Cómo construir un servidor FTP estable

Creación estable del servidor FTP 1. La elección del sistema operativo El servidor FTP se opera primero en función del sistema operativo, por lo que la seguridad del propio sistema operativo determina el nivel de seguridad del servidor FTP. Aunque Windows 98 /Me puede configurar un servidor FTP, su seguridad no es fuerte y vulnerable, por lo que es mejor no usarlo. Windows NT es como una costilla de pollo, no importa qué. Es mejor usar Windows 2000 y superior, y recuerde que debe parchear a tiempo. En cuanto a Unix y Linux, no se discute. El servidor FTP estable, compilación 2, usa el puerto de firewall, es la interfaz lógica entre la computadora y la red externa, es también la primera barrera de la computadora, la configuración del puerto es correcta o no afecta directamente la seguridad del host, en general, solo abra lo que necesite usar Puertos, es más seguro proteger otros puertos que no son necesarios. Hay muchas maneras de limitar el puerto. Puede usar un firewall personal de terceros. Aquí solo se incluye el método de configuración del firewall que viene con Windows. 1. Uso de la función de filtrado TCP /IP En Windows 2000 y Windows XP, el sistema tiene la función de filtrado TCP /IP, que se puede utilizar para configurar fácilmente el puerto. Tome Windows XP como ejemplo. Abra el atributo de "Conexión de área local" y busque "Protocolo de Internet (TCP /IP)" en la opción "General". Haga doble clic en él para abrir la ventana de configuración de propiedades del protocolo. Haga clic en el botón " Avanzado " en la parte inferior derecha para ir a " Configuración avanzada de TCP /IP ". Seleccione " Filtro TCP /IP " en las " Opciones " y haga doble clic para ingresar a la configuración de su propiedad. Aquí podemos configurar el sistema para permitir solo puertos abiertos, si el puerto del servidor FTP erigido es 21, primero seleccione " habilitar el filtrado TCP /IP (todos los adaptadores) " luego seleccione " solo permita " en las opciones de puerto TCP, Haga clic en " Agregar ", ingrese el número de puerto 21, OK. De esta manera, el sistema solo permite abrir 21 puertos. Para abrir otros puertos, continúa agregando. Esto puede prevenir efectivamente la intrusión de 139 puertos más común. La desventaja es que la función es demasiado simple, solo puede configurar el puerto que se permite abrir y no puede personalizar el puerto que se cerrará. Si tiene una gran cantidad de puertos para abrir, debe agregarlos uno por uno, lo que es más problemático. 2. Abra el Servidor de seguridad de conexión a Internet Para el sistema Windows XP, tiene la función de "Servidor de seguridad de conexión a Internet", que es más conveniente y más poderoso que el filtrado TCP /IP. Además de sus propias reglas de apertura de puerto de firewall, puede agregarlo y borrarlo usted mismo. Abra " Conexiones de red en el Panel de control, haga clic con el botón derecho en la conexión de acceso telefónico, vaya a la pestaña "Avanzadas", marque "Habilitar mi computadora y mi red restringiendo o bloqueando el acceso a esta computadora desde Internet" " , habilitarlo. De forma predeterminada, el puerto FTP está cerrado, por lo que debe configurar un firewall para abrir el puerto FTP que está utilizando. Haga clic en el botón " Configuración > en la esquina inferior derecha para ir a " Configuración avanzada ", seleccione " Servidor FTP ", edítelo. Dado que el puerto predeterminado del servicio FTP es 21, el resto no se puede cambiar, excepto la columna de la dirección IP. Complete la dirección IP de la red pública del servidor en la columna de dirección IP, luego salga y podrá entrar en vigencia inmediatamente. Si el puerto del servidor FTP está configurado en otro puerto, como 22, puede hacer clic en "Agregar" en la pestaña "Servicios", ingresar el nombre del servidor y la dirección IP pública, y completar el número de puerto externo y el número de puerto interno. Introduzca 22. Configuración de software de servidor estable como IIS y Serv-u Además de confiar en las medidas de seguridad proporcionadas por el sistema, es necesario utilizar la configuración del software del servidor FTP para mejorar la seguridad de todo el servidor. 1. Configuración de seguridad de IIS 1) Instale nuevos parches a tiempo Para las vulnerabilidades de seguridad de IIS, se puede decir que es "excelente", y se producirá un promedio de dos o dos vulnerabilidades cada dos o tres meses. Afortunadamente, Microsoft proporcionará parches basados ​​en vulnerabilidades recientemente descubiertas, lo que requiere que usted actualice e instale los parches más recientes. 2) Configure el directorio de instalación en un disco que no sea del sistema y desactive el servicio innecesario. Algunos usuarios malintencionados pueden acceder al sistema a través de la vulnerabilidad de IIS. Poner IIS en la partición del sistema hará que los archivos del sistema e IIS también enfrenten un acceso ilegal, lo que es fácil para los usuarios ilegales invadir la partición del sistema. Además, dado que IIS es un componente de servicio integral, cada servicio reducirá la seguridad de todo el servicio. Por lo tanto, no instale ni inicie los servicios innecesarios. 