IIS für Einsteiger Teil 5: FTP – oder wie lade ich Dateien auf meinen Webserver?

Das File Transfer Protocol (FTP) ist zwar nicht das neueste Protokoll, dafür aber effizient und schnell wenn es darum geht große Dateien oder viele Dateien mit einem (Web)Server auszutauschen.

Ein weiterer Vorteil: Viele teilweise komfortable FTP Clients (z.B. Filezilla) stehen mir kostenlos zur Verfügung. Damit lassen sich einfach z.B. die Dateien meiner Website von meinem Entwicklerrechner auf den IIS Webserver übertragen.

Der IIS versteht auch FTP zur Übertragung von Dateien. Auf dem Server werden dazu Verzeichnisse zum Publizieren freigegeben.

Was muss ich tun um FTP auf dem IIS zu ermöglichen?

Erstens sollte man sicherstellen, dass man den aktuellsten FTP Dienst für den IIS 7 installiert hat. Hintergrund: Der FTP 7.5 ist erst nach Fertigstellung des Windows Server 2008 entwickelt worden. Deswegen gibt es für diese IIS/OS Version einen separaten Download. Bei Windows Server 2008 R2 ist der FTP7.5 auf der OS DVD mit drauf.

Am einfachsten überprüft man mit dem Web Platform Installer ob der aktuellste FTP Dienst schon drauf ist oder installiert ihn darüber:

 

 

 

 

Den FTP Dienst verwaltet man in der IIS Administrationskonsole:

Im zweiten Schritt richten wir den FTP Dienst ein, dazu müssen wir angeben:

• wie ist der FTP Dienst erreichbar (z.B. IP Adresse)
• ob die Verbindung ver-oder unverschlüsselt erfolgen soll
• ob sich ein FTP Benutzer anmelden muss oder ob der Anonymous Benutzer ausreicht.
• welches Verzeichnis auf dem Webserver soll via FTP erreichbar sein soll
• welche Zugriffsrechte die Benutzer (Lesen oder/und Schreiben) haben sollen

3 Szenarien:

Man kann Verzeichnisse welche über FTP erreichbar sein sollen unterschiedlich konfigurieren. Die Verzeichnisse werden innerhalb einer FTP Site verwaltet. Ich möchte 3 Einstiegs-Szenarien vorstellen, die jeweils ihre Vor- und Nachteile besitzen:

1. Eine FTP Site zum Publizieren in alle Websites mit einen (oder wenigen) FTP Benutzer-Konto.
2. Eine FTP Site pro Website mit jeweils unterschiedlichen Anmelde-Informationen (Benutzername, Adresse)
3. Eine FTP Site mit mehreren FTP Benutzer-Konten + Isolierung, d.h. Benutzer sehen je nach Loginnamen nur ein bestimmtes Verzeichnis.

Diese Beispiele sollen zeigen, wie eine FTP Site grundsätzlich aufgebaut werden kann. Weitere Anpassungen und Erweiterungen sind natürlich möglich, sollen jedoch nicht Fokus sein, siehe dazu auch die weiterführenden Links.

(1) Eine FTP Site für alle Websites mit einem FTP Benutzer-Konto – keine Isolierung.

Hier die Schritte zum Einrichten der wohl einfachsten Variante. (Siehe auch Creating a New FTP Site)

In der IIS Administrationskonsole -> Rechter Mouseklick auf Sites ->Add „FTP Site“:

Anschließend legen wir den Namen der FTP Site fest und geben an welches Root-Verzeichnis auf dem IIS über FTP erreichbar sein soll (in unserem Fall c:\webs):

 

Unter der Dialogseite „Binding and SSL“ wird festgelegt auf welcher IP Adresse und Port der FTP Dienst für diese Website hören soll, wir nehmen hier die Standardeinstellungen.

Der FTP 7.5 unterstützt nun Verschlüsselung (FTPS). Eine Option die sehr sinnvoll ist gerade wenn man bedenkt, dass unverschlüsseltes FTP das Passwort bei der Benutzer-Anmeldung Clear-Text über das Internet schickt und mittels Netzwerk-Sniffer von Dritten mitgeschnitten werden könnte. Wer mehr Sicherheit möchte kann Verschlüsselung erlauben oder erzwingen. Wir erlauben SSL und wählen noch das selbstausgestellte Testzertifikat (hier „localhost“) aus:

 

 

Im nächsten Dialog werden die Authentifizierungs- und Autorisierung-Einstellungen – also das „wer darf was über FTP“ gemacht. Hier kann ich die erste Zugriffsregel festlegen:

Zunächst sollen sich Benutzer nur als Anonymous User beim FTP anmelden können (müssen also kein Passwort eingeben) – und haben nur Lese-Zugriff auf die Website.

