IIS für Einsteiger Teil 5: FTP oder wie lade ich Dateien auf meinen Webserver? -...

Transkript

1 IIS für Einsteiger Teil 5: FTP oder wie lade ich Dateien auf meinen Webserver? -... Seite 1 von 22 bernhard frank s blog IIS für Einsteiger Teil 5: FTP oder wie lade ich Dateien auf meinen Webserver? Bernhard Frank 27 May :52 AM 8 Das File Transfer Protocol (FTP) ist zwar nicht das neueste Protokoll, dafür aber effizient und schnell wenn es darum geht großedateien oder vieledateienmiteinem (Web)Serverauszutauschen. Ein weiterer Vorteil: Viele teilweise komfortable FTP Clients (z.b. Filezilla) stehen mir kostenlos zur Verfügung. Damit lassen sich einfach z.b. die Dateien meiner Website von meinem Entwicklerrechner auf den IIS Webserver übertragen. Der IIS versteht auch FTP zur Übertragung von Dateien. Auf dem Server werden dazu Verzeichnisse zum Publizieren freigegeben.

2 IIS für Einsteiger Teil 5: FTP oder wie lade ich Dateien auf meinen Webserver? -... Seite 2 von 22 Was muss ich tun um FTP auf dem IIS zu ermöglichen? Erstenssollte man sicherstellen, dass man den aktuellstenftpdienstfür den IIS 7 installierthat. Hintergrund: Der FTP 7.5ist erst nach Fertigstellung des Windows Server 2008 entwickelt worden. Deswegen gibt es für diese IIS/OS Version einen separaten Download. Bei Windows Server 2008 R2 ist der FTP7.5auf der OS DVD mit drauf. Am einfachsten überprüft man mit dem Web Platform Installer ob der aktuellste FTP Dienstschon drauf ist oder installiert ihn darüber: Den FTP Dienst verwaltet man in der IIS Administrationskonsole:

3 IIS für Einsteiger Teil 5: FTP oder wie lade ich Dateien auf meinen Webserver? -... Seite 3 von 22 Im zweitenschritt richtenwir den FTP Dienst ein, dazu müssen wir angeben: wie ist der FTP Dienst erreichbar (z.b. IP Adresse) ob die Verbindung ver oder unverschlüsselt erfolgen soll ob sich ein FTP Benutzer anmelden muss oder ob der AnonymousBenutzer ausreicht. welches Verzeichnis auf dem Webserver soll via FTP erreichbar sein soll welche Zugriffsrechte die Benutzer (Lesen oder/und Schreiben) haben sollen 3 Szenarien: Man kann Verzeichnisse welche über FTP erreichbar sein sollen unterschiedlich konfigurieren. Die Verzeichnisse werden innerhalb einer FTP Site verwaltet. Ich möchte 3 Einstiegs Szenarien vorstellen, die jeweils ihre Vor und Nachteile besitzen: 1. Eine FTP Sitezum Publizieren in alle Websitesmit einen (oder wenigen) FTP Benutzer Konto. 2. Eine FTP Site pro Websitemit jeweils unterschiedlichen Anmelde Informationen(Benutzername, Adresse) 3. Eine FTP Site mit mehreren FTP Benutzer Konten + Isolierung, d.h. Benutzer sehen je nach Loginnamen nur ein bestimmtes Verzeichnis. Diese Beispiele sollen zeigen, wie eine FTP Site grundsätzlich aufgebaut werden kann. Weitere Anpassungen und Erweiterungen sind natürlich möglich, sollen jedoch nicht Fokus sein, siehe dazu auch die weiterführenden Links. (1) Eine FTP Site für alle Websites mit einem FTP Benutzer Konto keine Isolierung. Hier die Schritte zum Einrichten der wohl einfachsten Variante. (Siehe auch Creating a New FTP Site) In der IIS Administrationskonsole > Rechter Mouseklick auf Sites >Add "FTP Site":

4 IIS für Einsteiger Teil 5: FTP oder wie lade ich Dateien auf meinen Webserver? -... Seite 4 von 22 Anschließend legen wir den Namen der FTP Site fest und geben an welches Root Verzeichnis auf dem IIS über FTP erreichbar sein soll (in unserem Fall c:\webs):

