Usando FTP sobre SSL no IIS 7
Compatibilidade
| Versão | Notas |
|---|---|
| IIS 7.5 | Os navios do serviço de FTP 7,5 como um recurso para o IIS 7.5 no Windows 7 e Windows Server 2008 R2. |
| IIS 7.0 | O 7.0 FTP e FTP 7,5 serviços foram transferidos para fora da banda para o IIS 7.0, o que exigiu baixar e instalar o serviço a partir do seguinte URL: http://www.iis.net/download/FTP . |
Introdução
A Microsoft criou um novo serviço de FTP que foi totalmente reescrito para o Windows Server ® 2008. Este serviço FTP incorpora muitos recursos novos que permitem que autores de web para publicar conteúdo melhor do que antes, e oferece aos administradores da web mais segurança e opções de implantação.
Uma das características é FTP sobre Secure Sockets Layer (SSL), que permite que as sessões sejam criptografadas entre um cliente e servidor FTP. Este documento orienta: a criação de um site FTP, e, configurar esse site para usar SSL com a nova interface de usuário de FTP, que permite editar diretamente os arquivos de configuração do IIS 7.0. Ele contém:
- Pré-requisitos
- OPCIONAL: Criando um certificado SSL auto-assinado
- Criando um SSL ativado site FTP usando o IIS Manager 7.0
- Adicionando baseada em SSL publicação FTP, editar os arquivos de configuração do IIS 7,0
Nota: Este passeio através contém uma série de etapas, onde você faz login em seu site FTP usando a conta de administrador local. Estas medidas só devem ser seguidas no próprio servidor usando o endereço de loopback ou sobre SSL a partir de um servidor remoto. Se você preferir usar uma conta de usuário separada em vez de a conta de administrador, você deve criar as pastas adequadas e definir as permissões corretas para a conta do usuário, quando necessário.
Pré-requisitos
Os seguintes itens são necessários para ser instalado para completar os procedimentos deste artigo:
- IIS 7.0 deve ser instalado no seu Windows 2008 Server e Internet Information Services Manager deve ser instalado.
- O serviço FTP novo. Você pode baixar e instalar o serviço FTP do http://www.iis.net/ site através de um dos seguintes links:
- Você vai precisar criar uma pasta raiz para publicação FTP:
- Crie uma pasta em “% SystemDrive% \ inetpub \ ftproot”
- Defina as permissões para permitir o acesso do grupo de administradores:
- Abra um prompt de comando.
- Digite o seguinte comando:
Icacls “% SystemDrive% \ inetpub \ ftproot” / Grant administradores: F / T - Feche o prompt de comando.
Nota: As configurações listadas neste passo a passo especifique “% SystemDrive% \ inetpub \ ftproot” como o caminho para o seu site FTP. Você não é obrigado a usar este caminho, no entanto, se você alterar o local para o seu site, você deve mudar os caminhos relativos ao local que são utilizados em todo este passo a passo.
OPCIONAL: Criando um certificado SSL auto-assinado
Nesta tarefa opcional que você vai criar um certificado SSL auto-assinado que será usado para testar seu site FTP.
Nota: Se você estiver configurando um site FTP para Internet baseado em atividade, você poderia obter um certificado SSL de uma das Autoridades Certificadoras muitos, como VeriSign, Thawte, DigiCert, etc Para mais informações sobre autoridades de certificação, consulte o seguinte página no site da Microsoft Developer Network:
http://msdn.microsoft.com/en-us/library/bb540797 (VS.85). aspx
- Abra o Internet Information Services (IIS 7.0) Manager.
- Clique no seu computador no nó superior da árvore Connections, em seguida, clique duas vezes no recurso Server Certificados.
- Clique em Criar certificado auto-assinado no painel Ações.
- Digite “Certificado Meu FTP”, como o nome para o novo certificado, em seguida, clique em OK.
Criando um SSL ativado site FTP usando o IIS Manager 7.0
ETAPA 1: USAR O ASSISTENTE DO SITE FTP PARA CRIAR UMA BASEADA EM SSL DO SITE FTP
Nesta primeira etapa, você cria um novo site FTP que só pode ser aberto usando a conta de administrador.
- Vá para o Gerenciador do IIS 7.0. No painel Conexões, clique no nó Sites na árvore.
- Botão direito do mouse o nó Sites na árvore e clique em Adicionar site FTP, ou clique em Adicionar Site FTP no painel Ações.
- Quando o assistente Adicionar Site FTP aparece:
- Digite “Meu novo site FTP” na caixa de FTP nome do site, em seguida, navegar para o “% SystemDrive% \ inetpub \ ftproot” pasta que você criou na seção Pré-requisitos Nota:. Se você optar por digitar o caminho para a pasta de conteúdo , você pode usar variáveis de ambiente em seus caminhos.
- Clique em Avançar.
- Na próxima página do assistente:
- Escolha um endereço IP do site FTP a partir do endereço IP drop-down, ou optar por aceitar a seleção padrão de “Todos os não atribuídos”. Porque você vai usar a conta de administrador, mais adiante neste passo a passo, certifique-se de restringir o acesso ao servidor e digite o endereço IP local loopback para o seu computador, digitando “127.0.0.1” na caixa Endereço IP.
