VSFTPD

Opciones de demonios

La lista siguiente presenta las directrices que controlan el comportamiento general del demonio vsftpd.

• listen — Cuando está activada, vsftpd se ejecuta en modo independiente. Red Hat Enterprise Linux configura este valor a YES. Esta directriz no se puede utilizar en conjunto con la directriz listen_ipv6.
  El valor predeterminado es NO.
• listen_ipv6 — Cuando esta directriz está activada vsftpd se ejecuta en modo independiente, pero solamente escucha a los sockets IPv6. Esta directriz no se puede utilizar junto con la directriz listen.
  El valor predeterminado es NO.
• session_support — Si está activada, vsftpd intentará mantener sesiones de conexión para cada usuario a través de Pluggable Authentication Modules (PAM).

Opciones de conexión y control de acceso

La siguiente es una lista de las directrices que controlan el comportamiento de los inicios de sesión y los mecanismos de control de acceso.

• anonymous_enable — Al estar activada, se permite que los usuarios anónimos se conecten. Se aceptan los nombres de usuario anonymous y ftp.
  El valor por defecto es YES.
  
  
• banned_email_file — Si la directriz deny_email_enable tiene el valor de YES, entonces esta directriz especifica el archivo que contiene una lista de contraseñas de correo anónimas que no tienen permitido acceder al servidor.
  El valor predeterminado es /etc/vsftpd.banned_emails.
• banner_file — Especifica un archivo que contiene el texto que se mostrará cuando se establece una conexión con el servidor. Esta opción supersede cualquier texto especificado en la directriz ftpd_banner.
  Esta directriz no tiene un valor predeterminado.
• cmds_allowed — Especifica una lista delimitada por comas de los comandos FTP que permite el servidor. Se rechaza el resto de los comandos.
  Esta directriz no tiene un valor predeterminado.
• deny_email_enable — Si está activada, se le niega el acceso al servidor a cualquier usuario anónimo que utilice contraseñas de correo especificadas en /etc/vsftpd.banned_emails. Se puede especificar el nombre del archivo al que esta directriz hace referencia usando la directriz banned_email_file.
  El valor predeterminado es NO.
• ftpd_banner — Si está activada, se muestra la cadena de caracteres especificada en esta directriz cuando se establece una conexión con el servidor. banner_file puede sobreescribir esta opción.
  Por defecto, vsftpd muestra su pancarta estándar.
• local_enable — Al estar activada, los usuarios locales pueden conectarse al sistema.
  El valor por defecto es YES.
  
  
• pam_service_name — Especifica el nombre de servicio PAM para vsftpd.
  El valor predeterminado es ftp, sin embargo, bajo Red Hat Enterprise Linux, el valor es vsftpd.
• tcp_wrappers — Al estar activada, se utilizan TCP wrappers para otorgar acceso al servidor. También, si el servidor FTP está configurado en múltiples direcciones IP, la opción VSFTPD_LOAD_CONF se puede utilizar para cargar diferentes archivos de configuración en la dirección IP solicitada por el cliente.
  El valor predeterminado es NO, sin embargo, bajo Red Hat Enterprise Linux el valor está configurado a YES.
• userlist_deny — Cuando se utiliza en combinación con la directriz userlist_enable y con el valor de NO, se les niega el acceso a todos los usuarios locales a menos que sus nombres esten listados en el archivo especificado por la directriz userlist_file. Puesto que se niega el acceso antes de que se le pida la contraseña al cliente, al configurar esta directriz a NO previene a los usuarios locales a proporcionar contraseñas sin encriptar sobre la red.
  El valor por defecto es YES.
• userlist_enable — Cuando está activada, se les niega el acceso a los usuarios listados en el archivo especificado por la directriz userlist_file. Puesto que se niega el acceso al cliente antes de solicitar la contraseña, se previene que los usuarios suministren contraseñas sin encriptar sobre la red.
  El valor predeterminado es NO, sin embargo, bajo Red Hat Enterprise Linux el valor está configurado a YES.
• userlist_file — Especifica el archivo al que vsftpd hace referencia cuando la directriz userlist_enable está activada.
  El valor predeterminado es /etc/vsftpd.user_list y es creado durante la instalación.
• cmds_allowed — Especifica una lista separada por comas de los comandos FTP que permite el servidor. Cualquier otro comando es rechazado.
  Esta directriz no tiene un valor predeterminado.

