert, musz write_enable ebenfalls auf YES sein und die Schreibrechte fuer das Verzeichniss muss gegeben sein.

Hier ist Anonymous nur der Download erlaubt.

Diese Option regelt ob Anonymous (die User ftp und anonymous) sich ueberhaupt einloggen duerfen.

Hier werden die Daten entweder im ASCII- oder im Binary - Mode runtergeladen. YES steht fuer ASCII und NO fuer Binary.

Siehe ascii_download_enable, nur diesmal fuer den Upload.

Wenn dieser Wert auf YES gesetzt wird, steht async ABOR zur Verfuegung. Dazu sollte man aber erst RFC2428 lesen.

Wenn diese Option auf YES steht, wird vsftpd im Hintergrund gestartet.

Diese Option steht nur ohne PAM zur Verfuegung. Wenn NO gesetzt ist, dann ueberprueft vsftpd die /etc/shells nicht nach einer korrekten Shell oder Useraccount.

Damit wird die Anwendung von SITE CHMOD erlaubt!

Wenn YES gesetzt ist, werden alle "anonym" hochgeladenen Dateien in den bei chown_username angegebenen Username ge’chown’t.

Hier kann man angeben ob User in eine chroot() "gepackt" werden sollen. Die User werden in einer externen Datei angegeben, die mit chroot_list_file definiert wird.

Hier kann man bestimmen ob User mit einem lokalen Account "chroot()"et werden sollen.

Hier kann der Zugriff auf den ftp-data - Port entweder erlaubt oder verboten werden.

Wenn YES gesetzt ist, wird OpenSSL im Debug-Mode ausgeführt und schreibt diese Meldungen in das Logfile von vsftpd.

Hiermit kann man fehlgeschlagene Uploads automatisch löschen lassen (Default: NO).

Hier wird geregelt ob bestimmte Email - Adressen verboten werden sollen. Die Adressen werden in einer externen Datei gesucht, die mit banned_email_file definiert werden kann.

Hier kann abgegeben werden, ob bei ls die Verzeichnisse angezeigt werden sollen. Wenn man es auf NO setzt, erhaelt man beim Aufruf von ls ein Permission denied, aber ein Verzeichniswechsel ist nach wie vor moeglich.

Hier kann man ein- oder ausschalten ob beim ersten Wechsel in ein Verzeichnis eine Meldung ausgegeben werden soll. Per Default wird die Datei .message gelesen, aber man kann mit der Option message_file eine andere Datei angeben.

Wenn man hier NO angibt, ist kein Download von Dateien moeglich.

Wenn YES angegeben wird, werden zwei Logdateien angelegt. Eine unter /var/log/xferlog und die zweite unter /var/log/vsftpd.log.

Hier kann angegeben werden, ob Dotfiles (Dateien / Verzeichnisse die mit einem Punkt beginnen) beim Aufruf von "ls" angezeigt werden sollen oder nicht.

Nur verfügbar, wenn ssl_enable aktiviert ist. Sobald hier YES angegeben wird, werden alle Anonymous - User dazu gezwungen eine SSL-Verbindung aufzubauen, damit Daten uebertragen werden koennen. Das funktioniert aber nur, wenn ssl_enable aktiviert ist! Default ist NO.

Siehe oben, nur diesmal gilt es nur fuer die Authentifikation. Default ist NO.

Sobald hier YES angegeben wird, werden alle non-Anonymous - User dazu gezwungen eine SSL-Verbindung aufzubauen, damit Daten uebertragen werden koennen. Das funktioniert aber nur, wenn ssl_enable aktiviert ist! Default ist YES.

Siehe oben, nur diesmal gilt es nur fuer die Authentifikation. Default ist YES.

Hier kann man Guest - Accounts erlauben. Die Usernamen fuer diese Option werden mit guest_username gesetzt.

Wenn man hier YES angibt, werden bei einem "ls" die Benutzer- und Gruppennamen von allen Dateien und Verzeichnisse mit ftp angezeigt (die richtigen Rechte werden damit nicht beeinfluszt).

Wenn hier YES angegeben wird, startet vsftpd als Standalone (also ohne die (x)inetd).

Wie bei listen, nur diesmal für IPv6.

Wenn man hier YES angibt, wird bei einem Login - Namen der in der /etc/passwd existiert, auch das Passwort in der /etc/shadow verwendet. D. h. wenn sich ein User mit einem Usernamen der auf dem System existiert einloggen will, dann musz er auch das dazugehoerige Passwort verwenden.