 

Anm.: Den Lese-Zugriff des Anonymous User impersonifiziert der Microsoft FTP Dienst im Hintergrund standardmäßig auf den IUSR Account, da dieser als Anonymous User Identity für die Anonymous Authentication Methode eingetragen ist. D.h. der IUSR Account braucht Lese- Berechtigungen auf dem Filesystem für C:\Webs

 

Mit klicken auf „Finish“ taucht die FTP Site in der Konsole auf und ist bereit FTP Verbindungen anzunehmen:

Über FTP ist jetzt das Root Verzeichnis (hier: C:\Webs) inklusive aller Sub-Ordner erreichbar. Wenn ich weitere Ordner freigeben möchte, dann erstelle ich ein virtuelles Verzeichnis in meiner FTP Site:

IIS Manager -> rechter Mausklick auf „FTP Site“ -> Add Virtual Directory:

Der Server Ordner c:\somewhere ist damit per FTP als Verzeichnis vDir erreichbar. Im FTP Client wird dieser virtuelle Ordner standardmäßig nicht angezeigt. Ich muss den FTP Server anweisen virtuelle Verzeichnisse in Ordnerlisten anzuzeigen:

IIS Manager -> FTP Site auswählen -> FTP Directory Browsing -> aktiviere „Virtual directories“ -> Apply:

Wir machen einen Test und greifen mit Filezilla einem FTP-Client (lokal) auf unsere FTP Site (lokal) zu.

Server: localhost

Benutzername: anonymous

In Filezilla ist Links die Ordneransicht auf dem „Client“, Rechts: der „FTP Server. Unser vDir taucht in der Ordneransicht auf. Dateien können einfach per drag&drop (je nach Berechtigungen) kopiert werden. Wenn wir z.B. versuchen einen neuen Ordner auf dem Server anzulegen bekommen wir einen „Access denied“:

Das ist auch gut so, denn schließlich handelt es sich hier um den Anonymous User, der nur Lese Berechtigungen auf den Server hat. Wenn wir bestimmten Benutzern Schreibrechte geben möchten dann muss ich auf dem IIS noch die FTP Authentifizierung aktivieren:

Wir wählen die Basic Authentication als Methode für die FTP-Authentifizierung. Jetzt müssen wir noch eine FTP-Autorisierungs / Zugriffs-Regel anlegen um z.B. den Benutzer ftpuser, Lese- und Schreib- (Read and Write) Berechtigungen für die FTP Site zu geben:

Das FTP Benutzer-Konto muss (bei Basic Authentication als Methode) auch als Windows Account existieren und die entsprechenden Ordner und Datei Berechtigungen (hier C:\Webs) haben. Den ftpuser erstellen wir uns über die Kommandozeile:

net user ftpuser * /add

Im Hintergrund impersonifiziert der Microsoft FTP Dienst () bei Zugriffen in das angemeldete FTP Benutzer Konto. Deswegen braucht der ftpuser auch die erforderlichen Berechtigungen im Filesystem auf C:\Webs. Andernfalls könnte es bereits beim Anmelden, Anlegen oder Löschen von Dateien und Ordnern zu Fehlermeldungen kommen, z.B.:

530-User cannot log in, home directory inaccessible … Error details: File system denied the access.

MKD /Neues Verzeichnis … 550–Access is denied … Error details: File system denied the access.

RMD Neues Verzeichnis … 550-Access is denied … Error details: File system denied the access.

Hier zur Übersicht das Flow-Chart für das Anlegen eines neuen Ordners (bei verwendeter Basic Authentication):

 

Wir geben dem ftpuser von der Kommandozeile aus die notwendigen Filesystem-Berechtigungen (Modify) auf C:\Webs:

ICACLS c:\webs /grant ftpuser:(OI)(CI)(M)

(Alternativ auch von über den Windows Explorer)

 

Eine Person kann nun mit einem FTP Client über das FTP Konto ftpuser von remote aus über das FTP Protokoll auf Verzeichnisse des Servers zugreifen um Änderungen vorzunehmen.