Opciones de usuario anónimo

A continuación, se presenta una lista de las directrices que controlan el acceso de usuarios anónimos al servidor. Para utilizar estas opciones, la directriz anonymous_enable debe tener el valor de YES.

• anon_mkdir_write_enable — Cuando se activa en combinación con la directriz write_enable, los usuarios anónimos pueden crear nuevos directorios dentro de un directorio que tiene permisos de escritura.
  El valor predeterminado es NO.
• anon_root — Especifica el directorio al cual vsftpd cambia luego que el usuario anónimo se conecta.
  Esta directriz no tiene un valor predeterminado.
• anon_upload_enable — Cuando se usa con la directriz write_enable, los usuarios anónimos pueden cargar archivos al directorio padre que tiene permisos de escritura.
  El valor predeterminado es NO.
• anon_world_readable_only — Si está activada, los usuarios anónimos solamente pueden descargar archivos legibles por todo el mundo.
  El valor por defecto es YES.
• ftp_username — Especifica la cuenta del usuario local (listada en /etc/passwd) utilizada por el usuario FTP anónimo. El directorio principal especificado en /etc/passwd para el usuario es el directorio raíz del usuario FTP anónimo.
  El valor por defecto es ftp.
• no_anon_password — Cuando está activada, no se le pide una contraseña al usuario anónimo.
  El valor predeterminado es NO.
• secure_email_list_enable — Cuando está activada, solamente se aceptan una lista de contraseñas especificadas para las conexiones anónimas. Esto es una forma conveniente de ofrecer seguridad limitada al contenido público sin la necesidad de usuarios virtuales.
  Se previenen las conexiones anónimas a menos que la contraseña suministrada esté listada en /etc/vsftpd.email_passwords. El formato del archivo es una contraseña por línea, sin espacios al comienzo.
  El valor predeterminado es NO.

Opciones del usuario local

La siguiente es una lista de las directrices que caracterizan la forma en que los usuarios locales acceden al servidor. Para utilizar estas opciones, la directriz local_enable debe estar a YES.

• chmod_enable — Cuando está activada, se permite el comando FTP SITE CHMOD para los usuarios locales. Este comando permite que los usuarios cambien los permisos en los archivos.
  El valor por defecto es YES.
• chroot_list_enable — Cuando está activada, se coloca en una prisión de chroot a los usuarios locales listados en el archivo especificado en la directriz chroot_list_file.
  Si se utiliza en combinación con la directriz chroot_local_user, los usuarios locales listados en el archivo especificado en la directriz chroot_list_file, no se colocan en una prisión chroot luego de conectarse.
  El valor predeterminado es NO.
• chroot_list_file — Especifica el archivo que contiene una lista de los usuarios locales a los que se hace referencia cuando la directriz chroot_list_enable está en YES.
  El valor por defecto es /etc/vsftpd.chroot_list.
• chroot_local_user — Si está activada, a los usuarios locales se les cambia el directorio raíz (se hace un chroot) a su directorio principal luego de la conexión.
  El valor predeterminado es NO.

Servidor y cliente FTP

Servidor FTP

Un servidor FTP es un programa especial que se ejecuta en un equipo servidor normalmente conectado a Internet. Su función es permitir el intercambio de datos entre diferentes servidores/ordenadores.
Por lo general, los programas servidores FTP no suelen encontrarse en los ordenadores personales, por lo que un usuario normalmente utilizará el FTP para conectarse remotamente a uno y así intercambiar información con él.
Las aplicaciones más comunes de los servidores FTP suelen ser el alojamiento web, en el que sus clientes utilizan el servicio para subir sus páginas web y sus archivos correspondientes; o como servidor de backup (copia de seguridad) de los archivos importantes que pueda tener una empresa. Para ello, existen protocolos de comunicación FTP para que los datos se transmitan cifrados, como el SFTP (Secure File Transfer Protocol).

