Ubuntu 16.04 Üzerinde vsftpd’yi Bir Kullanıcının Dizini İçin Yapılandırma Rehberi

Ubuntu 16.04 Üzerinde vsftpd’yi Bir Kullanıcının Dizini İçin Yapılandırma Rehberi

Giriş

Dosya Transfer Protokolü (FTP), sunucular ve istemciler arasında dosya alışverişi yapmak için kullanılan standart bir ağ protokolüdür. Web sitelerinin dosyalarını sunucuya yüklemekten, büyük dosyaları paylaşmaya kadar pek çok senaryoda yaygın olarak kullanılır. Ancak, FTP’nin kendisi güvenli bir protokol değildir; kimlik doğrulama bilgilerini ve veri aktarımlarını şifrelemez. Bu nedenle, hassas veriler için FTPS (FTP Secure) veya SFTP (SSH File Transfer Protocol) gibi daha güvenli alternatifler önerilir. Bununla birlikte, belirli kullanım durumları veya eski sistemlerle uyumluluk gerektiren durumlar için standart FTP hala tercih edilebilir.

vsftpd (very secure FTP daemon), Linux sistemlerinde en popüler ve güvenli FTP sunucularından biridir. Adından da anlaşılacağı gibi, güvenlik odaklı tasarımı, küçük boyutu ve yüksek performansı ile öne çıkar. Bu makalede, Ubuntu 16.04 işletim sistemi üzerinde vsftpd’yi belirli bir yerel kullanıcı için nasıl kuracağınızı ve yapılandıracağınızı adım adım açıklayacağız. Odak noktamız, kullanıcının kendi ana diziniyle sınırlı (chroot edilmiş) bir ortamda güvenli bir şekilde dosya transferi yapabilmesini sağlamak olacaktır. Ayrıca pasif mod ayarları, güvenlik duvarı yapılandırması ve temel güvenlik ipuçları da bu rehberin bir parçasıdır.

Bu rehber, sistem yöneticileri, geliştiriciler ve Ubuntu sunucularında güvenli bir FTP hizmeti kurmak isteyen herkes için tasarlanmıştır. Temel Linux komut bilgisi ve SSH üzerinden sunucuya erişim yeteneği bu rehberden en iyi şekilde yararlanmanız için ön koşuldur.

Ön Gereksinimler

Bu rehbere başlamadan önce aşağıdaki ön gereksinimlere sahip olduğunuzdan emin olun:
* Ubuntu 16.04 Sunucusu: Kurulum ve yapılandırma işlemleri bu işletim sistemi sürümü üzerinde test edilmiştir.
* SSH Erişimi: Sunucunuza SSH üzerinden erişim sağlayabiliyor olmanız gerekmektedir.
* Sudo Yetkileri: Kurulum ve yapılandırma adımları için sudo yetkilerine sahip bir kullanıcı veya root kullanıcısı olmanız gerekmektedir.
* Temel Linux Komut Bilgisi: apt, cd, ls, mkdir, chown, chmod, nano veya vi gibi temel komutlara aşina olmanız beklenir.

vsftpd Kurulumu

İlk adım olarak, vsftpd paketini Ubuntu sunucunuza kurmanız gerekmektedir. Kuruluma başlamadan önce sistem paket listelerini güncellemeyi ve mevcut paketleri yükseltmeyi unutmayın.

Sistem Paketlerini Güncelleme

Terminalinizi açın ve aşağıdaki komutları çalıştırarak sisteminizi güncelleyin:

sudo apt update
sudo apt upgrade -y

Bu komutlar, sunucunuzdaki paket bilgilerini güncelleyecek ve yüklü paketlerin en son sürümlerine yükseltecektir.

vsftpd Paketini Kurma

Şimdi vsftpd paketini yükleyebilirsiniz:

sudo apt install vsftpd -y

Kurulum tamamlandıktan sonra, vsftpd servisi otomatik olarak başlayacaktır. Servisin durumunu kontrol etmek için aşağıdaki komutu kullanabilirsiniz:

systemctl status vsftpd

Çıktıda active (running) ibaresini görmelisiniz. Eğer servis çalışmıyorsa, aşağıdaki komutla başlatabilirsiniz:

sudo systemctl start vsftpd

vsftpd servisinin sunucu her yeniden başlatıldığında otomatik olarak başlamasını sağlamak için:

sudo systemctl enable vsftpd

vsftpd Temel Yapılandırması

vsftpd’nin tüm yapılandırma ayarları /etc/vsftpd.conf dosyasında bulunur. Yapılandırma dosyası üzerinde değişiklik yapmadan önce, olası bir sorunda geri dönebilmek için orijinal dosyanın bir yedeğini almanız şiddetle tavsiye edilir.