3) Permitir solo conexiones anónimas El mayor agujero de seguridad en FTP es que el proceso de transmisión de contraseñas por defecto se transmite en texto sin formato, lo cual es fácil de detectar. IIS se administra en base a las cuentas de usuario de Windows, por lo que es fácil filtrar el nombre y la contraseña de la cuenta del sistema. Si la cuenta tiene ciertos derechos administrativos, afectará la seguridad de todo el sistema. Configure "Permitir solo conexiones anónimas" para evitar el riesgo de fugas durante la transmisión. Vaya a " Sitio FTP predeterminado " en la pestaña " Cuenta de seguridad " de la propiedad, seleccione esta opción. 4) Establezca cuidadosamente el directorio de inicio y sus permisos. IIS puede configurar el directorio de inicio del sitio FTP en el directorio compartido de otra computadora en la LAN, pero en la LAN, el directorio compartido es fácil de incurrir en otros ataques de virus infectados por computadora, incluso en casos severos La LAN completa no es un último recurso. Es mejor usar un directorio local y configurar el directorio de inicio en una partición que no sea del sistema en formato NTFS. De esta manera, al configurar permisos en el directorio, puede establecer los permisos correspondientes para cada directorio por diferentes grupos o usuarios. Haga clic con el botón derecho en el directorio que desea configurar y vaya a " Compartir &Seguridad → Seguridad " en la configuración, si no es necesario, no le conceda a " escritura " permisos. 5) Trate de no usar el número de puerto predeterminado 21 para habilitar el registro, en caso de anomalías. 2. Configuración de seguridad de Serv-u En comparación con el servicio FTP de IIS, Serv-u está haciendo un buen trabajo en términos de seguridad. 1) Establezca la configuración del "servidor local" Primero, seleccione " interceptar FTP_bounce attack y XP ". En general, cuando se utiliza el protocolo FTP para la transferencia de archivos, el cliente primero envía un protocolo "Puerto" al servidor FTP, que contiene la dirección IP del usuario y el número de puerto que se utilizará para la transmisión de datos. Después de que el servidor la reciba, La información de la dirección del usuario proporcionada por el comando se utiliza para establecer una conexión con el usuario. En la mayoría de los casos, el proceso anterior no causará ningún problema, pero cuando el cliente es un usuario malintencionado, el servidor FTP puede conectarse a otras máquinas que no sean clientes agregando información de dirección específica al comando PORT. Aunque este usuario malintencionado puede no tener el derecho de acceder directamente a una máquina en particular, si el servidor FTP tiene acceso a la máquina, el usuario malintencionado todavía puede usar el servidor FTP como intermediario para finalmente lograr la conexión con el servidor de destino. Esto es FXP, también conocido como ataque entre servidores. Una vez seleccionado, esto se puede evitar. En segundo lugar, en la pestaña "Avanzado", verifique si "Contraseña de cifrado" y "Habilitar seguridad" están seleccionados; de lo contrario, selecciónelos. " Contraseña encriptada " Use una función hash de una vía (MD5) para encriptar la contraseña del usuario. La contraseña encriptada se almacena en ServUDaemon.ini o en el registro. Si no selecciona esta opción, la contraseña del usuario se guardará en el archivo en texto simple: " Habilitar seguridad "; iniciará el éxito de la seguridad del servidor Serv-u.

2) Configuración del servidor en el dominio Como se mencionó anteriormente, el valor predeterminado de FTP es borrar la contraseña de transmisión de texto, que es fácil de rastrear. Para las cuentas con solo permisos generales, el riesgo no es grande, pero si la cuenta tiene La administración remota, especialmente los privilegios de administrador del sistema, será controlada de forma remota por todo el servidor. Serv-u proporciona los siguientes tres tipos de seguridad para cada contraseña de cuenta: contraseña de regla, OTP S /KEY MD4 y OTP S /KEY MD5. Los diferentes tipos tienen diferentes métodos de encriptación para la transmisión, y las contraseñas de la regla tienen la seguridad más baja. . En la configuración de una cuenta con ciertos derechos administrativos, busque el cuadro de lista desplegable "Tipo de contraseña" en la pestaña "General", seleccione el segundo o tercer tipo y guárdelo. Tenga en cuenta que cuando el usuario inicia sesión en el servidor con esta cuenta, se requiere que el software de cliente FTP sea compatible con este tipo de contraseña, como CuteFTP Pro. Cuando se ingresa la contraseña, se puede seleccionar el tipo de contraseña correspondiente para autenticar a través del servidor. Al igual que con IIS, debe tener cuidado de establecer el directorio de inicio y sus permisos. Si no necesita otorgar escrituras y otros permisos para modificar el archivo o directorio del servidor, intente no otorgarlo. Finalmente, vaya a " Configuración >, en la pestaña " Log > seleccione "Habilitar registro en archivo", y configure el nombre del archivo de registro y la ruta de guardado, los parámetros de registro, etc., para que pueda consultar fácilmente el servidor por cualquier motivo. .