 

Anm.: Es lassen sich natürlich noch weitere Benutzer Konten anlegen und über FTP Autorisierungs-Regeln festlegen worauf diese zugreifen können.

 

Fazit:

+ Einfacher Weg einen Verzeichnisse eines Servers per FTP erreichbar zu machen.

+ gut geeignet für ein bis wenige FTP User.

– Isolation, was ein User darf aufgrund von Autorisierungsregeln.

– Websites von FTP Site getrennt. Benutzer muss navigieren um in das richtige Verzeichnis für die richtige Website zu gelangen.

 

(2) Eine FTP Site pro Website – „Per Site FTP Publishing“

Diese Methode integriert, verheiratet eine Website mit FTP. Website und FTP Einstellungen liegen beieinander und nicht getrennt in separater Web und FTP Site. (Siehe auch Adding FTP to a Web Site)

Ein Administrator muss dazu lediglich „FTP Publishing“ zu einer Website hinzufügen. Dieser Vorgang lässt sich für andere Websites wiederholen und man erhält letztlich mehrere FTP Sites auf einem IIS.

Für einen reibungslosen Betrieb müssen die FTP Sites sich in den Binding-Einstellungen voneinander unterscheiden.

Der FTP Benutzer muss nicht lange in den Webordner navigieren sondern landet direkt im Verzeichnis seiner Website, das „Routing“ passiert aufgrund der Anmelde-Informationen.

 

 

Wie schon unter (1) wird ein Wizard gestartet und es werden sofort die Binding-Informationen abgefragt:

Wir haben ja bereits eine FTP Site am Laufen, aber genau wie bei Websites kann der IIS auch mehrere FTP Sites haben. Voraussetzung dafür ist, dass sich die FTP Binding Informationen unterscheiden. Ein FTP Binding setzt sich analog zu einem http Binding aus IP, Port, Virtual Host Name zusammen (siehe „Noch eine Website anlegen!“ in Teil 2 IIS für Einsteiger.).

Wenn wir den „Virtual Host Name“ verwenden oder variieren, dann können wir mehrere FTP Sites auf einem IIS anlegen, ohne dass wir dazu zusätzliche IP Adressen brauchen (oder vom Standard-Port abweichen müssen). Für einen Server im Internet mit Domäne könnte das z.B. ftpXXX.%meineDomäne%.de sein.

Für mein Demobeispiel im Intranet nehme ich localhost. Die anderen Einstellungen bleiben die Defaults.

Unter „Authentication and Authorization“ verwenden wir die gleichen Einstellungen wie bei (1), d.h.

Nur der Anonymous User kann sich FTP anmelden und hat nur Lese-Zugriff.

Ist FTP Publishing erfolgreich für die Site aktiviert erscheint im Site Icon (nach einem Refresh)ein ‚?‚. Zusätzlich wird in den Bindings ein Eintrag für das FTP Protokoll hinzugefügt:

Die Verwendung von Virtual Host Names hat eine praktische Auswirkung auf den FTP Benutzer:

Für das Anmelden muss der Benutzer den Loginnamen zusammenbauen aus: „Virtual Host Name+|%PipeSymbol%+Benutzername“ (z.B.ftp.contoso.com|administrator )

Vergisst man den Virtual Host Name beim Login bekommt man den Fehler:

Antwort:    220 Microsoft FTP Service

Befehl:    USER anonymous

Antwort:    530-Valid hostname is expected.

Antwort:     Win32 error: No such host is known.

Antwort:     Error details: Hostname didn’t match any configured ftp site.

 

Anm.: Auch für den Anonymous User muss der Host Name vorangestellt werden. Wir melden uns mit localhost|anonymous für die myothersite an:

 

Fazit:

+ Web- und korrespondierende FTP-Site liegen beieinander – lästiges Navigieren fällt weg.

– gesamte FTP Einstellungen verteilt auf mehrere Sites.

– FTP Benutzer muss sich noch zusätzlich zum Login noch die FTP Verbindungseinstellungen merken.