Yapılandırma Dosyasının Yedeklenmesi

sudo cp /etc/vsftpd.conf /etc/vsftpd.conf.bak

Yapılandırma Dosyasının Düzenlenmesi

Şimdi yapılandırma dosyasını bir metin düzenleyici ile açın. Bu rehberde nano kullanacağız:

sudo nano /etc/vsftpd.conf

Aşağıdaki temel ayarları bulun ve gerektiği gibi düzenleyin veya ekleyin:

1. Anonim Erişimi Kapatma: Güvenlik nedeniyle anonim FTP erişimini kapatmak önemlidir.

anonymous_enable=NO

2. Yerel Kullanıcı Erişimi Açma: Sisteminizdeki yerel kullanıcıların FTP üzerinden giriş yapmasına izin vermek için bu seçeneği etkinleştirin.

local_enable=YES

3. Yazma İzni Verme: FTP kullanıcılarının dosya yükleyebilmesi veya değiştirebilmesi için yazma erişimine izin vermeniz gerekir.

write_enable=YES

4. Chroot Jail Yapılandırması (Kullanıcıları Kendi Dizinlerine Hapsetme):
Bu, FTP kullanıcılarının kendi ana dizinlerinin dışına çıkmasını engelleyen kritik bir güvenlik önlemidir.

chroot_local_user=YES

Önemli Not: vsftpd’nin 2.3.5 sürümünden itibaren, güvenlik nedeniyle chroot edilmiş dizinin kullanıcının yazma iznine sahip olmaması gerekir. Eğer chroot edilen dizin kullanıcının yazma iznine sahipse, vsftpd bağlantıyı reddedecektir. Ubuntu 16.04’teki vsftpd sürümü (genellikle 3.0.3) bu güvenlik kontrolünü içerir. Bu durumu aşmak için iki yöntem vardır:
* Daha Az Güvenli Yöntem: allow_writeable_chroot=YES satırını ekleyebilirsiniz. Bu, vsftpd’nin güvenlik kontrolünü atlamasına neden olur, ancak chroot kaçış saldırılarına karşı potansiyel bir zafiyet yaratabilir. Genellikle önerilmez.
Önerilen Güvenli Yöntem: Chroot edilen dizini kullanıcının yazma iznine sahip olmayacak şekilde ayarlayın ve kullanıcının yazma yapabileceği ayrı bir alt dizin oluşturun. Bu rehberde bu güvenli yöntemi uygulayacağız. Bu yüzden allow_writeable_chroot=YES satırını eklemeyin*.

5. Kullanıcının Ana Dizini (local_root):
Kullanıcının FTP bağlantısı kurduğunda doğrudan hangi dizine yönlendirileceğini belirtir. Güvenli chroot yapılandırması için, kullanıcının ana dizini içinde oluşturduğumuz, kullanıcının yazma iznine sahip olacağı alt dizini belirtmeliyiz.

local_root=/home/$USER/ftp

Burada $USER değişkeni, giriş yapan kullanıcının adını otomatik olarak alacaktır. Bu, her kullanıcı için kendi özel ftp dizinine yönlendirme sağlar.

6. Pasif Mod Ayarları:
Pasif mod, güvenlik duvarları ve NAT (Ağ Adresi Çevirisi) arkasındaki istemciler için önemlidir. FTP’nin varsayılan (aktif) modu genellikle güvenlik duvarları tarafından engellenir.

pasv_enable=YES
    pasv_min_port=40000
    pasv_max_port=40005

pasv_min_port ve pasv_max_port ile pasif mod bağlantıları için kullanılacak port aralığını belirtiyoruz. Bu aralıkta 5 adet port açtık (40000, 40001, 40002, 40003, 40004, 40005). Bu portları güvenlik duvarında da açmanız gerekecektir. Daha geniş bir aralık belirleyebilirsiniz, ancak çok geniş bir aralık güvenlik açısından istenmeyebilir.

