Red Hat Enterprise Linux 4: リファレンスガイド
前のページ	章 15章. FTP	次のページ

15.5. `vsftpd`の設定オプション

vsftpd は、FTP サーバーが持つ幅広く利用できる他のカスタマイズレベルを提供しませんが、システム管理者のニーズの殆んどを充足するオプションを提供します。機能過剰でない現実性が設定やプログラムの不要なエラーを抑制しています。

vsftpd の全ての設定はその設定ファイルである/etc/ vsftpd/vsftpd.conf によって処理されます。各ディレクティブはファイル内に独自の行を持ち、次の形式に従います:

<directive>=<value>

各ディレクティブでは、<directive>の部分を有効なディレクティブで入れ換え、<value>の部分を有効な値に入れ換えます。

	重要
	ディレクティブ内では`<directive>` とイコールマークと`<value>` の間にスペースがあってはいけません。

コメント行はハッシュマーク(#)が先頭に付き、デーモンには無視されます。

利用できるディレクティブの総括的なリストに関してはvsftpd.conf の man ページを参照して下さい。

	重要
	`vsftpd` を安全にする方法の概要は、Red Hat Enterprise Linux セキュリティガイド内にあるサーバーセキュリティ(Server Security)と言う章を参照して下さい。

以下に/etc/vsftpd/vsftpd.conf内でのより重要なディレクティブのいくつかをリストで示します。vsftpdの設定ファイル内ではっきりと見ることの出来ないディレクティブはすべて、デフォルトの値で設定してあります。

15.5.1. デーモンオプション

以下に vsftpdデーモンの全ての動作を制御するディレクティブをリストで示します。

listen — 有効になっていれば、vsftpdはスタンドアロンモードで実行します。Red Hat Enterprise Linux はその値を YESにセットします。このディレクティブはlisten_ipv6 ディレクティブと一緒に使用することは出来ません。
デフォルトの値は NOです。
listen_ipv6 — 有効になっている場合、vsftpdはスタンドアロンモードで実行します。しかし、IPv6 ソケットのみしかリッスンしません。このディレクティブはlistenディレクティブと一緒に使用することは出来ません。
デフォルトの値は NOです。
session_support — 有効になっている場合、vsftpdは PAM (Pluggable Authentication Modules)を通じて各ユーザー用のログインセッションを保全しようと試みます。PAM についての詳細情報は章16章を参照して下さい。もし、セッションのログインが不要な場合、このオプションを無効にすることでvsftpdはより少ないプロセスとより低い権限で実行できるようになります。
デフォルトの値は YESです。

15.5.2. ログインオプションとアクセス制御

以下にログインの動作とアクセス制御のメカニズムをコントロールするディレクティブをリストで示します。

anonymous_enable — 有効になっている場合、匿名ユーザーはログインできます。ユーザー名 anonymousと ftpが認可されます。
デフォルトの値は YESです。
匿名ユーザーに関係するディレクティブのリストに関しては項15.5.3を参照して下さい。
banned_email_file — もし、deny_email_enable ディレクティブがYES に設定してある場合は、このディレクティブは、サーバーへのアクセスを許可されない匿名の電子メールパスワードのリストを含んだファイルを指定します。
デフォルトの値は/etc/vsftpd.banned_emailsです。
banner_file — サーバーへの接続が確立された時点で、表示されるテキストを含むファイルを指定します。このオプションはftpd_banner ディレクティブ内で指定してあるテキストを上書きします。
このディレクティブ用のデフォルト値はありません。
cmds_allowed — サーバーに許可された FTP コマンドのコンマで区切られたリストを指定します。他のコマンドはすべて拒絶されます。
このディレクティブ用のデフォルト値はありません。
deny_email_enable — 有効になっている場合、/etc/ vsftpd.banned_emails に指定された電子メールパスワードを使用している全ての匿名ユーザーはサーバーへのアクセスを拒否されます。このディレクティブで参照されているファイルの名前は banned_email_file ディレクティブを使用して指定できます。
デフォルトの値は NOです。
ftpd_banner — 有効になっている場合、このディレクティブで指定してあるストリングはサーバーに接続が確立した時点で表示されます。このオプションは、banner_fileディレクティブで上書き出来ます。
デフォルトでは、vsftpdは標準バナーを表示します。
local_enable — 有効になっている場合、ローカルユーザーはシステムにログインが許可されます。
デフォルトの値は YESです。
ローカルユーザーに関連するディレクティブのリストに付いては項15.5.4を参照して下さい。
pam_service_name — vsftpd用の PAM サービスネームを指定します。
デフォルトの値はftpです。Red Hat Enterprise Linuxでは、その値が vsftpdにセットしてあります。
tcp_wrappers — 有効になっている場合、サーバーへのアクセスを許可するのに TCP ラッパーが使用されます。また FTP サーバーが複数の IP アドレスで構成されている場合は、VSFTPD_LOAD_CONFオプションは、クライアントに要求される IP アドレスを基にした別の設定ファイルをロードするのに使用できます。 TCP ラッパーに付いての詳細情報は章17章を参照して下さい。
デフォルトの値はNOです。Red Hat Enterprise Linuxでは、その値が YESにセットしてあります。
userlist_deny — userlist_enableのディレクティブと組合せで使用されて、NOにセットされた場合、全てのローカルユーザーは、userlist_fileディレクティブに指定されたファイルにユーザー名がリストされている場合以外は、アクセスを拒否されます。アクセスは、クライアントがパスワードを問われる前に、拒否されることから、このディレクティブをNOにセットするとローカルユーザーがネットワーク上で平文のパスワードを渡すことを防止します。
デフォルトの値は YESです。
userlist_enable — 有効な場合、userlist_fileディレクティブに指定されたファイルにリストしてあるユーザーはアクセスを拒否されます。クライアントがパスワードを問われる前にアクセスが拒否されますので、ユーザーがネットワーク上で平文のパスワードを渡すのが防止されます。
デフォルトの値はNOですが、Red Hat Enterprise Linuxでは、その値が YESにセットしてあります。
userlist_file — userlist_enableのディレクティブが有効な場合、vsftpdによって参照されるファイルを指定します。
デフォルトの値は、/etc/vsftpd.user_listです。そしてインストール中に作成されます。
cmds_allowed — サーバーが許可する FTP コマンドのコンマで分離されたリストを指定します。
このディレクティブ用のデフォルト値はありません。