- Você normalmente entra a porta TCP / IP para o site FTP na caixa Porta. Para este passo a passo, escolher aceitar a porta padrão de 21.
- Para este passo a passo, você não usar um nome de host, para se certificar de que a caixa Host Virtual está em branco.
- Certifique-se de que os certificados drop-down está definido para o seu certificado SSL. Por exemplo, se você seguiu o passo opcional para criar um certificado auto-assinado, a caixa drop-down deve dizer “a minha certidão de FTP”.
- Certifique-se de que a opção Permitir SSL é selecionado.
- Clique em Avançar.
- Na próxima página do assistente:
- Selecione Básico para as configurações de autenticação.
- Para as configurações de autorização:
- Escolha “usuários especificados” do Permitir acesso a drop-down.
- “Administrador” de tipo para o nome de usuário.
- Selecione Ler e Escrever para a opção Permissões.
- Quando tiver concluído esses itens, clique em Concluir.
Resumo
Você criou um site baseado em SSL novo FTP usando o serviço FTP novo.
Para recapitular os itens que você completou nesta etapa:
- Você criou um novo site FTP chamado “Meu novo site FTP”, com raiz de conteúdo do site em “% SystemDrive% \ inetpub \ ftproot”.
- Você prendeu o site FTP para o endereço de loopback local para o seu computador na porta 21.
- Você escolheu a exigir Secure Sockets Layer (SSL) para o site FTP, e selecionou o seu certificado SSL.
- Você ativou a autenticação básica e criou uma regra de autorização para a conta de administrador local para leitura e gravação de acesso.
PASSO 2: CONFIGURAÇÃO ADICIONAIS FTP CONFIGURAÇÕES DE SSL
A política de SSL para o FTP é personalizável com base no site por site. Diferentes configurações podem ser especificadas para os canais de controle e de dados. Nesta etapa, você pode configurar definições adicionais SSL para o seu site FTP que garantir que todas as credenciais do usuário são criptografados, mesmo que toda a atividade FTP outro não.
- Vá para o Gerenciador do IIS 7.0. Clique no nó para o site FTP que você criou na etapa 1. Os ícones de toda a tela características FTP.
- Para configurar as opções de SSL, dê um duplo clique no ícone Configurações de FTP SSL para abrir a página do recurso SSL configurações.
- Quando as configurações de FTP SSL exibida a página, selecione a opção Personalizar e, em seguida, clique no botão Avançado.
- Quando a caixa de diálogo Avançado SSL Política é exibida:
- Selecione o Exigir apenas para credenciais opção para o canal de controle Nota:. Essa definição exige que todos os nomes de usuário e senhas são criptografadas via SSL, mas o cliente pode escolher se quer criptografar toda a atividade de outro canal de controle.
- Selecione a opção Permitir para o canal de dados Nota:. Esta configuração permite que o cliente escolha se deseja criptografar qualquer atividade do canal de dados.
- Quando você tiver completado estes itens, clique em OK.
- Na página Configurações de FTP SSL, clique em Aplicar no painel Ações para salvar as configurações de SSL.
Resumo
Para recapitular os itens que você completou nesta etapa:
- Você configurou a política de controle canal SSL para exigir que todas as credenciais do usuário são criptografados, e permitiu que clientes FTP para determinar se para criptografar toda a atividade de outro canal de controle.
- Você configurou a política de canal de dados SSL para permitir que clientes FTP para determinar se para criptografar qualquer atividade canal de dados.
REGISTRO EM SEU SITE FTP
Na Etapa 1, você criou um site FTP que pode ser acessado pela conta de administrador. Na Etapa 2, você configurou a política de controle canal SSL para exigir que todas as credenciais do usuário são criptografados, permitindo que os clientes FTP para escolher se quer ou não todos os canais de outro controle e de dados de atividade do canal ser criptografados.
Quando fizer o login no servidor FTP usando um com SSL cliente de FTP, o servidor FTP suporta as seguintes opções de segurança explícitas:
- TLS-C/TLS – Use TLS para a conexão com RFC2228 padrões. Isto significa que não há protecção implícita da ligação de dados.
- TLS-P/SSL – Usar TLS para a conexão. Isto significa que a ligação de dados é implicitamente protegida.
Essas configurações podem ser configuradas ao especificar as opções de conexão SSL na maioria dos clientes 3 ª parte-FTP.
Adicionando baseada em SSL publicação FTP, editar os arquivos de configuração do IIS 7,0
Você também pode adicionar baseada em SSL publicação FTP para um site já existente, editando os arquivos de configuração do IIS 7.0.
Nota: A edição seu arquivo applicationHost.config requer completos permissões administrativas. Use um dos dois métodos:
- Entrar para o seu computador usando o local “administrador”, conta.
Ou
- Se você estiver logado com uma conta com permissões administrativas que não é o local “administrador” da conta, o bloco de notas aberto usando o “Executar como Administrador” opção.