Alle hochgeladenen Dateien werden mit einem write lock versehen. Damit koennen diese nicht geaendert werden, solange der Admin dieses Lock nicht entfernt hat.

Mit dieser Option ist es moeglich das erweiterte Logformat zu aktivieren; hier werden dann alle Aktivitaeten geloggt!

Hiermit kann man die Ausfuehrung von "ls -R" verbieten oder erlauben.

MDTM steht fuer Modification Time und mit mdtm_write kann erlaubt werden, dass der Timestamp einer Datei geaendert wird.

Hier kann man die Passwortabfragen deaktivieren. Wenn man YES angibt, werden anonyme User sofort eingeloggt, wenn sie den dementsprechenden Usernamen fuer Anonymous angeben.

Hiermit kann man verhindern das vsftpd ein Lockfile erstellt, wenn ein Logfile angelegt wird.

Ist diese Option aktiviert, ist es moeglich ein anderes Sicherheitsmodell basierend auf einem Prozess pro Verbindung zu nutzen.

Wenn YES gesetzt ist, dann wird als chroot() das Verzeichnis der /etc/passwd verwendet.

Wenn auf YES, dann wird ein Hostname, welcher mit pasv_address angegeben wird, eingesetzt.

Hier kann PASV erlaubt oder verboten werden.

Hier kann man den Sicherheitscheck von PASV verbieten oder erlauben.

Hier kann man das PORT - Kommando erlauben bzw. verbieten.

Siehe pasv_promiscuous.

Hiermit werden für alle SSL-Verbindungen Zertifikate benötigt, welche mit validate_cert definiert werden können.

If set to yes, all SSL data connections are required to exhibit SSL session reuse (which proves that they know the same master secret as the control channel). Although this is a secure default, it may break many FTP clients, so you may want to disable it. For a discussion of the consequences, see http://scarybeastsecurity.blogspot.com/2009/02/vsftpd-210-released.html

Set to YES if you want vsftpd to run as the user which launched vsftpd. This is useful where root access is not available. MAS- SIVE WARNING! Do NOT enable this option unless you totally know what you are doing, as naive use of this option can create mas- sive security problems. Specifically, vsftpd does not / cannot use chroot technology to restrict file access when this option is set (even if launched by root). A poor substitute could be to use a deny_file setting such as {/,..*}, but the reliability of this cannot compare to chroot, and should not be relied on. If using this option, many restrictions on other options apply. For example, options requiring privilege such as non-anonymous logins, upload ownership changing, connecting from port 20 and listen ports less than 1024 are not expected to work. Other options may be impacted.

Diesen Parameter kann man auf YES setzen, wenn man eine bestimmte Liste mit Emails definieren will, fuer die ein Anonymous-Login erlaubt werden soll. Gelesen wird hierbei die unter email_password_file angegebene Liste. Das Format ist denkbar einfach. Ein Passwort pro Zeile.

Wenn das auf YES gesetzt ist, versucht vsftpd Sessions aufrecht zu erhalten (auch die utmp und wtmp werden geupdatet).

Hier kann man angeben ob der Status aktiver Verbindungen bei "ps" auftauchen soll.

Hiermit kann man SSL verwenden. Das setzt allerdings vorraus, dass vsftpd mit OpenSSL-Support kompiliert worden ist. Deault ist NO

If enabled, vsftpd will request (but not necessarily require;see require_cert)acertificateonincomingSSLconnections. Normally this should not cause any trouble at all, but IBM zOS seems to have issues.

Nur anwendbar, wenn ssl_enable aktiviert ist. Hiermit kann man SSL v2 - Verbindungen erlauben. Default ist NO.

Siehe oben, nur diesmal fuer SSL v3. Default ist auch hier NO.

Siehe oben, nur diesmal fuer TLS v1. Default ist auch hier NO.

If enabled, SSL data uploads are required to terminate via SSL, not an EOF on the socket. This option is required to be sure that an attacker did not terminate an upload prematurely with a faked TCP FIN. Unfortunately, it is not enabled by default because so few clients get it right. (New in v2.0.7).

If enabled, SSL data downloads are required to terminate via SSL, not an EOF on the socket. This is off by default as I was unable to find a single FTP client that does this. It is minor. All it affects is our ability to tell whether the client con- firmed full receipt of the file. Even without this option, the client is able to check the integrity of the download.

Hier kann angeben oder syslogd das Logging reegln soll oder nicht.

Diese Option steht nur zur Verfuegung, wenn vsftpd mit tcp_wrapper - Support kompiled worden ist.