Eğer sunucunuz bir NAT arkasındaysa veya birden fazla ağ arayüzüne sahipse, sunucunuzun dışarıdan erişilebilir genel IP adresini belirtmeniz gerekebilir:

pasv_address=YOUR_SERVER_PUBLIC_IP_ADDRESS

YOUR_SERVER_PUBLIC_IP_ADDRESS yerine sunucunuzun gerçek genel IP adresini yazın. Eğer sunucunuz doğrudan internete bağlıysa ve tek bir IP adresi varsa, bu satıra genellikle gerek kalmayabilir, ancak eklemek sorunu çözebilir.

7. Diğer Güvenlik İpuçları (İsteğe Bağlı):
* Kullanıcı Listesi: Sadece belirli kullanıcıların FTP’ye erişmesine izin vermek veya belirli kullanıcıları engellemek için userlist özelliğini kullanabilirsiniz.

userlist_enable=YES
        userlist_file=/etc/vsftpd.userlist
        userlist_deny=YES

Bu ayarlar ile /etc/vsftpd.userlist dosyasında adı geçen kullanıcılar hariç herkesin FTP’ye erişimi engellenir. Eğer sadece listedeki kullanıcıların erişmesini istiyorsanız, userlist_deny=NO yapmalısınız.

* Loglama: FTP transferlerini kaydetmek için loglamayı etkinleştirebilirsiniz.

xferlog_enable=YES
        xferlog_file=/var/log/vsftpd.log
        xferlog_std_format=YES

Yapılandırma dosyasını kaydetmek için Ctrl+O, ardından Enter tuşuna basın ve Ctrl+X ile çıkın.

Kullanıcı Oluşturma ve Dizin Ayarları

Şimdi FTP için kullanacağımız bir kullanıcı oluşturalım ve bu kullanıcının dizin yapısını güvenli bir şekilde ayarlayalım.

Yeni Bir FTP Kullanıcısı Oluşturma

Örnek olarak ftpuser adında bir kullanıcı oluşturalım:

sudo adduser ftpuser

Komut sizden yeni kullanıcı için bir şifre belirlemenizi ve bazı isteğe bağlı bilgiler girmenizi isteyecektir. Şifreyi güçlü bir şekilde belirlediğinizden emin olun.

Kullanıcının Shell Erişimini Devre Dışı Bırakma

Güvenlik için, FTP kullanıcılarının sunucuda normal bir shell (kabuk) erişimine sahip olmaması gerekir. Bu, kullanıcının FTP dışında komut çalıştırmasını engeller.
Öncelikle, sisteminizde nologin veya false shell’lerinin tanımlı olup olmadığını kontrol edin:

cat /etc/shells

Genellikle /bin/false veya /usr/sbin/nologin listede bulunur. Eğer yoksa, sudo nano /etc/shells ile bu satırlardan birini ekleyebilirsiniz.

Şimdi ftpuser kullanıcısının shell’ini /bin/false olarak ayarlayalım:

sudo usermod -s /bin/false ftpuser

Güvenli Dizin Yapısının Oluşturulması

Yukarıda bahsettiğimiz gibi, vsftpd’nin chroot güvenlik kuralı nedeniyle, kullanıcının ana dizini doğrudan yazılabilir olmamalıdır. Bu yüzden, kullanıcının ana dizini içinde ayrı bir dizin oluşturacağız ve FTP bağlantısında bu dizini kullanıcının “köklü” dizini olarak göstereceğiz.

1. Kullanıcının Ana Dizini İçinde FTP Dizinini Oluşturma:

sudo mkdir /home/ftpuser/ftp

2. Ana Dizin İzinlerini Ayarlama (Chroot İçin Güvenlik):
ftpuser kullanıcısının ana dizini olan /home/ftpuser‘ın yazma iznini kaldırın. Bu dizinin sahibi ftpuser olabilir, ancak grubun ve diğerlerinin yazma izni olmamalıdır. En güvenli yaklaşım, ana dizinin sahibini root yapmak ve izinleri 755 olarak ayarlamaktır.

sudo chown root:root /home/ftpuser
    sudo chmod 755 /home/ftpuser

Bu adımla, /home/ftpuser dizini root kullanıcısına ait olur ve ftpuser dahil hiçbir kullanıcının bu dizine doğrudan yazma izni olmaz. Bu, vsftpd’nin chroot güvenlik kuralını karşılar.