5 IIS für Einsteiger Teil 5: FTP oder wie lade ich Dateien auf meinen Webserver? -... Seite 5 von 22 Unter der Dialogseite "Binding and SSL" wird festgelegt auf welcher IP Adresse und Port der FTP Dienst für diese Website hören soll, wir nehmen hier die Standardeinstellungen. Der FTP 7.5 unterstützt nun Verschlüsselung (FTPS). Eine Option die sehr sinnvoll ist gerade wenn man bedenkt, dass unverschlüsseltes FTP das Passwort bei der Benutzer Anmeldung Clear Text über das Internet schickt und mittels Netzwerk Sniffervon Dritten mitgeschnitten werden könnte. Wer mehr Sicherheit möchte kann Verschlüsselung erlauben oder erzwingen. Wir erlauben SSL und wählen noch das selbstausgestellte Testzertifikat (hier "localhost") aus:

6 IIS für Einsteiger Teil 5: FTP oder wie lade ich Dateien auf meinen Webserver? -... Seite 6 von 22 Im nächsten Dialog werden die Authentifizierungs und Autorisierung Einstellungen also das "wer darf was über FTP" gemacht. Hier kann ich die erste Zugriffsregel festlegen: Zunächst sollen sich Benutzer nur als AnonymousUser beim FTP anmelden können (müssen also kein Passwort eingeben) und haben nur Lese Zugriff auf die Website. Anm.:Den Lese Zugriff des AnonymousUser impersonifiziert der Microsoft FTP Dienst im Hintergrund standardmäßig auf den IUSR Account, da dieser als Anonymous User Identity für die Anonymous Authentication Methode eingetragen ist. D.h. der IUSR Account braucht Lese Berechtigungen auf dem Filesystem für C:\Webs Mit klicken auf "Finish" taucht die FTP Site in der Konsole auf und ist bereit FTP Verbindungen anzunehmen:

7 IIS für Einsteiger Teil 5: FTP oder wie lade ich Dateien auf meinen Webserver? -... Seite 7 von 22 Über FTP ist jetzt das Root Verzeichnis (hier: C:\Webs) inklusive aller Sub Ordner erreichbar. Wenn ich weitere Ordner freigeben möchte, dann erstelle ich ein virtuelles Verzeichnis in meiner FTP Site: IIS Manager > rechter Mausklick auf "FTP Site" > Add Virtual Directory: Der Server Ordner c:\somewhere ist damit per FTP als Verzeichnis vdirerreichbar. Im FTP Client wird dieser virtuelle Ordner standardmäßig nicht angezeigt. Ich muss den FTP Server anweisen virtuelle Verzeichnisse in Ordnerlisten anzuzeigen: IIS Manager > FTP Site auswählen > FTP Directory Browsing > aktiviere "Virtual directories" > Apply: Wir machen einen Test und greifen mit Filezilla einem FTP Client (lokal) auf unsere FTP Site (lokal) zu.

8 IIS für Einsteiger Teil 5: FTP oder wie lade ich Dateien auf meinen Webserver? -... Seite 8 von 22 Server: localhost Benutzername: anonymous In Filezilla ist Links die Ordneransicht auf dem "Client", Rechts: der "FTP Server. Unser vdir taucht in der Ordneransicht auf. Dateien können einfach per drag&drop (je nach Berechtigungen) kopiert werden. Wenn wir z.b. versuchen einen neuen Ordner auf dem Server anzulegen bekommen wir einen "Access denied": Das ist auch gut so, denn schließlich handelt es sich hier um den Anonymous User, der nur Lese Berechtigungen auf den Server hat. Wenn wir bestimmten Benutzern Schreibrechte geben möchten dann muss ich auf dem IIS noch die FTP Authentifizierung aktivieren:

9 IIS für Einsteiger Teil 5: FTP oder wie lade ich Dateien auf meinen Webserver? -... Seite 9 von 22 Wir wählen die Basic Authentication als Methode für die FTP Authentifizierung. Jetzt müssen wir noch eine FTP Autorisierungs / Zugriffs Regel anlegen um z.b. den Benutzer ftpuser, Lese und Schreib (Read and Write) Berechtigungen für die FTP Site zu geben: Das FTP Benutzer Konto muss (bei Basic Authentication als Methode) auch als Windows Account existieren und die entsprechenden Ordner und Datei Berechtigungen (hier C:\Webs) haben. Den ftpuser erstellen wir uns über die Kommandozeile: net user ftpuser * /add

