Postavljanje FTP servera na Windowsu ostaje jedan od najlakših načina za brzo dijeljenje datoteka unutar lokalne mreže ili putem interneta , bez oslanjanja na cloud usluge ili ograničenja veličine. Iako danas postoje modernije alternative poput SFTP-a ili online rješenja za pohranu, FTP se i dalje široko koristi za hosting, testna okruženja i prijenos podataka velikih razmjera.
Međutim, ako zaista želite da sve uradite kako treba, nije dovoljno samo "natjerati ga da radi": ključno je ispravno konfigurirati korisnike, portove, dozvole, zaštitne zidove i sigurnosne mjere , posebno kada će server biti dostupan izvan vaše mreže. Ovaj sveobuhvatni vodič će vam pokazati kako instalirati i konfigurirati FTP zasnovan na IIS-u na različitim verzijama Windowsa, kako prilagoditi sigurnost servisa i dostupne metode povezivanja, kao i uobičajene greške i kako ih izbjeći.
Šta je FTP i koju ulogu igra u Windowsu i IIS-u?
FTP (File Transfer Protocol) je dugogodišnji protokol koji se koristi za slanje i primanje datoteka između klijenta i servera preko TCP/IP mreže . U praksi, omogućava vam povezivanje s udaljenim računarom, pregled foldera i datoteka te otpremanje ili preuzimanje sadržaja gotovo kao da je u pitanju drugi disk na vašem računaru.
U Windows Serveru (a također i u Windowsu 7, 8, 8.1, 10 i novijim verzijama), FTP server se obično postavlja preko IIS-a, Microsoftovog web servera. Interno, IIS izlaže element `<ftpServer>` unutar konfiguracije stranice , a unutar ovog elementa se nalazi `<security>`, što je blok u kojem se kontrolira autentifikacija, autorizacija, filtriranje naredbi i zaštita podatkovnog kanala i SSL-a.
Taj element <security> uključuje nekoliko kritičnih sekcija: <authentication> (anonymous, basic, certificates, custom) , <commandFiltering> za ograničavanje opasnih naredbi, <dataChannelSecurity> za jačanje sigurnosti između kontrolnih i podatkovnih kanala, te blokove <ssl> i <sslClientCertificates> za definiranje upotrebe certifikata i FTPS-a.
U modernim verzijama IIS-a (7.5, 8.0, 8.5, 10.0), sintaksa za `<security>` ostaje stabilna, zamjenjujući klasičnu FTP konfiguraciju iz IIS-a 6.0 koja se nalazila u metabazi LM/MSFTPSVC. Od Windowsa 7/Windows Servera 2008 R2, uloga FTP 7.5 je integrirana kao funkcija IIS-a, tako da je nije potrebno zasebno preuzimati.
Preduslovi: oprema, mreža i planiranje
Prije bilo kakvih promjena, bitno je osigurati da je vaše okruženje spremno za postavljanje FTP servera i da jasno razumijete koji će se korisnici povezivati, odakle i koje će se vrste informacija prenositi . Ovo će utjecati na sve, od strukture foldera do sigurnosnih politika koje implementirate. Ovo su sljedeći zahtjevi:
- Ima administratorske privilegijeDa biste instalirali ulogu FTP servera, izmijenite konfiguraciju IIS-a i prilagodite zaštitni zid.
- Dovoljno prostora na disku za FTP mapu podataka A što se tiče očekivanog rasta. Ako će server obraditi mnogo istovremenih klijenata ili vrlo velike transfere, možda bi bilo vrijedno nadograditi RAM, CPU ili samu mrežnu vezu.
Sa stanovišta mreže, ključno je da vaš zaštitni zid (firewall) i ruter dozvoljavaju potreban saobraćaj. Prema zadanim postavkama, FTP koristi portove 20 i 21 u nesigurnom režimu , ali ako koristite sigurne varijante (FTPS ili FTP preko SSH-a), uključeni su i drugi portovi, kao što je port 22 u slučaju SSH-a. Vaša kompanija može imati blokiran FTP zbog sigurnosne politike, tako da ćete morati koordinirati sa svojim mrežnim administratorom ili provajderom internet usluga. Da biste bolje razumjeli dodjeljivanje adresa i NAT, pogledajte kako uređaji dobijaju svoje IP adrese.