3. FTP Yükleme Dizini İzinlerini Ayarlama:
Şimdi asıl dosya yüklemelerinin yapılacağı /home/ftpuser/ftp dizininin sahibini ve izinlerini ayarlayalım. Bu dizin ftpuser tarafından yazılabilir olmalıdır.

sudo chown ftpuser:ftpuser /home/ftpuser/ftp
    sudo chmod 775 /home/ftpuser/ftp

chmod 775, sahibine ve grubuna okuma, yazma ve çalıştırma izni verirken, diğer kullanıcılara sadece okuma ve çalıştırma izni verir. Eğer diğer kullanıcıların da yazma iznine sahip olmasını istiyorsanız 777 kullanabilirsiniz, ancak bu genellikle önerilmez.

Özetle, ftpuser FTP’ye bağlandığında /home/ftpuser/ftp dizinini kendi ana dizini gibi görecektir. Ancak, /home/ftpuser dizinine doğrudan yazamayacak, sadece /home/ftpuser/ftp dizinine yazabilecektir.

Güvenlik Duvarı Ayarları (UFW)

Eğer sunucunuzda UFW (Uncomplicated Firewall) etkinse, FTP bağlantılarına ve pasif mod port aralığına izin vermeniz gerekir.

UFW Durumunu Kontrol Etme

sudo ufw status

Eğer UFW etkin değilse veya kurulu değilse, aşağıdaki komutlarla kurup etkinleştirebilirsiniz:

sudo apt install ufw -y
sudo ufw enable

Uyarı: UFW’yi etkinleştirmeden önce SSH portunuzun (varsayılan 22) açık olduğundan emin olun, aksi takdirde sunucunuzla bağlantınız kesilebilir.

sudo ufw allow 22/tcp

FTP Portunu ve Pasif Mod Port Aralığını Açma

FTP kontrol bağlantıları için varsayılan port 21’i ve yapılandırdığınız pasif mod port aralığını açın:

sudo ufw allow 20/tcp    # FTP veri bağlantıları için (aktif modda kullanılır, pasif modda genellikle gerekmez ama eklemekte fayda var)
sudo ufw allow 21/tcp    # FTP kontrol bağlantıları için
sudo ufw allow 40000:40005/tcp # vsftpd.conf'ta belirlediğiniz pasif port aralığı

Tekrar UFW durumunu kontrol ederek kuralların uygulandığından emin olun:

sudo ufw status

Çıktıda 21/tcp ve 40000:40005/tcp için ALLOW kurallarını görmelisiniz.

vsftpd Servisini Yeniden Başlatma

Yapılandırma dosyasında ve kullanıcı ayarlarında yaptığınız değişikliklerin geçerli olması için vsftpd servisini yeniden başlatmanız gerekir:

sudo systemctl restart vsftpd

Herhangi bir hata olup olmadığını kontrol etmek için servisin durumunu tekrar kontrol edebilirsiniz:

systemctl status vsftpd

FTP Bağlantısını Test Etme

Artık vsftpd sunucunuz yapılandırıldığına göre, bir FTP istemcisi kullanarak bağlantıyı test edebilirsiniz.

Komut Satırından Test Etme

Kendi sunucunuzdan veya başka bir Linux makinesinden test edebilirsiniz:

ftp your_server_ip_address

your_server_ip_address yerine sunucunuzun IP adresini yazın.
Sizden kullanıcı adı (örn. ftpuser) ve şifre isteyecektir. Başarılı bir şekilde giriş yaptıktan sonra ftp> istemini görmelisiniz.
* ls: Dizin içeriğini listeleme
* put local_file.txt: Yerel bir dosyayı sunucuya yükleme
* get remote_file.txt: Sunucudan bir dosyayı indirme
* quit: FTP oturumundan çıkma

Grafiksel FTP İstemcisi ile Test Etme (Örn. FileZilla)

FileZilla gibi bir FTP istemcisi kullanarak da bağlantıyı test edebilirsiniz.
1. Host (Sunucu): your_server_ip_address
2. Username (Kullanıcı Adı): ftpuser
3. Password (Şifre): ftpuser için belirlediğiniz şifre
4. Port: 21 (varsayılan)
5. Protokol: FTP – File Transfer Protocol

Bağlantı kurduktan sonra, FileZilla’nın sağ tarafındaki uzak sunucu penceresinde /home/ftpuser/ftp dizininin içeriğini görmelisiniz. Dosya yükleme ve indirme işlemlerini deneyerek yazma izinlerinin doğru çalıştığından emin olun.