10 Seite 10 von 22 Im Hintergrund impersonifiziert der Microsoft FTP Dienst ( ) bei Zugriffen in das angemeldete FTP Benutzer Konto. Deswegen braucht der ftpuser auch die erforderlichen Berechtigungen im Filesystem auf C:\Webs. Andernfalls könnte es bereits beim Anmelden, Anlegen oder Löschen von Dateien und Ordnern zu Fehlermeldungen kommen, z.b.: 530-User cannot log in, home directory inaccessible... Error details: File system denied the access. MKD /Neues Verzeichnis Access is denied... Error details: File system denied the access. RMD Neues Verzeichnis Access is denied... Error details: File system denied the access. Hier zur Übersicht das Flow Chart für das Anlegen eines neuen Ordners (bei verwendeter Basic Authentication): Wir geben dem ftpuser von der Kommandozeile aus die notwendigen Filesystem Berechtigungen (Modify) auf C:\Webs: ICACLS c:\webs /grant ftpuser:(oi)(ci)(m) (Alternativ auch von über den Windows Explorer) Eine Person kann nun mit einem FTP Client über das FTP Konto ftpuser von remote aus über das FTP Protokoll auf Verzeichnisse des Servers zugreifen um Änderungen vorzunehmen.

11 Seite 11 von 22 Anm.: Es lassen sich natürlich noch weitere Benutzer Konten anlegen und über FTP Autorisierungs Regeln festlegen worauf diese zugreifen können. Fazit: + Einfacher Weg einen Verzeichnisse eines Servers per FTP erreichbar zu machen. + gut geeignet für ein bis wenige FTP User. Isolation, was ein User darf aufgrund von Autorisierungsregeln. Websites von FTP Site getrennt. Benutzer muss navigieren um in das richtige Verzeichnis für die richtige Website zu gelangen. (2) Eine FTP Site pro Website "Per Site FTP Publishing" Diese Methode integriert, verheiratet eine Website mit FTP. Website und FTP Einstellungen liegen beieinander und nicht getrennt in separater Web und FTP Site. (Siehe auch Adding FTP to a Web Site) Ein Administrator muss dazu lediglich "FTP Publishing" zu einer Website hinzufügen. Dieser Vorgang lässt sich für andere Websites wiederholen und man erhält letztlich mehrere FTP Sites auf einem IIS. Für einen reibungslosen Betrieb müssen die FTP Sites sich in den Binding Einstellungen voneinander unterscheiden. Der FTP Benutzer muss nicht lange in den Webordner navigieren sondern landet direkt im Verzeichnis seiner Website, das "Routing" passiert aufgrund der Anmelde Informationen.

12 Seite 12 von 22 Wie schon unter (1)wird ein Wizard gestartet und es werden sofort die Binding Informationen abgefragt:

13 Seite 13 von 22 Wir haben ja bereits eine FTP Site am Laufen, aber genau wie bei Websites kann der IIS auch mehrere FTP Sites haben. Voraussetzung dafür ist, dass sich die FTP Binding Informationen unterscheiden. Ein FTP Binding setzt sich analog zu einem http Binding aus IP, Port, Virtual Host Name zusammen (siehe "Noch eine Website anlegen!"in Teil 2 IIS für Einsteiger.). Wenn wir den "Virtual Host Name" verwenden oder variieren, dann können wir mehrere FTP Sites auf einem IIS anlegen, ohne dass wir dazu zusätzliche IP Adressen brauchen (oder vom Standard Port abweichen müssen). Für einen Server im Internet mit Domäne könnte das z.b. ftpxxx.%meinedomäne%.de sein. Für mein Demobeispiel im Intranet nehme ich localhost. Die anderen Einstellungen bleiben die Defaults. Unter "Authentication and Authorization" verwenden wir die gleichen Einstellungen wie bei (1), d.h. Nur der AnonymousUser kann sich FTP anmelden und hat nur Lese Zugriff. Ist FTP Publishing erfolgreich für die Site aktiviert erscheint im Site Icon (nach einem Refresh)ein?'. Zusätzlich wird in den Bindings ein Eintrag für das FTP Protokoll hinzugefügt:

14 Seite 14 von 22 Die Verwendung von Virtual Host Names hat eine praktische Auswirkung auf den FTP Benutzer: Für das Anmelden muss der Benutzer den Loginnamen zusammenbauen aus: "Virtual Host Name+ %PipeSymbol% +Benutzername" (z.b. ftp.contoso.com administrator ) Vergisst man den Virtual Host Name beim Login bekommt man den Fehler: Antwort: 220 Microsoft FTP Service Befehl: USER anonymous Antwort: 530 Valid hostname is expected. Antwort: Win32 error: No such host is known. Antwort: Error details: Hostname didn't match any configured ftp site. Anm.: Auch für den Anonymous User muss der Host Name vorangestellt werden. Wir melden uns mit localhost anonymous für die myothersite an: Fazit:

15 Seite 15 von 22 + Web und korrespondierende FTP Site liegen beieinander lästiges Navigieren fällt weg. gesamte FTP Einstellungen verteilt auf mehrere Sites. FTP Benutzer muss sich noch zusätzlich zum Login noch die FTP Verbindungseinstellungen merken. (3) Eine FTP Site mit FTP Benutzer Konten Isolierung Dieses Szenario stellt eine Erweiterung zu (1)dar. Die FTP Einstellungen werden in nur einer FTP Site zentral verwaltet aber mit vielen FTP Benutzer Konten. Der Benutzer Isolationsmodus (FTP User Isolation) im FTP 7.5 ermöglicht es Benutzern individuelle FTP Verzeichnisse zum Uploaden von Inhalte anzubieten. Die eine FTP Site nimmt alle FTP Anmeldungen entgegen und entscheidet aufgrund des Login Namens was der FTP Benutzer sehen darf. Die Benutzer haben nur Zugriff auf ihre eigenen Verzeichnisse und können z.b. nicht nach oben heraus aus Ihrer Verzeichnisstruktur navigieren. Dieses Szenario ist gut geeignet wenn Websites nur einem (oder wenigen) FTP Benutzer(n) zugeordnet werden soll. Die FTP User Isolationsetzt eine bestimmte Verzeichnisstruktur in der FTP Site voraus. Der FTP Benutzer sieht nur den Inhalt des Verzeichnisses (physikalisch oder virtuell) welches den gleichen Namen trägt wie sein FTP Benutzer Konto. Wichtig ist noch, dass die Benutzer Verzeichnisse sich im Ordner LocalUserbefinden müssen: Wir bauen obiges Szenario nach und modifizieren dazu unsere FTP Site. Zuerst legen wir uns auf dem Dateisystem folgende Ordnerstruktur an: Anschließend in der IIS Administrationskonsole die FTP Site auswählen und rechts unter Advanced Settingsden Physical Pathändern, z.b. in c:\inetpub\ftproot Dann rechter Mauseklick auf FTP Site und "Add Virtual Directory" mit Namen LocalUserwelches auf den LocaUser Ordner im Dateisystem zeigt:

16 Seite 16 von 22 Dann ändern wir noch die Autorisierungs Regeln, sodass nur user1lese und Schreib Berechtigungen für das Verzeichnis user1hat. Die Basic Authentificationmuss aktiviert sein. Wir erzeugen uns noch das Benutzerkonto user1von der Kommandozeile: net user user1 * /add und geben diesen Account noch Modify Berechtigungen auf den physikalischen Ordner: ICACLS C:\websites\LocalUser\user1 /grant user1:(oi)(ci)(m) Dann aktivieren wir noch die FTP User Isolation: IIS Administrationskonsole > FTP Site auswählen > FTP User Isolation > "User name directory (disable global virtual...)" auswählen > Apply:

17 Seite 17 von 22 Eine Verbindung mit Filezilla für user1sollte ungefähr so aussehen:

18 Seite 18 von 22 Fazit: + Gut für ein "Hosting Szenario" mit vielen FTP Benutzern: Ein FTP Benutzer auf 1 bis x Website(s). Benutzer sollen voneinander isoliert sein. + Benutzer muss nicht mehr groß navigieren um in das richtige Verzeichnis für die eigene Website zu gelangen. stellt Anforderungen an Verzeichnisstruktur. Website von FTP Site getrennt. unübersichtlich wenn viele FTP Benutzer auf die gleichen Websites zugreifen sollen. Sechs FTP Sicherheits-Tipps: Das "öffnen" eines Webservers für FTP bringt Gefahren mit sich gerade der Schreibzugriffmacht FTP so interessantfür Angreifer, sei es zum Zwischenlagern von illegalen Dateien oder dem Hochladen von Spionageprogrammen. Steht ihr Server im Internet und haben Sie FTP aktiviert ist es nur eine Frage der Zeit bis Angreifer versuchen die Passwörter zu knacken. Deswegen hier ein paar Sicherheits-Tipps: 1. Nur Benutzerkonten mit wenigen Rechten für FTP verwenden

19 Seite 19 von 22 Also nicht Administrator Konten für FTP freischalten!denn sollte jemand mittels Netzwerkverkehr Mitschnitt an das Passwort gelangen, hat er nicht gleich die Komplett Herrschaft über die Maschine. Noch besser wäre es, wenn für die Anmeldungam FTP Dienst Benutzerverwendet würden, dienichtim Active Directoryoder im Windowsangelegtsind. Der IIS und FTP 7.5 bieten (auf dem Windows Server 2008) die Möglichkeit IIS interne Benutzer Accountszu verwenden siehe dazu Configure FTP with IIS 7 Manager Authentication. 1. Komplexe Passwörter verwenden Nur ausreichend komplexe Passwörterfür FTP Benutzer Konten bieten Schutz. Die Angreifer testen automatisch verschiedene Benutzer Konten und Passwortkombinationen durch (brute force). Wie energisch? Auf einen meiner DemoFTPServerhatten es Angreifer mehr als 3,5 Mil. / Tagmal versucht. Daher sollte man es den Angreifern mit komplexen Passwörtern so schwer wie möglich machen. 1. Verschlüsseltes FTPS verwenden. Bei unverschlüsseltemftpwerden Passwörterbeim Anmeldenim Klartextübertragen. Jemand der in der Lage ist den Netzwerkverkehr mitzuschneiden (mittels Sniffer) kommt an das Passwort. Bei FTPSist der Netzwerkverkehr verschlüsselt. 1. FTP dienst abschalten wenn nicht benötigt Klingt banal aber reduziert das Angriffs Zeit Fenster. Vor dem Update über Remote Desktop den FTP Dienst starten und nach dem publizieren die FTP Site wieder stoppen. 1. IP Filtering für FTP aktivieren. Reduziert das Angriffs Standort Fenster. Ideal, wenn FTP Verbindungen nur aus einem bestimmten Netzwerkbereich gemacht werden. Angenommen werden nur FTP Clients, die eine bestimmte IP Adresse(n) haben die anderen werden abgewiesen. 1. Selbst weitere Sicherheitsfilter einbauen Der FTP 7.5 ist erweiterbar: Im How to Use Managed Code (C#) to Create an FTP Authentication Provider with Dynamic IP Restrictionswird beschrieben, wie man einen Lösung bauen kann um IP Adressen zu blockieren, von denen innerhalb eines bestimmten Zeitraums fehlgeschlagene Anmeldeversuche ausgehen. Was steht im Weg? Firewalls & Co. und Limitationen Aktivierte Firewalls auf Server sind zum Glück die Norm. Um den FTP Dienst auf einem Server von außen erreichbar zu machen verlangt es eine Firewall Regel um eingehenden TCP/IP Verkehr auf Server Port 21 (Control Channel) zu akzeptieren. Allerdings ist das bei FTP nicht alles: Die Dateien und Ordneransichten werden über Daten Kanäle übertragen. Diese zusätzlichen Datenverbindungen machen den Firewalls Arbeit und setzen voraus dass FTP überhaupt unterstützt wird. Die eingebaute Windows Firewall hat das sowohl auf dem Client als auch auf dem Server im Griff und die Ausnahmeregeln werden beim Server, bei der Installation des FTP Dienstes, und beim Client bei erster Verwendung von z.b. Filezilla eingerichtet. Problematischer wird das wenn man im Betrieb sitzt und noch die firmeneigene Firewall überwinden muss. Leider birgt auch die verschlüsselte FTPS Verbindung ein paar Konfigurationstücken Ich hatte die beste "Experience" wenn ich im Filezilla Client die Server Verbindung über "Explizites FTP über TLS" im Active Mode aufgebaut habe. Wenn es zu Problemen kommt empfehle ich Windows Firewall setup for Microsoft FTP Publishing Service for IIS 7.0. Limitationen: Obwohl es mit anderen FTP Servern möglich ist, z.b. Verzeichnisberechtigungen via FTP Client zu vergeben so wird dies vom FTP 7.5 nicht unterstützt: Status: Berechtigungen für '/test/blubber' werden auf '755' gesetzt