Konačno, odlučite hoće li vaš server biti samo interni ili će mu se moći pristupiti i s interneta. Ova odluka utiče na konfiguraciju portova, NAT, DNS, SSL certifikate i vrstu autentifikacije koju ćete dozvoliti . Za okruženja izložena vanjskim faktorima, FTPS i jake lozinke su praktično obavezne.
Instaliranje FTP servisa zasnovanog na IIS-u na Windowsu
U Windowsu, FTP server se instalira kao servis uloga unutar Internet Information Services (IIS) . Tačan postupak se neznatno razlikuje ovisno o verziji operativnog sistema, ali opšta ideja je uvijek ista: dodajte ulogu web servera i, unutar nje, FTP servis.
Instaliranje FTP-a na Windows Server 2012 / 2012 R2
U Windows Serveru 2012 i 2012 R2, proces se izvršava iz Server Managera. Iz trake zadataka idite na "Server Manager > Manage > Add Roles and Features" i slijedite čarobnjaka, odabirući instalaciju zasnovanu na ulogama ili funkcijama i odgovarajući ciljni server.
Na ekranu Server Roles (Uloge servera), proširite "Web Server (IIS)" i odaberite "FTP Server ". Čarobnjak će vas zatražiti da dodate potrebne funkcije; uglavnom je najbolje da ih prihvatite kakve jesu, uključujući alate za administraciju. Nakon što kliknete na Next (Dalje) na međuekranima, potvrdite instalaciju i pričekajte da se završi.
Instaliranje FTP-a na Windows Server 2008 / 2008 R2
U sistemu Windows Server 2008 R2, iz menija Start idite na „Administrativni alati > Upravitelj servera“ . U oknu Uloge odaberite „Web server (IIS)“ i kliknite na „Dodaj usluge uloga“. U čarobnjaku pronađite „FTP server“, proširite ga i odaberite „FTP usluga“.
Nakon što odaberete uslugu uloga, slijedite čarobnjaka do ekrana za potvrdu i kliknite na "Instaliraj" da biste dodali komponentu . Kada čarobnjak prikaže rezultate, možete zatvoriti prozor i nastaviti s konfiguracijom u IIS-u.
Instaliranje FTP-a na Windows 7, 8, 8.1 i 10
Na desktop sistemima kao što su Windows 7, 8, 8.1 i 10, FTP server je također uključen kao Windows komponenta. Iz Kontrolne table idite na "Programi i funkcije > Uključivanje ili isključivanje funkcija Windowsa" i proširite "Internet Information Services".
Unutar IIS-a naći ćete opciju "FTP Server"; odaberite FTP uslugu (i FTP extensibility ako želite dodatne funkcije) i potvrdite sa OK. U Windowsu 10, proces je vrlo sličan: pristupite istoj ploči s postavkama i obavezno odaberite i "FTP Server" i alate za web administraciju kako biste mogli lako koristiti IIS Manager.
Instalacija na Windows Serveru 2019
U Windows Serveru 2019, postupak je praktično identičan onome u verzijama 2012/2016: U Server Manageru idite na "Dodaj uloge i funkcije", odaberite "Web server (IIS)" i pod "Usluge uloga" uključite "FTP server" među komponente za instalaciju . Nakon instalacije, možete kreirati svoje FTP lokacije u IIS Manageru.
Kreiranje korisnika i grupa za FTP
Dobra sigurnosna praksa je izbjegavanje ponovne upotrebe korisničkih računa s povećanim privilegijama za FTP veze . Umjesto toga, kreirajte namjenske korisnike (i, ako je potrebno, grupe) koji imaju pristup samo mapama potrebnim za otpremanje i preuzimanje sadržaja.