 

(3) Eine FTP Site mit FTP Benutzer-Konten-Isolierung

Dieses Szenario stellt eine Erweiterung zu (1) dar. Die FTP Einstellungen werden in nur einer FTP Site zentral verwaltet aber mit vielen FTP Benutzer Konten. Der Benutzer-Isolationsmodus (FTP User Isolation) im FTP 7.5 ermöglicht es Benutzern individuelle FTP-Verzeichnisse zum Uploaden von Inhalte anzubieten. Die eine FTP Site nimmt alle FTP Anmeldungen entgegen und entscheidet aufgrund des Login-Namens was der FTP Benutzer sehen darf. Die Benutzer haben nur Zugriff auf ihre eigenen Verzeichnisse und können z.B. nicht nach oben heraus aus Ihrer Verzeichnisstruktur navigieren.

Dieses Szenario ist gut geeignet wenn Websites nur einem (oder wenigen) FTP Benutzer(n) zugeordnet werden soll.

Die FTP User Isolation setzt eine bestimmte Verzeichnisstruktur in der FTP Site voraus. Der FTP-Benutzer sieht nur den Inhalt des Verzeichnisses (physikalisch oder virtuell) welches den gleichen Namen trägt wie sein FTP-Benutzer-Konto. Wichtig ist noch, dass die Benutzer-Verzeichnisse sich im Ordner LocalUser befinden müssen:

Wir bauen obiges Szenario nach und modifizieren dazu unsere FTP Site. Zuerst legen wir uns auf dem Dateisystem folgende Ordnerstruktur an:

Anschließend in der IIS Administrationskonsole die FTP Site auswählen und rechts unter Advanced Settings den Physical Path ändern, z.B. in c:\inetpub\ftproot

Dann rechter Mauseklick auf FTP Site und „Add Virtual Directory“ mit Namen LocalUser welches auf den LocaUser Ordner im Dateisystem zeigt:

Dann ändern wir noch die Autorisierungs-Regeln, sodass nur user1 Lese und Schreib-Berechtigungen für das Verzeichnis user1 hat.

Die Basic Authentification muss aktiviert sein. Wir erzeugen uns noch das Benutzerkonto user1 von der Kommandozeile:

net user user1 * /add

und geben diesen Account noch Modify-Berechtigungen auf den physikalischen Ordner:

ICACLS C:\websites\LocalUser\user1 /grant user1:(OI)(CI)(M)

 

Dann aktivieren wir noch die FTP User Isolation:

IIS Administrationskonsole -> FTP Site auswählen -> FTP User Isolation -> „User name directory (disable global virtual…)“ auswählen -> Apply:

 

Eine Verbindung mit Filezilla für user1 sollte ungefähr so aussehen:

Fazit:

+ Gut für ein „Hosting Szenario“ mit vielen FTP Benutzern: Ein FTP Benutzer auf 1 bis x Website(s). Benutzer sollen voneinander isoliert sein.

+ Benutzer muss nicht mehr groß navigieren um in das richtige Verzeichnis für die eigene Website zu gelangen.

– stellt Anforderungen an Verzeichnisstruktur.

– Website von FTP Site getrennt.

– unübersichtlich wenn viele FTP Benutzer auf die gleichen Websites zugreifen sollen.

 

Sechs FTP Sicherheits-Tipps:

Das „öffnen“ eines Webservers für FTP bringt Gefahren mit sich – gerade der Schreibzugriff macht FTP so interessant für Angreifer, sei es zum Zwischenlagern von illegalen Dateien oder dem Hochladen von Spionageprogrammen. Steht ihr Server im Internet und haben Sie FTP aktiviert ist es nur eine Frage der Zeit bis Angreifer versuchen die Passwörter zu knacken. Deswegen hier ein paar Sicherheits-Tipps:

1. Nur Benutzerkonten mit wenigen Rechten für FTP verwenden

Also nicht Administrator-Konten für FTP freischalten! Denn sollte jemand mittels Netzwerkverkehr-Mitschnitt an das Passwort gelangen, hat er nicht gleich die Komplett-Herrschaft über die Maschine.

Noch besser wäre es, wenn für die Anmeldung am FTP Dienst Benutzer verwendet würden, die nicht im Active Directory oder im Windows angelegt sind. Der IIS und FTP 7.5 bieten (auf dem Windows Server 2008) die Möglichkeit IIS interne Benutzer Accounts zu verwenden – siehe dazu Configure FTP with IIS 7 Manager Authentication.