Cliente FTP

Cuando un navegador no está equipado con la función FTP, o si se quiere cargar archivos en un ordenador remoto, se necesitará utilizar un programa cliente FTP. Un cliente FTP es un programa que se instala en el ordenador del usuario, y que emplea el protocolo FTP para conectarse a un servidor FTP y transferir archivos, ya sea para descargarlos o para subirlos.
Para utilizar un cliente FTP, se necesita conocer el nombre del archivo, el ordenador en que reside (servidor, en el caso de descarga de archivos), el ordenador al que se quiere transferir el archivo (en caso de querer subirlo nosotros al servidor), y la carpeta en la que se encuentra.
Algunos clientes de FTP básicos en modo consola vienen integrados en los sistemas operativos, incluyendo Miscrosoft Windows, DOS, GNU/Linux y Unix. Sin embargo, hay disponibles clientes con opciones añadidas e interfaz gráfica. Aunque muchos navegadores tienen ya integrado FTP, es más confiable a la hora de conectarse con servidores FTP no anónimos utilizar un programa cliente.

Apuntes FTP

El puerto 20, para la transferencia de datos
el pureto 21, para la transferencia de ordenes (control).

Conexion modo activo:
la conexion para la tranferencia de datos es inciada por el servidor utilizando el puerto indicado por el cliente FTP.
Conexion modo pasivo: el cliente FTP inicia la xonexion para la tranferencia de datos utilizando el puerto que indica el servidor.

Conexion  modo activo
1. el cliente manda el comando PORT y el puerto 1036 desde su puerto de control 1035.
2. el servidor envia al cliente el comando ACK por el puerto de control 21 del servidor.
3. el servidor FTP envia datos desde su puerto de datos, el puerto 20.
4. el cliente envia el comando ACK por el puerto de datos, el puerto 1036.

Conexion en modo pasivo
1. El cliente manda comando PASV desde el puerto de control, puerto 1035.
2. El servidor FTP responde con un puerto > 1023 desde su puerto de control, puerto 21.
3. El cliente inicia la conexion de datos desde el puerto 1036 a un puerto aleatorio del servidor desde el puerto de datos 1036.
4. El servidor envia el comando ACK desde su puerto de datos, puerto 2040
5. el cliente cierra la conexion desde su puerto de datos, puerto 1036

Apuntes

1) Netstat -atnp
2) Convienen tener en cuenta que, al igual que existen buscadores we bde tipo heneral, tambien hay buscadores especificos sobre servidores FTP anonimos. las herramientas mas habituales een este tipo de buscadores son FTPSearch y Archie. Sin embargo, las operaciones se centran solo en los nombres de archivo y no son tan eficientes como los buscadores web.
3) Con la orden netstat
4) El ftp seguro brinda una autorizacion segura, integridad y privacidad en la tranferencia de datos mediente protocolos ssh
5) Es mas segura la ejecucion del servidor en modo standlone ya que se envia la ejecucion de otro proceso adicional que puede generar mayor inseguridad si no se configura correctamente
6) Intruccion unidad
7)
8)
9) Al que tenga por home
al home de los anonimos o al svr
10) Si
11) Los clientes FTP son independientes de los servidores FTP. lo unico importante es que el servidor FTP este activo y a la escucha de peticiones de conexiones FTP. el cliente FTP lo que hace es la peticion de conexio
12) Abrir la herramienta qFTP e ir a la opcion Marcadores
13) No porque las tranferencias de los datos, usuarios y contraseñas se realizan en texto plano por la red, con lo cual un usuario medio utilizando un sniffer podria capturar las contraseñas
14) FTPS es el nombre usado para indicar que FTP realiza transferencias de archivos seguras
se base en la utilizacion de protocolo SSL para cifrar tanto el canal de control como el de datos
15) Si al descargar un archivo de un servidor FTP se quiere cambiar su nombre, hay que ejecutar la siguiente orden
ftp> getr archivo.txt

16) FTP PASV Y RETR
17) Intrucciones unidad
18) Esta web permite el alojamiento gratis: http://www.tripod.lycos.es/. se puede utilizar esta o cualquier otra que sea gratuita y sirva para hacer la prueba