Na Windows serveru možete koristiti Konzolu za upravljanje korisnicima i grupama. U traku za pretragu upišite nešto poput "korisnici" i pristupite opciji "Dodaj, uredi ili izbriši druge korisnike" . Odatle, ili iz alata "Lokalni korisnici i grupe" (ili Active Directory korisnici i računari u domeni), možete kreirati nove račune.
Prilikom kreiranja FTP korisnika, definirate korisničko ime, puno ime i opis; identifikator za prijavu je neophodan. Zatim birate jaku lozinku i prilagođavate opcije kao što su "korisnik ne može promijeniti lozinku" ili "lozinka nikada ne ističe ", ovisno o tome kako namjeravate koristiti FTP račun.
Ako planirate upravljati više korisnika s identičnim dozvolama, isplati se kreirati posebnu grupu, kao što je "FTP_Korisnici". Na kartici Grupe možete kreirati novu grupu, dodijeliti joj ime i opis te dodati korisnike koji će dijeliti prava . Ova grupa se kasnije može koristiti i za NTFS dozvole i za IIS pravila autorizacije.
U okruženjima s Active Directoryjem (kao u mnogim Windows Server 2019 sistemima) uobičajeno je kreirati namjensku organizacijsku jedinicu, na primjer "FTP servis", i unutar nje definirati račune koji će imati pristup servisu , olakšavajući centraliziranu administraciju i sigurnosne politike.
Konfiguracija korijenske (kućne) mape FTP-a
Nakon što je FTP servis instaliran i korisnici kreirani, sljedeći korak je priprema mape koja će služiti kao osnovni direktorij za FTP lokaciju . Ova lokacija može biti jednostavan "C:\FTP" u testnom okruženju ili namjenski volumen u produkcijskom okruženju.
Iz programa File Explorer kreirajte mapu na odabranoj lokaciji, a zatim idite na njena svojstva (kliknite desnim tasterom miša > „Svojstva“). Na kartici „Sigurnost“ idite na „Napredno“ da biste preciznije upravljali dozvolama i, ako je potrebno, prekinuli nasljeđivanje dozvola diska.
Prekid nasljeđivanja se obično vrši klikom na "Onemogući nasljeđivanje" i odabirom "Učini naslijeđene dozvole eksplicitnim za ovaj objekt" , tako da od tada možete uređivati ko pristupa mapi bez prevlačenja cijelog ACL-a s diska ili nadređenih mapa.
Nazad u prozoru sigurnosti, preporučuje se da uklonite sve unose koji vam nisu potrebni (kao što je generička grupa "Korisnici") i dodate samo FTP korisnika ili grupu koju ste kreirali. U uređivaču dozvola, dodijelite tom korisniku/grupi "Punu kontrolu" kako biste osigurali da mogu čitati, pisati, brisati i preimenovati datoteke bez problema.
U scenarijima s više korisnika možete ići korak dalje i kreirati podmape za svakog korisnika , konfigurirajući odvojene dozvole tako da svako vidi samo svoj sadržaj ili se igrati s IIS autorizacijom kako biste izolirali direktorije na temelju identiteta.
Kreirajte i konfigurirajte FTP stranicu u IIS-u
Nakon što omogućite FTP ulogu i osnovnu mapu sa njenim dozvolama, potrebno je da kreirate FTP lokaciju u Internet Information Services (IIS) Manageru . Ovo je dio koji povezuje IP adresu, port, fizičku putanju i politike autentifikacije/autorizacije. Ovo su koraci koje treba slijediti:
- Otvorite IIS Manager iz menija administrativnih alata (ili direktnim pretraživanjem).
- U panelu za veze kliknite desnim tasterom miša na „Sites“.
- Odaberite "Dodaj FTP lokaciju"Otvorit će se mali vođeni asistent.