Gelişmiş Yapılandırma ve Güvenlik İpuçları

FTP, varsayılan olarak güvenli değildir. Hassas verilerle çalışırken ek güvenlik önlemleri almanız önemlidir.

SSL/TLS Kullanımı (FTPS)

Veri transferini ve kimlik doğrulamasını şifrelemek için FTPS kullanmak şiddetle tavsiye edilir. Bunun için bir SSL/TLS sertifikasına ihtiyacınız olacaktır.

1. SSL Sertifikası Oluşturma:
Kendi imzalı (self-signed) bir sertifika oluşturabilirsiniz. Üretim ortamları için CA (Certificate Authority) tarafından imzalanmış bir sertifika kullanmak daha iyidir.

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/certs/vsftpd.pem

Bu komut, bir yıl geçerli, 2048-bit RSA anahtarlı bir sertifika oluşturur. Sertifika oluşturulurken sizden bazı bilgiler (ülke, şehir, organizasyon vb.) istenecektir.

2. vsftpd.conf Dosyasını Düzenleme:
/etc/vsftpd.conf dosyasını açın ve aşağıdaki satırları ekleyin veya düzenleyin:

ssl_enable=YES
    allow_anon_ssl=NO
    force_local_data_ssl=YES
    force_local_logins_ssl=YES
    ssl_tlsv1=YES
    ssl_sslv2=NO
    ssl_sslv3=NO
    rsa_cert_file=/etc/ssl/certs/vsftpd.pem
    rsa_private_key_file=/etc/ssl/private/vsftpd.pem

Bu ayarlar, tüm yerel kullanıcıların veri ve girişleri için SSL/TLS kullanmasını zorlar. Yalnızca TLSv1’e izin verilirken, daha eski ve zayıf olan SSLv2 ve SSLv3 devre dışı bırakılır.

3. vsftpd Servisini Yeniden Başlatma:

sudo systemctl restart vsftpd

Artık FTP istemcinizden FTPS (explicit FTP over TLS/SSL) kullanarak bağlanmalısınız. FileZilla’da “Şifreleme” ayarını “Require explicit FTP over TLS” olarak seçebilirsiniz.

Kullanıcı Listeleri ile Erişimi Kontrol Etme

userlist_enable ve userlist_file ile daha detaylı erişim kontrolü sağlayabilirsiniz.
* userlist_deny=YES (varsayılan): /etc/vsftpd.userlist dosyasında listelenen kullanıcılar hariç herkesin erişimini engeller.
* userlist_deny=NO: Sadece /etc/vsftpd.userlist dosyasında listelenen kullanıcıların erişimine izin verir.

Örnek olarak, sadece ftpuser kullanıcısının erişmesini istiyorsanız:
1. /etc/vsftpd.conf içine aşağıdaki satırları ekleyin:

userlist_enable=YES
    userlist_deny=NO
    userlist_file=/etc/vsftpd.userlist

2. /etc/vsftpd.userlist dosyasını oluşturun ve içine ftpuser yazın:

sudo nano /etc/vsftpd.userlist

İçine:

ftpuser

Kaydedip çıkın.
3. vsftpd servisini yeniden başlatın.

Bant Genişliği Sınırlaması

Belirli kullanıcıların veya tüm kullanıcıların kullanabileceği bant genişliğini sınırlayabilirsiniz:

local_max_rate=500000 # Yerel kullanıcılar için maksimum hız (byte/saniye cinsinden, burada 500KB/s)
anon_max_rate=100000 # Anonim kullanıcılar için maksimum hız (eğer anonim erişim açıksa)

Loglama

Transfer loglarını detaylandırmak, güvenlik denetimleri ve sorun giderme için faydalıdır.

xferlog_enable=YES
xferlog_file=/var/log/vsftpd.log
xferlog_std_format=YES

Bu ayarlar ile tüm transferler /var/log/vsftpd.log dosyasına standart formatta kaydedilir.