20 Seite 20 von 22 Befehl: SITE CHMOD 755 blubber Antwort: 500 'SITE CHMOD 755 blubber': command not understood Entpacken von Archiven oder Einspielen von Datenbanken macht man ebenfalls nicht über den FTP 7.5. FTP Alternativen Es gibt Alternativen zu FTP (für IIS) für den Datei oder Datenaustausch, allerdings leider nicht einfacher zu implementieren. Web Deploy ist die Neueste und hat den Vorteil über Dateien hinaus Konfiguration und Datenbanken, etc. auf den Server zu spielen. Protokoll / Technologie Was? Anmerkungen: WebDAV Dateien, Ordner WebDAV ist eine Erweiterung zum Trägerprotokoll http(s). Stellt als Protokoll weniger Anforderungen an Firewalls. Nicht so häufig anzutreffen. Web Deploy(aka msdeploy) Dateien, Ordner, Konfiguration, Datenbanken, RegistryKeys, Zertifikate, etc. Das ist die Zukunft! Nicht nur schnöder Dateiupload sondern Komplett Deployment von Websites inkl. DB via http(s). Derzeit noch ein bisschen komplex für einfachen Datei Upload. Background Intelligent Transfer Service (BITS) Dateien, Ordner Für große Down oder Uploads. BITS Server Erweiterung zum IIS muss über den Server Manager installiert werden. Wenig dokumentiert selten anzutreffen. Links: FTP Publishing Service Using FTP Virtual Host Names Configure FTP with IIS 7 Manager Authentication Configuring FTP 7.5 with Host Header and SSL Windows Firewall setup for Microsoft FTP Publishing Service for IIS 7.0. How to Use Managed Code (C#) to Create an FTP Authentication Provider with Dynamic IP Restrictions : Developing for FTP 7.5 : Extending IIS 7.0 : The Official Microsoft IIS Site Comments samsam 27 May :48 AM Ich muss sagen, Vielen Dank. Bitte, machen Sie weiter.

21 Seite 21 von 22 best regards Lehmann 31 May :35 AM Sie sollten über dieses Thema ein Buch schreiben... es gibt leider kaum etwas Gutes zu diesem Thema IIS 7.x auf dem Markt... ich kaufs dann sofort!!! Vielen Dank für Ihren Block!!!! followed1 29 Jul :45 AM Jep, besten Dank. Sehr gut erklärt. Grüße followed1 29 Jul :46 AM <a rel='dofollow' href=' rel='dofollow'>deliciouz</a> Silvio Meininger 19 Nov :33 AM ich habe es so gemacht wie es im 1 beispiel erklärt wird, aber es geht bei mir nicht.ich versuche es schon seit monaten nen ftp einzurichten, aber es will einfach nicht funktionieren. ich bekomme langsamm die kriese mit dem windows server. ich brauche unbedingt hilfe dabei. Bernhard: Würde gern helfen, wie kann ich Sie erreichen? Silvio Meininger 24 Nov :59 AM Erreichen können sie mich über xfire(...), über skype(...), über icq (..., über MSN (...), und über steam (... würde mich sehr freuen wen sie mich kontaktieren würden Bernhard: mach ich : ) kontaktinfos habe ich mal ausge...tet.

22 Seite 22 von 22 Silvio Meininger 24 Jan :36 AM Bernhard ich brauche nochmal deine hilfe. Melde dich bitte nochmal bei mir André Muhle 14 Mar :16 PM Vielen herzlichen Dank für dieses How To! Echt Wahnsinn! Common Tasks