Normalerweise werden nummerische ID’s angezeigt wenn "ls" eingegeben wird. Hiermit kann man das aendern und es werden die Namen angezeigt.

Wenn auf YES gesetzt, versucht vsftpd den Pfadnamen mit einer Tilde die fuer den Usernamen steht, anzuzeigen.

Sollte klar sein.

Das dient zum testen ob sendfile()
[Siehe man 2 sendfile]
verwendet werden soll.

Wenn man YES setzt, werden Logins verboten, auszer sie sind explizit in der Datei angegeben, die mit userlist_file definiert worden ist.

Wenn YES gesetzt ist, nimmt vsftpd die Usernamen aus der Liste die mit userlist_file gesetzt wurde.

Wenn YES gesetzt ist, müssen alle Zertifikate mit dem Status OK validiert werden. Self-signed Zertifikate bestehen den Test also nicht.

Hier kann man angeben ob User von VHosts die gleichen Rechte wie lokale User haben sollen. Wenn NO angegeben wird, haben sie die Rechte von anonymen Usern.

Hier kann man die FTP - Commands STOR, DELE, RNFR, RNTO, MKD, RMD, APPE und SITE erlauben bzw. verbieten.

Wenn YES gesetzt ist, wird (per Default) nach /var/log/vsftpd.log geloggt. Eine andere Datei kann man mit vsftpd_log_file angeben.

Wenn hier YES gesetz ist, wird im gleichen Format wie WU-FTPD geloggt.

Hier wird die Zeit in Sekunden angegeben, nach denen eine Verbindung bei Inaktivitaet getrennt werden soll.

Hier kann man die Bandbreite fuer Anonymous beschraenken. Der Wert wird in Bytes angegeben.

Hier kann man die "umask" angeben, die Dateien haben sollen, welche von Anonymous hochgeladen worden sind.

Hiermit werden von Anonymous hochgeladene Dateien mit chmod() geändert (Default: 0600)

Hier kann man angeben nach wieviel Sekunden die Verbindung abgebrochen werden soll nachdem ein Client eine Verbindung aufgebaut hat.

Hier wird angegeben nach wieviel Sekunden ein Transfer abgebrochen werden soll, wenn eine Datei zwar runtergeladen wird, aber keine Daten mehr uebertragen werden.

Die Zeitdauer in Sekunden, die gewartet werden muss, nachdem ein Login fehlgeschlagen ist.

Wie oben, nur diesmal fuer erfolgreiche Logins.

Hiermit werden die Rechte angegeben, die hochgeladene Dateien erhalten sollen (Default: 0666)

Hier kann man den ftp-data - Port (Port 20) aendern.

Hier wird angegeben nach wieviel Sekunden ein Client gekickt werden soll, wenn er nichts macht.

Hier kann man den Standard - Port (Port 21) aendern.

Hier wird die maximale Transferrate angegeben die fuer lokale User gelten soll.

Hier die "umask" fuer Dateien die von lokalen Usern erstellt worden sind.

Hier kann man angeben wieviel Clienten sich maximal verbinden duerfen. "0" (Null) steht fuer unbegrenzt.

Default ist 3; sobald die angegebene Anzahl von fehlerhaften Logins ueberschritten wurde, wird die Session gekillt.

Hier die Anzahl der Clienten von einer IP.

Hier kann man den hoechsten zu verwendenden Port angeben.

Hier den niedrigsten.

Hiermit kann man einstellen, in welchen Blöcken die Dateien hochgeladen werden sollen.

Hier kann man das Verzeichnis angeben, in das vsftpd die User schicken soll. Bei Fehleingabe (Verzeichnis nicht vorhanden, nicht beschreibbar, ..) wird keine Fehlermeldung oder Warnung ausgegeben!

Hier kann man eine Datei (Plaintext) definieren, in der die Email-Adressen aufgelistet sind, mit denen ein Login nicht moeglich sein soll (Default wird /etc/vsftpd.banned_emails verwendet)

Hier kann man die Banner - Datei angeben (was ein Banner ist, sollte klar sein).

This option is the name of a file to load Certificate Authority certs from, for the purpose of validating client certs. The loaded certs are also advertised to the client, to cater for TLSv1.0 clients such as the z/OS FTP client. Regrettably, the default SSL CA cert paths are not used, because of vsftpd’s use of restricted filesystem spaces (chroot).