Nota: Uma das etapas acima é necessário porque o User Account Control componente de segurança (UAC) no Windows Vista e Windows Server 2008 sistemas operacionais impede o acesso ao seu arquivo applicationHost.config. Para mais informações sobre o UAC, consulte a seguinte documentação:
Os passos seguintes orientá-lo através de todas as configurações necessárias para adicionar publicação FTP para o site padrão.
PASSO 1: RECUPERAR O HASH PARA O SEU CERTIFICADO SSL:
- No recurso de certificados de servidor, clique duas vezes o seu certificado SSL. Por exemplo, se você seguiu o passo opcional para criar um certificado auto-assinado, você clicar duas vezes no certificado que é chamado de “Certificado Meu FTP”.
- Clique na guia Detalhes.
- Percorra os campos até localizar o valor de impressão digital.
- Destacar o valor Thumbprint, os dados mostra como:
“57 68 6F 61 20 44 75 64 65 2C 20 49 49 53 20 52 6F 63 6B 73” - Copie os dados hexadecimais na caixa de texto e cole-o na área de transferência. Em seguida, abra o Windows Notepad e cole os dados em um documento em branco.
Nota: Você vai usar essa informação mais tarde.
ETAPA 2: ADICIONAR FTP PARA O SITE PADRÃO
- Usando um editor de texto como o bloco de notas do Windows, abra o arquivo applicationHost.config, que está localizado na pasta% SystemRoot% \ System32 \ inetsrv pasta \ config por padrão.
- Localize a seção para o site padrão. Ele deve ser semelhante ao exemplo seguinte:
<site name="Default Web Site" id="1"> path="/"> <application <virtualDirectory path="/" physicalPath="%SystemDrive%\inetpub\wwwroot" /> </ Application> <bindings> <binding protocol="http" bindingInformation="*:80:" /> </ Bindings> Site </>
- Criar um novo elemento de ligação na coleção de ligações. Defina o valor do atributo de protocolo sobre o novo elemento de ligação para conter “ftp”, em seguida, alterar o valor da porta do atributo bindingInformation para conter “21”.As definições do seu site padrão deve agora se parecer com o exemplo a seguir:
<site name="Default Web Site" id="1"> path="/"> <application <virtualDirectory path="/" physicalPath="%SystemDrive%\inetpub\wwwroot" /> </ Application> <bindings> <binding protocol="http" bindingInformation="*:80:" /> <binding protocol="ftp" bindingInformation="*:21:" /> </ Bindings> Site </>
- Adicionar uma seção <ftpServer> sob a tag de fechamento <bindings> que irá conter a sua autenticação e configurações de SSL Nota:. As configurações de autenticação para sites FTP são configurados no nível do site, ao contrário de autenticação para sites da Web, que pode ser configurado por URL .
<ftpServer> <security> <authentication> <anonymousAuthentication enabled="false" userName="IUSR" /> <basicAuthentication enabled="true" /> </ Authentication> <ssl serverCertHash="" controlChannelPolicy="SslRequire" dataChannelPolicy="SslRequire" /> </ Security> </ Ftpserver>
- Copie e cole os dados de impressão digital do certificado SSL para o atributo do elemento serverCertHash SSL. Remova todos os espaços a partir dos dados de impressão digital. (Nota:. Se você não converter os dados hexadecimais para maiúsculas, ele não vai aparecer no Gerenciador do IIS mais tarde) as configurações padrão da Web Site agora deve conter algo como o exemplo a seguir:
<site name="Default Web Site" id="1"> path="/"> <application <virtualDirectory path="/" physicalPath="%SystemDrive%\inetpub\wwwroot" /> </ Application> <bindings> <binding protocol="http" bindingInformation="*:80:" /> <binding protocol="ftp" bindingInformation="*:21:" /> </ Bindings> <ftpServer> <security> <authentication> <anonymousAuthentication enabled="false" /> <basicAuthentication enabled="true" /> </ Authentication> </ Security> <ssl serverCertHash="57686F6120447564652C2049495320526F636B73" controlChannelPolicy="SslRequire" dataChannelPolicy="SslRequire" /> </ Ftpserver> Site </>
- Vá até o final do seu arquivo applicationHost.config e adicionar uma seção local para o seu Site da Web padrão que irá conter as configurações de autorização Nota:. Conforme mostrado neste exemplo, as configurações de autorização para sites FTP são configurados por URL.
<location path="Default Web Site"> <system.ftpServer> <security> <authorization> <add accessType="Allow" users="administrator" permissions="Read, Write" /> </ Authorization> </ Security> </ System.ftpServer> </ Location>
- Salve o arquivo de applicationHost.config.
Agora você deve ser capaz de efetuar login em seu site padrão usando uma baseada em SSL cliente de FTP.
Resumo
Nesta tarefa, você acrescentou baseada em SSL publicação FTP para o site padrão editando os arquivos de configuração do IIS 7.0. Para recapitular os itens que você completou nesta tarefa:
- Você acrescentou uma ligação FTP para o site padrão.
- Você habilitado FTP autenticação básica e deficientes FTP autenticação anônima para o site padrão.
- Você configurou o site para exigir SSL para todos os canais e controle de atividade do canal de dados.
- Configurou a conta de administrador para leitura / gravação para o site padrão.