Sorun Giderme

Kurulum veya bağlantı sırasında sorun yaşarsanız, aşağıdaki adımları kontrol edebilirsiniz:

1. vsftpd Servisi Çalışıyor mu?

systemctl status vsftpd

Eğer çalışmıyorsa sudo systemctl start vsftpd ile başlatın.

2. Güvenlik Duvarı Ayarları Doğru mu?

sudo ufw status

21/tcp ve pasif mod port aralığına (örn. 40000:40005/tcp) izin verildiğinden emin olun. Sunucunuzun dış IP adresinden erişim sağlıyorsanız, UFW’nin dış bağlantılara izin verdiğinden emin olun.

3. vsftpd.conf Dosyasında Söz Dizimi Hatası Var mı?
vsftpd yapılandırma dosyası çok hassastır. Bir hata, servisin başlamamasına neden olabilir. systemctl status vsftpd çıktısındaki hata mesajlarını dikkatlice okuyun veya journalctl -xe komutunu kullanarak daha detaylı loglara bakın.

4. Kullanıcı Adı ve Şifre Doğru mu?
FTP istemcinizde doğru kullanıcı adı ve şifreyi kullandığınızdan emin olun.

5. Chroot Jail Sorunları (500 OOPS: vsftpd: refusing to run with writable root inside chroot())
Bu hata genellikle chroot edilen dizinin (kullanıcının ana dizini) kullanıcının yazma iznine sahip olması durumunda ortaya çıkar. Yukarıdaki “Güvenli Dizin Yapısının Oluşturulması” bölümündeki adımları doğru uyguladığınızdan emin olun:
* /home/ftpuser dizini root:root tarafından sahip olmalı ve izinleri 755 olmalı.
* /home/ftpuser/ftp dizini ftpuser:ftpuser tarafından sahip olmalı ve izinleri 775 olmalı.
* vsftpd.conf içinde local_root=/home/$USER/ftp satırı bulunmalı.

6. Pasif Mod Bağlantı Sorunları:
* vsftpd.conf içindeki pasv_min_port ve pasv_max_port aralığının güvenlik duvarında açık olduğundan emin olun.
* Eğer sunucunuz bir NAT arkasındaysa veya birden fazla IP’ye sahipse, pasv_address=YOUR_SERVER_PUBLIC_IP_ADDRESS satırının doğru genel IP adresini içerdiğinden emin olun.

7. Log Dosyalarını Kontrol Etme:
vsftpd’nin log dosyaları (varsayılan olarak /var/log/vsftpd.log veya sistem logları /var/log/syslog veya journalctl -u vsftpd) sorunların kaynağını bulmada size yardımcı olacaktır.

Sonuç

Bu kapsamlı rehberde, Ubuntu 16.04 sunucunuzda vsftpd’yi belirli bir yerel kullanıcı için nasıl kuracağınızı ve yapılandıracağınızı adım adım öğrendiniz. Anonim erişimi devre dışı bırakarak, yerel kullanıcı erişimini etkinleştirerek, kullanıcıları chroot jail ile kendi dizinlerine hapsederek ve güvenli dizin izinleri ayarlayarak temel güvenliği sağladık. Ayrıca pasif mod ayarları ve UFW güvenlik duvarı yapılandırmasını da ele aldık.

Unutulmamalıdır ki, FTP protokolü doğası gereği güvenli değildir. Bu nedenle, hassas veri transferleri için FTPS (SSL/TLS şifrelemesi ile) kullanımını şiddetle tavsiye ederiz. Bu rehberde FTPS’nin nasıl etkinleştirileceğine dair adımlar da sunulmuştur. Güvenli bir FTP sunucusu kurmak, sunucu güvenliğinizin önemli bir parçasıdır ve bu rehberdeki adımları dikkatlice takip etmek, sisteminizi potansiyel güvenlik açıklarına karşı korumanıza yardımcı olacaktır. Sunucunuzun ve vsftpd yapılandırmanızın güncel ve düzenli olarak denetlendiğinden emin olun.