Hier kann der Username angegeben werden, der Dateien - die von anonymen Usern hochgeladen worden sind - gegeben werden soll. Das funktioniert aber nur, wenn chown_uploads aktiviert ist.

Hier wird eine Liste mit Namen von lokalen Usern angegeben, die in ihrem $HOME chroot()'et werden sollen. Das funktioniert allerdings auch nur, wenn chroot_list_enable aktiviert und chroot_local_user deaktiviert ist. Per Default wird die Datei /etc/vsftpd.chroot_list verwendet.

Hier kann man angeben welche Kommandos erlaubt sein sollen. Sie werden mit einem Komma getrennt (cmds_allowed=PASV,RETR,QUIT)
[Näheres dazu steht in RFC959]

Siehe cmds_allowed, nur die hier angegebenen Kommandos werden verboten.

Hier kann eine Liste angegeben werden, in der die Suffixes stehen, die nicht abgearbeitet werden sollen. Bsp.:
deny_file={.mp3,.mov,.htaccess,.passwd}
Damit wuerde man z. B. nicht erlauben, dass Dateien die mit einem dieser Suffixes enden, bearbeitet werden koennen (download, upload, rename, ..)

Hier kann man die Datei angeben, in der die DSA-Zertifikate stehen.

Hier die privaten Keys von DSA.

Diese Option kann in Verbindung mit secure_email_list_enable gesetzt werden. Default ist /etc/vsftpd.email_passwords.

Hier wird der Username fuer Anonymous angegeben. Default ist auch hier wieder ftp.

Hier kann man den Banner von vsftpd aendern.

Hier werden die Gast - Usernamen definiert. Default ist ftp.

Damit kann man bestimmte Dateien verstecken. Bsp.:
hide_file={.mp3,.hidden,hide,h?}
diese Dateien sind zwar bei einem ls nicht sichtbar, aber nach wie vor existent. D. h. jeder der den absoluten Pfad kennt, kann diese Datei auch herunterladen

Funktioniert nur, wenn vsftpd als Standalone laeuft. Hier kann man ihn an ein Netzwerkdevice binden.

Siehe oben, nur diesmal fuer IPv6.

Hier wird das Verzeichnis fuer lokale user festgelegt.

Hier kann man eine Datei angeben, deren Inhalt beim Wechsel in ein Verzeichnis ausgegeben werden soll. Default ist .message. Das funktioniert aber nur, wenn dirmessage_enable aktiviert ist.

This is the name of the user that is used by vsftpd when it wants to be totally unprivileged. Note that this should be a dedicated user, rather than nobody. The user nobody tends to be used for rather a lot of important things on most machines.

Hier kann man den String des Services angeben, den vsftpd haben soll, wenn PAM genutzt wird.

Use this option to override the IP address that vsftpd will advertise in response to the PASV command. Provide a numeric IP address, unless pasv_addr_resolve is enabled, in which case you can provide a hostname which will be DNS resolved for you at startup.

Hier wird die Datei angegeben, in der die RSA-Zertifikate zu finden sind.

Hier die Datei mit den privaten Keys.

Hier wird das leere Verzeichnis angegeben, das erstellt worden ist (/usr/share/empty). Es wird von vsftpd benoetigt um eine chroot() zu erstellen

Hiermit kann man verschluesselte SSL-Verbindungen verwenden. Default ist 'DES-CBC3-SHA'‥

Hier kann eine benutzerspezifische Konfigurationsdatei angegeben werden. Das ist vor allem interessant, wenn man VHosts verwalten soll / muss. Bsp.:
user_config_dir=/etc/vsftpd_user1
$ mkdir /etc/vsftpd_user1
user_config_dir=/etc/vsftpd_user1 $ mkdir /etc/vsftpd_user1 Anschlieszend muessen noch Leserechte auf das Verzeichnis gegeben werden und das wars.

This option is useful is conjunction with virtual users. It is used to automatically generate a home directory for each virtual user, based on a template. For example, if the home directory of the real user specified via guest_username is /home/vir- tual/$USER, and user_sub_token is set to $USER, then when vir- tual user fred logs in, he will end up (usually chroot()'ed) in the directory /home/virtual/fred. This option also takes affect if local_root contains user_sub_token.

Hier wird das Name der Datei angegeben, die geladen werden soll wenn man userlist_enable aktiviert hat. Per Default wird /etc/vsftpd.user_list verwendet.

Hier kann man das Logfile aendern. vsftpd loggt per Default unter /var/log/vsftpd.log

Hier wird die Logdatei fuer XFerlog definiert. Default ist /var/log/xferlog