作業メモ

とある問題切り分けのため、AWS上にFTPサーバを立てて、FTPSでの疎通確認
※運用するための構築手順ではないので、きちんとした設定ができていないですが
※部分部分で何らかお役に立てれば嬉しいです。
　

環境

amzn-ami-hvm-2016.09.1.20170119-x86_64-gp2 (ami-56d4ad31)

1.事前準備

yum install gcc
yum install openssl-devel

2.proftpd install

cd /usr/local/src
wget ftp://ftp.proftpd.org/distrib/source/proftpd-1.3.5d.tar.gz
tar -zxvf ./proftpd-1.3.5d.tar.gz
cd proftpd-1.3.5d
./configure --with-modules=mod_tls
make
make install

3.設定

vim /usr/local/etc/proftpd.conf

PassivePorts                  10000 10003(passiveModeで使うデータ転送用ポートです)
Group                           nobody (nogroupから変更)
MasqueradeAddress FTPサーバのグローバルIP

4.ホスト名を引けるようにしておく（そのまま起動したらエラーになったので）

vim /etc/hosts

5.確認用ユーザを追加

useradd -d /ftp/ftp_user -s /sbin/nologin ftp_user
passwd ftp_user

起動

/usr/local/sbin/proftpd

一旦、FTP接続確認（WinSCP利用）　→OK

６.TLS/SSL化(FTPS)

オレオレ証明書
※参考にさせていただきました
http://d.hatena.ne.jp/ozuma/20130511/1368284304

openssl genrsa 2048 > ftps.key
openssl req -new -key ftps.key > ftps.csr
openssl x509 -days 3650 -req -signkey ftps.key < ftps.csr > ftps.crt
cp ./ftps.crt /etc/pki/tls/certs/ftps.crt
cp ./ftps.key /etc/pki/tls/private/ftps.key
chmod 600 /etc/pki/tls/certs/ftps.crt
chmod 600 /etc/pki/tls/private/ftps.key

vim /usr/local/etc/proftpd.conf

以下追記

<IfModule mod_tls.c>
    TLSEngine on
    TLSRequired off

    TLSLog  /var/log/proftpd/tls.log
    TLSProtocol TLS1.2
    TLSCipherSuite HIGH:MEDIUM
    
    TLSRSACertificateFile /etc/pki/tls/certs/ftps.crt
    TLSRSACertificateKeyFile /etc/pki/tls/private/ftps.key
    TLSOptions NoCertRequest
    TLSVerifyClient off
</IfModule>

proftpd上げ直し
TLS接続確認（WinSCP）→OK(鍵マーク確認)

疎通確認を通して、きちんとしなきゃなと思ったこと

・chrootの制御（FTP接続後、普通に上位ディレクトリが見えてしまってた）
・TLSCipherSuiteがよくわからんまま、なるべく安全そうなのを並べたが確証がない