19) No debe confundirse el protocolo de transferencia de ficheros SFTP y FTPS.
FTPS se base en la utilizacion de protocolo SSL. SFTP es un protocolo diferente que asegura las transferencias basandose en SSH. Tanto SFTP como FTPS utilizan un metodo de clave publica RSA para el que se cifra la conexion mediante SSL. SFTP es un modulo o una funcionalidad adicional del servicio SSH que utiliza el puerto 22.
20) Bastara con dirigirse a la pantalla de configuracion de las opciones generales y modificar el texto weolcome banner text.
21)Realiza la conexion como de costumbre desde el navegador y localiza el archivo de filezilla
22) Intrucciones unidad
23)




test

1) b
2) a
3) d -puerto 20
4) Es una cuenta de usuario especial que permite a los usuarios acceder a un servidor sin tener en cuenta porpia de acceso
5) El servidor FTP en una conexion anonima requiere autenticacion como usuario anonymous y como contraseña, una direccion de correo electronico
6) b -a traves del puerto 21
7)b binary
8)d -la creacion de colas de descargas
9)b -resume
10) Por lo general, este directorio se utiliza para almacenar los archivos que suben al servidor FTP los usuarios anonimos.
11) Cuando un usuario accede a un FTP de forma anonima en realidad esta accediendo como un usuario establecido el sistema, que suele llamarse ftp, si bien no wexiste un usuario anonymous
12) Si existe un protcolo, llamdno fxp, que permite la tranferencia entre servidor FTP remotos incluso como usuarios anonimos.
13) Es falsa. puede modificarse los permisos de forma grafica o con la orden chmod, dependiendo de los permisos del archivo.
14) b)ftp> get archivo.txt archivo_local.txt
15) Utilizando la herramienta grafica de servicios. para eloshabria que abrir:
sistema-administracion-servicios
en windows control alt suprimir y pestaña procesos.
16) En la pagina web de security space

Apuntes Examen TEMA 3

Archivo de configuracion sshd_config


PermitRootLogin no: indica que el usuario administrador root no puede conectarse a la máquina remota como tal.
RSAAuthentication yes: indica que está permitida la autenticacion por clave RSA.
PubkeyAuthentication yes: informa de que esta permitida la auntenticacion por clave publica.
RhostsAuthentication no: indica que no se permite el metodo de autenticacion por rhost, es decir, no se habilita la posibilidad de generar un archivo .rhost en el directorio home del usuario en la maquina remota. en este archivo se especifican usuarios y máquinas desde las que se puede acceder a la maquina remota sin contraseña.
HostbasedAuthentication no: informa de que no se utiliza el metodo de autenticacion por host, sino por usuario.
X11Forwarding yes: avisa de que se permite, a los clientes que se conecten, ejecutar aplicaciones de X Window y transmitir la informacion grafica sobre la conexion segura.
MaxAuthTries nn: establece el numero maximo de intentos de conexion. es muy importante establecer un valor razonable ya que se evitarian los ataques basados en la fuerza bruta.

Autenticacion de usuarios

Autenticacion por contraseña.
SSH permite autenticar a un usuario utilizando su contraseña. Para ello, cada vez que el usuario quiera establecer una conexion, se le pide una contraseña que se envia al servidor. Este comprueba que el usuario existe y que la clave introducida es correcta. La validacion utilizada en el servidor se basaria en el archivo /etc/shadow, el procedimiento tipico para los sistemas Unix o basados en el.
Este metodo, aunque tiene el inconveniente de requerir al usuario su contraseña cada vez que quiera establecer una sesion, por lo menos no realiza el envio del login y la contraseña en texto plano.

Auntenticacion por clave publica
La segunda alternativa de autenticacion utiliza un esquema de vlace publica/privada generadas por el usuario. Tambien se conoce como clave asimetrica y se aplica al usuario. En este caso se reucrre a los elementos siguientes:
1. Una clave publica, que se copia a todos los servidores a los que el usuario quieres conectarse.
2. Una clave privada que solo posee el usuario. Para mayor seguridad, esta cifrada con una frase de paso.
Ambas claves poseen una caracteristica importante: un texto cifrado con la clave publica solo puede descifrarse mediante la clave privada correspondiente, mientras que un texto cifrado con la clave privada solo puede descifrarse mediante su clave publica asociada.

Casos Prácticos TEMA 3

Caso práctico 1. El cliente Ubuntu se conecta al servidor del aula(192.168.1.149) de forma segura mediante SSH y tambien, con un enlace o acceso directo. Tambien mediante nautilus(explorador de ubuntu) y con el putty.

 

 Caso práctico 2. Conseguir ejecutar de forma segura aplicaciones gráficas remotas utilizando SSH entre máquinas Linux, con la aplicación xeyes, por ejemplo.

Caso práctico 3. Realizar la instalacion del servidor SSH utilizando Webmin. Es imprescindible para instalarlo mediante Webmin, haberlo instalado previamente mediante el Synaptic.