- Na prvom ekranu asistenta definirajte Naziv FTP lokacije i fizička putanja do osnovne mapePutanju možete upisati ručno ili kliknuti na dugme za pregledanje da biste pronašli mapu koju ste ranije kreirali (na primjer, "C:\FTP"). Nakon što postavite početni direktorij, kliknite na "Dalje".
- Drugi ekran konfiguriše odjeljak "Link i SSL". Odaberite IP adresu koju će stranica slušati (ili ostavite "Sve nedodijeljeno" ako imate samo jednu) i odredite TCP port koji želite koristiti (zadana vrijednost je 21 za standardni FTP ili 990 ako želite implicitni FTPS).
- Što se tiče SSL-a, imate tri osnovne opcije:
- Onemogućite ga („Bez SSL-a“).
- Dozvolite to opcionalno („Dozvoli SSL“).
- Prisilno ga nametni („Zahtijeva SSL“).
- Treći ekran čarobnjaka definira autentifikaciju i autorizaciju. Možete omogućiti anonimnu autentifikaciju, osnovnu autentifikaciju ili oboje. U odjeljku za autorizaciju birate ko se može povezati i koje će dozvole imati. IIS vam omogućava da odredite "Sve korisnike", "Anonimne korisnike", "Navedene korisnike" ili ugrađene grupe. Na primjer, možete odabrati "Navedene korisnike", navesti račun ili grupu i označiti kućicu. Dozvole za čitanje i pisanje kako bi se omogućilo otpremanje i preuzimanje datoteka.
- Kliknite na "Završi" i FTP lokacija će biti kreirana.
FTP autentifikacija: anonimna, osnovna i napredna
Odjeljak <authentication> u postavkama IIS FTP-a određuje kako se identificiraju klijenti koji pokušavaju uspostaviti vezu . U prikazu značajki FTP lokacije, dvostrukim klikom na "FTP Authentication" prikazat će se nekoliko opcija.
- Anonimna autentifikacija. Omogućava ulazak bilo kome bez akreditiva, korisno samo za potpuno javne stranice na kojima želite dijeliti samo preuzimanja I ništa nije ograničeno. Na kartici za autentifikaciju, odabirom "Anonimna autentifikacija" i korištenjem radnji "Omogući" ili "Onemogući", možete je aktivirati ili blokirati po potrebi.
- Osnovna autentifikacijaOd kupca se zahtijeva da pošalje važeće korisničko ime i lozinka na domeni ili računaruOvo je uobičajena metoda za interna ili mala hosting okruženja, ali imajte na umu da korisničko ime i lozinka putuju kao običan tekst ako ne koristite SSL, pa se na internetu toplo preporučuje kombiniranje s FTPS-om.
- Autentifikacija korištenjem klijentskih certifikata Active Directoryja (clientCertAuthentication). Klijent se identificira pomoću digitalni certifikat umjesto korisničkog imena/lozinke.
- Personalizirana autentifikacija (customAuthentication). Omogućava vam da priključite vlastite ili module trećih strana za napredniju validaciju vjerodajnica.
Ako želite promijeniti zadanu metodu autentifikacije, jednostavno odaberite "Osnovna autentifikacija" na ekranu "FTP autentifikacija" i kliknite na "Omogući", čime ćete onemogućiti anonimnu autentifikaciju. Ova jednostavna promjena značajno smanjuje izloženost servera , posebno kada se kombinuje sa restriktivnim pravilima autorizacije.
Sigurnost, SSL/FTPS i filtriranje komandi
Ovih dana, ostavljanje nešifriranog FTP servera da osluškuje internet nije dobra ideja, pa je vrijedno detaljnije pogledati napredne sigurnosne opcije koje nudi odjeljak FTP <security> u IIS-u . To uključuje korištenje SSL-a, zaštitu podatkovnog kanala i naredbe za filtriranje.
