Một trong những nhược điểm chính của FTP để truyền tệp là thiếu biện pháp bảo vệ và mã hóa cho dữ liệu được truyền. Khi kết nối với máy chủ FTP, tên người dùng và mật khẩu cũng được gửi dưới dạng văn bản rõ ràng. Để truyền dữ liệu (đặc biệt sử dụng kênh truyền thông công cộng), khuyến khích sử dụng các giao thức an toàn hơn, như FTPS hoặc SFTP. Hãy xem cách cấu hình máy chủ FTPS trên Windows Server 2012 R2.
Giao thức FTPS (FTP over SSL/TLS, FTP+SSL) là một phần mở rộng của giao thức FTP tiêu chuẩn, nhưng kết nối giữa client và máy chủ được bảo vệ (mã hóa) bằng SSL /TLS. Thông thường, cùng cổng 21 được sử dụng để kết nối.
Lưu ý. Bạn không nên nhầm lẫn FTPS và SFTP (Secure FTP hoặc SSH FTP). Sau cùng là phần mở rộng của giao thức SSH không có gì chung với FTP.
Hỗ trợ FTP over SSL xuất hiện trong IIS 7.0 (Windows Server 2008). Để làm cho máy chủ FTPS hoạt động, bạn sẽ phải cài đặt chứng chỉ SSL trên máy chủ IIS của mình.
Cài đặt vai trò FTP Server
Việc cài đặt vai trò FTP server trong Windows Server 2012 không gây ra bất kỳ vấn đề nào và đã được mô tả.
Cách tạo và cài đặt chứng chỉ SSL trong IIS
Sau đó mở console IIS Manager, chọn máy chủ và đi tới phần Server Certificates.
Trong phần này, bạn có thể nhập chứng chỉ, tạo yêu cầu chứng chỉ, cập nhật chứng chỉ hoặc tạo chứng chỉ tự ký. Với mục đích trình bày, hãy tạo chứng chỉ tự ký. (Nó cũng có thể được tạo bằng cmdlet New-SelfSignedCertificate.) Khi truy cập dịch vụ, cảnh báo rằng chứng chỉ được cấp bởi CA không tin cậy sẽ xuất hiện. Để tắt cảnh báo này cho chứng chỉ này, hãy thêm nó vào danh sách chứng chỉ tin cậy bằng GPO.
Chọn Create Self-Signed Certificate.
Trong trình tạo chứng chỉ, chỉ định tên của nó và chọn loại chứng chỉ Web Hosting.
Một chứng chỉ tự ký mới sẽ xuất hiện trong danh sách chứng chỉ có sẵn. Chứng chỉ này sẽ hết hạn sau 1 năm.
Cách tạo trang web FTP với hỗ trợ SSL
Sau đó bạn phải tạo một trang web FTP. Trong console IIS Manager, nhấp chuột phải vào Sites và tạo một trang web FTP mới (Add FTP).
Chỉ định tên của nó và đường dẫn đến thư mục gốc của trang web FTP (trong trường hợp của chúng ta, đó là đường dẫn mặc định C:\inetpub\ftproot ).
Trong cửa sổ tiếp theo của trình hướng dẫn, chọn chứng chỉ bạn đã tạo trong phần SSL certificates.
Bây giờ bạn chỉ cần chọn loại xác thực và quyền truy cập người dùng.
Mẹo. Nếu mỗi người dùng phải có thư mục gốc FTP riêng, bạn có thể sử dụng hướng dẫn Cách tạo máy chủ FTP với cách ly người dùng.
Nhấp Finish trong cửa sổ trình hướng dẫn. Theo mặc định, bảo vệ SSL là bắt buộc và được sử dụng để mã hóa cả lệnh quản lý và dữ liệu được truyền.
FTPS và Tường lửa
Khi sử dụng giao thức FTP, 2 kết nối TCP khác nhau được sử dụng, một dùng để truyền lệnh và cái kia dùng để truyền dữ liệu. Đối với mỗi kênh truyền dữ liệu, một cổng TCP riêng biệt được mở, số cổng được chọn bởi client hoặc máy chủ. Hầu hết các tường lửa cho phép kiểm tra lưu lượng FTP, và sau khi phân tích nó, tự động mở các cổng cần thiết. Khi sử dụng kết nối FTPS được bảo vệ, dữ liệu được truyền được mã hóa và không được phân tích. Kết quả là, tường lửa không thể xác định cổng nào phải được mở cho truyền dữ liệu.
Để không phải mở toàn bộ phạm vi cổng TCP 1024-65535 cho máy chủ FTPS từ bên ngoài, bạn có thể chỉ định phạm vi địa chỉ được sử dụng cho máy chủ FTP. Phạm vi được chỉ định trong cài đặt trang web IIS trong phần FTP Firewall Support.
Sau khi phạm vi cổng đã được thay đổi, hãy khởi động lại dịch vụ (iisreset).
Các quy tắc sau chịu trách nhiệm cho lưu lượng đến trong Windows Firewall:
- FTP Server (FTP Traffic-In)
- FTP Server Passive (FTP Passive Traffic-In)
- FTP Server Secure (FTP SSL Traffic-In)
Vì vậy, bạn sẽ phải mở cổng 21, 990 và 50000-50100 (phạm vi cổng bạn chọn) trên tường lửa tiền tuyến.
Cách kiểm tra kết nối FTP over SSL
Để kiểm tra kết nối FTPS, hãy sử dụng Filezilla.
- Khởi động FileZilla (hoặc bất kỳ client nào hỗ trợ FTPS).
- Nhấp File > Site Manager, và tạo kết nối mới (New Site).
- Chỉ định địa chỉ máy chủ FTPS (Host), loại giao thức (Require explicit FTP over TLS), tên người dùng (User) và yêu cầu nhập mật khẩu để xác thực (Ask for password)
- Nhấp Connect và nhập mật khẩu của bạn.
- Cảnh báo chứng chỉ không tin cậy sẽ xuất hiện (trong trường hợp sử dụng chứng chỉ tự ký). Xác nhận kết nối.
- Kết nối phải được thiết lập, và các mục sau sẽ xuất hiện trong nhật ký:
Status: Initializing TLS...
Status: Verifying certificate...
Status: TLS connection established. - Điều này có nghĩa là kết nối an toàn đã được thiết lập và bạn có thể truyền tệp bằng giao thức FTPS.