Чтение онлайн

Рассмотрим пример, запрещающий доступ к любым файлам с именем passwd:

Попробуйте добавить эту строку в свой конфигурационный файл. Теперь подключитесь к серверу с помощью FTP-клиента. Для тестирования из X Window я в графическом режиме Linux использовал программу gftp. Подключившись к серверу, я создал файл passwd в директории /home и попытался его скачать в каталог /home/flenov. В ответ на это FTP-клиент только создал пустой файл, но скачать ничего не смог, из-за установленного запрета программа завершилась аварийно. Такое окончание — это, конечно же, особенность gftp,

а другой FTP-клиент должен правильно обработать ошибку и сохранить работоспособное состояние.

Если FTP-сервер находится на одном физическом сервере с Web-сервером, то вполне логичным будет запретить чтение файла .htaccess, в котором прописываются права доступа на директории для Web-сервера. Пользователи FTP не должны иметь права даже смотреть их. Лучше прописать разрешение только конкретным клиентам, чтобы каждый из них мог работать только со своими файлами .htaccess, или предоставить другой способ редактирования прав.

Работу с системными каталогами можно вообще отменить. Например, следующая строка запретит получение любого файла из директории /etc:

После этого нельзя будет скачать ни один файл не только из директории /etc, но и из ее поддиректорий;

□ 

— количество неудачных попыток входа на сервер, после которого в журнале будет создана соответствующая запись. В нашем примере стоит число 5. Если пользователь не смог войти на сервер 5 раз, то это уже говорит о попытке взломщиком подобрать пароль случайным образом или по словарю (атака brute force);

□ 

— возможность использовать команды wu-ftp-сервера и (в других FTP-серверах этих команд может и не быть) для смены группы (значение параметра ). Если пользователь укажет верную группу и пароль, то он получит права группы из файла ftpgroups;

□ 

— запрет доступа клиентов с указанного адреса. В случае попытки подключения выводится сообщение из текстового файла, указанного в качестве последнего параметра. Адрес может указываться в виде шаблона;

□ 

— маска прав доступа, используемая при создании новых файлов. О команде umask для ОС Linux (задает текущее значение маски) мы говорили в разд. 4.1;

□ 

— ограничение времени сессии. Например, вы хотите, чтобы определенные пользователи не засиживались на вашем FTP-сервере. Используя эту директиву, в качестве типа можно указать звездочку (*) для всех пользователей, , или . Последний параметр — это количество минут сессии. По прошествии указанного времени соединение будет разорвано;

□ 

— ограничение на число передаваемых файлов. В качестве направления можно указать (входящие), (исходящие) и (всего). Чтобы запретить работу более чем с 10 файлами, воспользуйтесь командой ;

□ 

— ограничение на число передаваемых байт. Работа директивы схожа с ;

□ 

— задание в явном виде корневой директории для анонимных пользователей, т.к. у них не может быть собственного каталога в отличие от реального пользователя, для которого при подключении к системе корнем является его домашняя директория;

□ 

— аналогична предыдущей команде. Директива необходима, если вы хотите, чтобы все гости могли работать с одной и той же директорией. Если у каждого гостя должен быть свой каталог, то лучше для каждого из них явно создавать учетную запись (см. разд. 10.6).

□ 

— определяет проверку правильности пароля для анонимных пользователей. В данном случае имеется в виду контроль E-mail-адреса, который они используют. В качестве типа может указываться одно из трех значений: (нет проверки), (простая проверка на содержания в адресе символа "@)" или (полная проверка, на соответствие стандарту rfc 822). Параметру можно присваивать значение (выводить предупреждение, но продолжать работу) или (отказать в доступе);

□ 

— отказ в доступе, если в качестве пароля используется указанный адрес. В большинстве FTP-клиентов в настройках прописан для анонимного доступа какой-либо почтовый ящик, например, my@mail.com. Мало кто меняет этот адрес. Так как он соответствует всем правилам, то сервер не определит, что это обманка. Но можно прописать его в этом параметре, и тогда пользователю придется поменять в настройках FTP-клиента адрес на другой, иначе он не сможет подключиться. Но даже это не будет гарантировать, что анонимный пользователь указал именно свой E-mail в качестве пароля;

□ 

— запрещает доступ к FTP пользователям с указанными идентификаторами. Те же самые функции выполняет файл ftpusers, который мы рассмотрим в разд. 10.5. Удобство этой команды в том, что можно задать диапазоны. Например, . Данная директива запретит доступ всем пользователям, у которых идентификатор менее 500;

□ 

— запрещает доступ к FTP пользователям группы, с указанными идентификаторами. Те же самые функции выполняет файл ftpusers;

□ 

— разрешает гостевому пользователю с указанным ID получать доступ к директориям вне его домашнего каталога;

□ 

— дает право группе пользователей с указанным ID получать доступ к директориям вне домашнего каталога;

□ 

— запрещает гостевому пользователю с указанным ID получать доступ к директориям вне его домашнего каталога;

□ 

— запрещает группе пользователей с указанным ID получать доступ к директориям вне домашнего каталога;