Da biste zaštitili svoj promet, možete koristiti SSL certifikate. IIS vam omogućava da kreirate samopotpisani certifikat direktno iz "Server Certificates" u IIS Manageru ili da uvezete onaj koji je izdao pouzdani autoritet. Nakon što ga dobijete, u FTP postavkama web-mjesta (pod "FTP SSL Settings") odaberite taj certifikat i označite "Require SSL connection" ako želite da sve veze budu šifrirane (eksplicitni ili implicitni FTPS, ovisno o portu).
Blok unutar Omogućava vam podešavanje politika kao što su controlChannelPolicy i dataChannelPolicy, koje ukazuju na to da li je SSL potreban na kontrolnim i podatkovnim kanalima.
S druge strane, filtriranje FTP komandi putem `<commandFiltering>` vam omogućava da odbijete određene komande koje smatrate opasnim ili nepotrebnim.
Za sigurnost podatkovnog kanala, <dataChannelSecurity> dodaje dodatne slojeve, kao što je zahtjev da adresa klijenta na podatkovnom kanalu odgovara adresi na kontrolnom kanalu. Ovo otežava određene napade koji pokušavaju oteti ili preusmjeriti FTP sesiju iskorištavanjem dinamičkog prosljeđivanja portova.
Konačno, `<sslClientCertificates>` kontrolira pravila u vezi s klijentskim certifikatima u SSL-u, omogućavajući vam da ih ignorirate (`CertIgnore`), prihvatite ili zahtijevate. Ako radite u vrlo zatvorenom korporativnom okruženju, zahtijevanje klijentskih certifikata dodaje vrlo snažnu sigurnosnu barijeru protiv neovlaštenog pristupa.
Windows zaštitni zid i otvaranje portova
Imati savršen FTP server je beskorisno ako zaštitni zid blokira sav promet. Na Windowsu, zaštitni zid sistema Windows s naprednom sigurnošću blokira mnoge dolazne veze prema zadanim postavkama , tako da ćete morati kreirati posebna pravila ili koristiti unaprijed definirana.
Iz "Kontrolna ploča > Sistem i sigurnost > Windows Defender Firewall" možete pristupiti opciji "Dozvoli aplikaciju ili funkciju kroz Windows Firewall" . Tamo provjerite je li "FTP server" omogućen i za privatne i za javne mreže, ovisno o vašoj namjeni.
Za detaljniju kontrolu, otvorite "Windows Firewall with Advanced Security" i, pod "Inbound Rules", kreirajte novo unaprijed definirano pravilo za "FTP Server", odabirući sve relevantne komponente . Ovo će automatski generirati potrebne unose za port 21 i ostale povezane usluge.
U nekim slučajevima, morat ćete autorizirati i procese poput svchost.exe, koji je servisni host na kojem se izvršavaju mnoge Windows funkcije. Ako otkrijete konflikte, možete koristiti opciju "Dozvoli drugu aplikaciju" i dodati svchost na listu dozvoljenih aplikacija , uvijek postupajući s oprezom i razumijevajući implikacije.
Ako želite da vaš FTP server bude dostupan i s interneta, morat ćete otvoriti port 21 (ili koji god port koristite za FTP) na svom ruteru kreiranjem pravila za prosljeđivanje portova na internu IP adresu vašeg servera . To se radi putem WAN ili NAT postavki rutera, navodeći uslugu, eksterni port, internu IP adresu i interni port - obično sve 21/TCP ako koristite klasični FTP.
Načini povezivanja na FTP server u Windowsu
Nakon što je server pokrenut i radi, imate nekoliko načina za povezivanje s Windows klijenta i premještanje datoteka . Neki su jednostavniji za korištenje i grafički osmišljeni, drugi su tehnički zahtjevniji, ali vrlo korisni za dijagnostiku.
Najčešći način danas je korištenje namjenskog FTP klijenta kao što su FileZilla, WinSCP ili drugi . Ovi programi nude dvostrani interfejs (lokalni/udaljeni), funkcionalnost prevlačenja i ispuštanja i upravljanje redom čekanja; potrebno je samo navesti host (IP ili domenu), tip protokola, korisničko ime, lozinku i port (pogledajte tri najbolja FTP klijenta ).