1. Komplexe Passwörter verwenden

Nur ausreichend komplexe Passwörter für FTP Benutzer Konten bieten Schutz. Die Angreifer testen automatisch verschiedene Benutzer Konten und Passwortkombinationen durch (brute force). Wie energisch? Auf einen meiner Demo FTP Server hatten es Angreifer mehr als 3,5 Mil. / Tag mal versucht. Daher sollte man es den Angreifern mit komplexen Passwörtern so schwer wie möglich machen.

1. Verschlüsseltes FTPS verwenden.

Bei unverschlüsseltem FTP werden Passwörter beim Anmelden im Klartext übertragen. Jemand der in der Lage ist den Netzwerkverkehr mitzuschneiden (mittels Sniffer) kommt an das Passwort. Bei FTPS ist der Netzwerkverkehr verschlüsselt.

1. FTP dienst abschalten wenn nicht benötigt

Klingt banal aber reduziert das Angriffs-Zeit-Fenster. Vor dem Update über Remote Desktop den FTP Dienst starten und nach dem publizieren die FTP Site wieder stoppen.

1. IP Filtering für FTP aktivieren.

Reduziert das Angriffs-Standort-Fenster. Ideal, wenn FTP Verbindungen nur aus einem bestimmten Netzwerkbereich gemacht werden. Angenommen werden nur FTP Clients, die eine bestimmte IP Adresse(n) haben die anderen werden abgewiesen.

1. Selbst weitere Sicherheitsfilter einbauen

Der FTP 7.5 ist erweiterbar: Im How to Use Managed Code (C#) to Create an FTP Authentication Provider with Dynamic IP Restrictions wird beschrieben, wie man einen Lösung bauen kann um IP-Adressen zu blockieren, von denen innerhalb eines bestimmten Zeitraums fehlgeschlagene Anmeldeversuche ausgehen.

 

Was steht im Weg? Firewalls & Co. und Limitationen

Aktivierte Firewalls auf Server sind zum Glück die Norm. Um den FTP Dienst auf einem Server von außen erreichbar zu machen verlangt es eine Firewall Regel um eingehenden TCP/IP Verkehr auf Server Port 21 (Control Channel) zu akzeptieren. Allerdings ist das bei FTP nicht alles: Die Dateien- und Ordneransichten werden über Daten Kanäle übertragen. Diese zusätzlichen Datenverbindungen machen den Firewalls Arbeit und setzen voraus dass FTP überhaupt unterstützt wird. Die eingebaute Windows Firewall hat das sowohl auf dem Client als auch auf dem Server im Griff und die Ausnahmeregeln werden beim Server, bei der Installation des FTP Dienstes, und beim Client bei erster Verwendung von z.B. Filezilla eingerichtet.

Problematischer wird das wenn man im Betrieb sitzt und noch die firmeneigene Firewall überwinden muss. Leider birgt auch die verschlüsselte FTPS Verbindung ein paar Konfigurationstücken – Ich hatte die beste „Experience“ wenn ich im Filezilla Client die Server-Verbindung über „Explizites FTP über TLS“ im Active Mode aufgebaut habe. Wenn es zu Problemen kommt empfehle ich Windows Firewall setup for Microsoft FTP Publishing Service for IIS 7.0.

 

Limitationen: Obwohl es mit anderen FTP Servern möglich ist, z.B. Verzeichnisberechtigungen via FTP Client zu vergeben – so wird dies vom FTP 7.5 nicht unterstützt:

Status:    Berechtigungen für ‚/test/blubber‘ werden auf ‚755‘ gesetzt

Befehl:    SITE CHMOD 755 blubber

Antwort:    500 ‚SITE CHMOD 755 blubber‘: command not understood

Entpacken von Archiven oder Einspielen von Datenbanken macht man ebenfalls nicht über den FTP 7.5.

 

FTP Alternativen

Es gibt Alternativen zu FTP (für IIS) für den Datei- oder Datenaustausch, allerdings leider nicht einfacher zu implementieren. Web Deploy ist die Neueste und hat den Vorteil über Dateien hinaus Konfiguration und Datenbanken, etc. auf den Server zu spielen.