Jak udělat privátní FTP server s SSL na Windows Serveru 2022?

Question

Dobrý den, potřeboval bych poradit s privatním FTP serverem i s použitím SSL a certifikátů.

Answer 1

5. FTP server

1. Instalace FTP: Ve Správci serveru spustíme Add Roles and Features. Na rolích rozbalíme Web Server (IIS) a pod ním zvolíme FTP Server. Potvrdíme FTP Service a (doporučeně) FTP Extensibility. Dokončíme instalaci.
2. Přidání FTP webu: V IIS Manageru v levém panelu klikneme pravým tlačítkem na Sites a vybereme Add FTP Site​. Otevře se průvodce:

FTP site name: Např. „MujFTP“.

Physical path: Vybereme složku pro soubory (např. %SystemDrive%\inetpub\ftproot). Ujistíme se, že složka existuje a má správná NTFS oprávnění (např. Administrators Full Control, případně uživatel IUSR nebo jiný pro anonymní přístup).

Binding and SSL Settings:

IP address: vybereme konkrétní IP nebo „All Unassigned“ (můžeme také přidat obsluhu hostnames, ale obvykle není třeba).

Port: default 21 (lze změnit).

Host name: necháme prázdné, pokud nepoužíváme virtuální hostování.

SSL: Zde vybereme jednu z možností:

No SSL: FTP bez šifrování. Tento režim umožní i čisté FTP klienty (přihlašuje se v textu). (Pokud jsme zvolili No SSL, nemusíme vybírat certifikát.)

Allow SSL (Volitelné): Pokud chceme podpořit FTPS, ale zároveň dovolit i prosté FTP (nešifrované), vybereme Allow SSL. V Certificates pak můžeme vybrat certifikát pro SSL (např. samopodepsaný z IIS).

Require SSL: Pokud chceme povolit pouze šifrované přenosy, zvolíme Require SSL a vybereme certifikát.

Certifikát: Pokud jsme zvolili Allow nebo Require, v rozbalovacím seznamu Certificates vybereme příslušný certifikát (pokud jsme předtím v IIS vytvořili self-signed certifikát, vybere se například „My FTP Certificate“​).

Klikneme Next.

Authentication and Authorization: Vybereme typ autentizace (obvykle Basic pro ověřování Windows účtů; Anonymous jen pokud chceme volný přístup). Uživatelé zadávají své Windows jméno/heslo. V sekci Authorization zadáme, kdo má přístup:

Allow access to: buď Specified roles or user groups (např. Administrators), Specified users (napište uživatelské jméno), nebo All users/Everyone.

Permissions: vybereme Read (stahování) a/nebo Write (úprava, nahrávání).

Klikneme Finish pro vytvoření FTP stránky​.

FTP bez SSL (běžné): Pokud jsme zvolili No SSL, nyní FTP bez šifrování běží na portu 21. Povolíme na firewallu TCP 21. Ujistíme se, že v IIS Manageru → FTP Site → SSL Settings je SSL Required vypnuto (případně Disabled). Klienti se nyní mohou připojovat jako ftp://server (např. pomocí průzkumníka Windows nebo FTP klienta).

FTP se SSL (FTPS): Pokud jsme naopak zvolili Require SSL při vytváření, nyní je FTP server připraven přijímat jen šifrované spojení (explicitní TLS na portu 21).

Ověřte, že certifikát je platný a klienti mu důvěřují.

V IIS Manageru můžeme dále upravit FTP SSL Settings (v IIS Manager → Sites → [nazev FTP site] → dvojklik FTP SSL Settings). Zde se standardně nabízí jen náš certifikát a volba Allow/Require SSL. V Advanced Settings můžeme určit šifrovací politiku: např. Require SSL for control channel a Allow SSL for data channel či naopak​.

Klient musí používat FTPS (explicit TLS) – běžný FTP klient obvykle má volbu „Require explicit FTP over TLS“.

Kontrola FTP: Připojte se z FTP klienta k serveru (s uživatelem a heslem nebo anonymním, dle nastavení). Pro FTPS vyžádejte šifrované spojení. V IIS Manageru můžete sledovat aktivní připojení v FTP Site → FTP Sites a ve službě LogFiles zkontrolovat záznamy přístupů.