Druga opcija je korištenje web preglednika upisivanjem URL-a poput ftp://server-IP ili ftp://ftp.yourdomain.com u adresnu traku . Ako vaš preglednik i dalje podržava FTP, pojavit će se upit za korisničko ime i lozinku i vidjet ćete navedeni sadržaj. Međutim, moderni preglednici uklanjaju podršku za FTP zbog sigurnosnih razloga i niske upotrebe, tako da je ova metoda sada gotovo zastarjela.
Također možete koristiti komandni redak. Otvorite "cmd", pokrenite komandu ftp da biste pristupili osnovnom klijentu ugrađenom u Windows , a zatim upišite "otvori IP-or-host port" da biste se povezali. Ako server koristi port 21, jednostavno upišite "otvori 192.168.xx"; ako je na drugom portu, morate ga navesti, na primjer, "otvori 192.168.0.26 214".
Konačno, Windows File Explorer vam omogućava da tretirate FTP server kao mrežnu lokaciju. Iz "Ovaj računar" možete odabrati "Dodaj mrežnu lokaciju", a u čarobnjaku odaberite "Odaberi prilagođenu mrežnu lokaciju" i unesite adresu servera u formatu ftp://server-ili-IP . Nakon što unesete svoje vjerodajnice i date joj opisni naziv, ta FTP lokacija će se pojaviti kao ikona pod "Ovaj računar".
Upravljanje više računa i dozvola na FTP-u
U scenarijima gdje nekoliko ljudi koristi server, normalno je kreirati nekoliko FTP računa s različitim dozvolama , tako da neki mogu samo čitati, drugi i pisati, a neki mogu biti ograničeni na određeni poddirektorij.
U Windowsu 10 i novijim verzijama, možete kreirati nove korisničke račune iz Postavke > Računi > Porodica i drugi korisnici, koristeći opciju "Dodaj nekoga drugog na ovaj računar" i odabirom "Dodaj korisnika bez Microsoft računa" za jednostavne lokalne račune. Unesite korisničko ime i lozinku i imat ćete dodatni profil.
Zatim, na serveru, idite do FTP mape, idite na Svojstva > Sigurnost i dodajte novi račun na sigurnosnu listu, dodjeljujući željene dozvole (na primjer, samo "Izmijeni" i "Čitaj i izvrši"). Ovo kontrolira šta korisnik može raditi na nivou datotečnog sistema , a zadatke vezane za datoteke možete automatizirati pomoću alata poput FreeCommander XE.
Konačno, u IIS Manageru, unutar FTP lokacije, otvorite funkciju "Pravila autorizacije" i kreirajte novo pravilo dozvola koje navodi "Navedeni korisnici" s imenom računa ili grupe kojoj želite dozvoliti pristup. Dodijelite dozvole za čitanje i/ili pisanje prema ulozi korisnika , tako da ista FTP lokacija može hostirati račune s vrlo različitim privilegijama.
Ako ponovite ovaj postupak s različitim korisnicima, izgradit ćete mnogo organiziranije FTP okruženje za više korisnika , u kojem svaka osoba vidi samo ono što bi trebala, a server nije mješavina podataka kojoj se može pristupiti s jednog dijeljenog računa.
Kada su svi ovi dijelovi pravilno uklopljeni – instaliranje FTP uloge u IIS-u, kreiranje određenih korisnika i grupa, pažljivo konfigurisanje korijenske mape, podešavanje autentifikacije, korištenje SSL-a, otvaranje portova i razumijevanje različitih metoda povezivanja – moguće je postaviti robustan, relativno siguran FTP server na Windowsu, prilagođen vašim potrebama , bilo da se radi o jednostavnom dijeljenju datoteka na vašoj lokalnoj mreži ili o izlaganju repozitorija dostupnog s bilo kojeg mjesta u svijetu.