 

Caso práctico 4. Conseguir entrar al servidor mediante el cliente con una autenticacion por contraseña mediante el usuario que cada uno tenga en el servidor.

 

DHCP

DHCP significa Protocolo de configuración de host dinámico . Es un protocolo que permite que un equipo conectado a una red pueda obtener su configuración (principalmente, su configuración de red) en forma dinámica (es decir, sin intervención particular). Sólo tiene que especificarle al equipo, mediante DHCP, que encuentre una direccion IP de manera independiente. El objetivo principal es simplificar la administración de la red.

El protocolo DHCP incluye tres métodos de asignación de direcciones IP:

• Asignación manual: Asigna una dirección IP a un equipo determinado. Es mas frecuentemente utilizado cuando se desea controlar la asignacion de direcciones IP a cada equipo y asi evitar tambien , que se conecten equipos no identificados

• Asignación automática: Asigna una dirección IP de forma permanente a un equipo. Se suele utilizar cuando el número de equipos en la LAN no varía demasiado.

• Asignación dinámica: Este metodo hace uso de la reutilizacion de direcciones IP, tecnica mediante la cual, el servidor dhcp reinicia las tarjetas de red cada cierto intervalo de tiempo, asignando una nueva direccion IP a los equipos.

• DHCPDISCOVER (para ubicar servidores DHCP disponibles)
• DHCPOFFER (respuesta del servidor a un paquete DHCPDISCOVER, que contiene los parámetros iniciales)
• DHCPREQUEST (solicitudes varias del cliente, por ejemplo, para extender su concesion)
• DHCPACK (respuesta del servidor que contiene los parámetros y la dirección IP del cliente)
• DHCPNAK (respuesta del servidor para indicarle al cliente que su concesión ha vencido o si el cliente anuncia una configuración de red errónea)
• DHCPDECLINE (el cliente le anuncia al servidor que la dirección ya está en uso)
• DHCPRELEASE (el cliente libera su dirección IP)
• DHCPINFORM (el cliente solicita parámetros locales, ya tiene su dirección IP)

CREAR UN ÁMBITO NUEVO 

Un ámbito es un rango de direcciones IP que el servidor DHCP administrará. Hay que asegurarse del rango de direcciones, de las que hay que excluir y las que hay que reservar para otros servidores, como DNS o WINS.

Un ámbito es un rango de IP posibles en una red. Donde hay varios ámbitos los clientes de una subred lógica no pueden obtener direcciones de otro ámbito distinto, si el deseo es que sí lo hagan, entonces es necesario un superámbito, que no es más que una agrupación de ámbitos en un solo conjunto. Las principales razones de creación de un superámbito son: un ámbito se queda sin direcciones, hay que renumerar la red y trasladar los clientes a otro conjunto de direcciones o, se desea tener dos servidores DHCP en la misma subred por redundancia.

COMANDOS

Primero deberemos descargar el servidor DHCP, lo instalaremos con apt.

sudo apt-get update
sudo apt-get install dhcpd

Lo primero que debemos hacer es editar el archivo de configuración /etc/default/dhcpdónde deberemos indicar la tarjeta de red donde se quiere activar el servidor DHCP. Podemos hacer que el servidor ofrezca IPs en varias interfaces de red separándolas con un espacio. Para activarlo en la tarjeta de red eth0, deberíamos poner la siguiente línea: 

INTERFACES="eth0" 

A continuación editaremos el archivo de configuración general y lo adaptaremos a nuestra red.

sudo nano -w /etc/dhcpd.conf

Una vez guardada la configuración, reiniciamos el servidor.

sudo /etc/init.d/dhcpd restart

Configuracion manual de TCP/IP

Inconvenientes:

- En cada equipo se ha de asignar la direccion IP de manera manual
- Al ser manual, pueden aisgnarse IP incorrectas o no validas.
- Si hay errores, surgiran problemas en la red.
- Habra una sobrecarga de trabajo de administracion si se realizan cambios de ubicacion de equipos.


Configuracion automatica de TCP/IP
Ventajas:
- Las direcciones IP son asignadas por el servidor DHCP automaticamente a cada equipo que la solicite.
- Al automatizar la asignacion, estara libre de errores
- No habra problemas en la red.
- Los cambios de la estructura de la red se reflejan de manera automatica al actualizarse cada cliente.