15.5.3. 匿名ユーザーオプション

以下にサーバーへの匿名ユーザーアクセスを制御するディレクティブのリストを示します。これらのオプションを使用するには、anonymous_enableのディレクティブがYESにセットされる必要があります。

anon_mkdir_write_enable — write_enable ディレクティブと組合せで有効になっている場合、匿名ユーザーは、書き込み権限を持つ親ディレクトリ内で新規のディレクトリを作成することが許可されます。
デフォルトの値は NOです。
anon_root — 匿名ユーザーがログインした後にvsftpd が移行する先のディレクトリを指定します。
このディレクティブ用のデフォルト値はありません。
anon_upload_enable — write_enableのディレクティブと組合せで有効になっている場合、匿名ユーザーは書き込み権限を持つ親ディレクトリ内でファイルをアップロードすることが許可されます。
デフォルトの値は NOです。
anon_world_readable_only — 有効な場合、匿名ユーザーは全てが読み取り出来るファイルのダウンロードすることを許可されます。
デフォルトの値は YESです。
ftp_username — 匿名の FTP ユーザー用に使用されるローカルユーザーアカウント(/etc/passwd内にリスト)を指定します。そのユーザー用の /etc/passwd内に指定されたホームディレクトリは匿名 FTP ユーザーのルートディレクトリです。
デフォルトの値はftpです。
no_anon_password — 有効な場合、匿名ユーザーはパスワードを要求されません。
デフォルトの値は NOです。
secure_email_list_enable — 有効な場合、匿名ログイン用の指定された電子メールパスワードリストのみが認可されます。これが、仮想ユーザーの必要なしに公共コンテンツへ限定的セキュリティを提供する便利な手段となります。
用意されたパスワードが/etc/vsftpd.email_passwordsにリストされていない限り、匿名ログインは防止されます。ファイル形式は空白のない１行に付き１パスワードとなります。
デフォルトの値は NOです。

15.5.4. ローカルユーザーオプション

以下にローカルユーザーがサーバーにアクセスする方法を特徴付けるするディレクティブのリストを示します。これらのオプションを使用するには、local_enableディレクティブがYESにセットされている必要があります。

chmod_enable — 有効な場合、FTP コマンドの SITE CHMODはローカルユーザーにより使用可能です。このコマンドはユーザーがファイルの権限を変更することを許可します。
デフォルトの値は YESです。
chroot_list_enable — 有効な場合、chroot_list_file ディレクティブ内に指定されたファイルにリストされたローカルユーザーはログイン時に chroot 環境に配置されます。
chroot_local_userディレクティブと共に有効になっている場合、 chroot_list_fileディレクティブ内で指定されたファイルのリストにあるローカルユーザーは、ログイン時に chroot 環境に配置されません。
デフォルトの値は NOです。
chroot_list_file — chroot_list_enable ディレクティブがYESにセットしてある場合、参照されるローカルユーザーのリストを含むファイルを指定します。
デフォルトの値は/etc/vsftpd.chroot_listです。

chroot_local_user — 有効な場合、ローカルユーザーは、ログインの後にそのホームディレクトリにルート変更されます。

デフォルトの値は NOです。

	警告
	`chroot_local_user`を有効にすると多くのセキュリティ問題、特にアップロードの権限を持つユーザーにとっての問題に遭遇します。この理由で推薦できません。

guest_enable — 有効な場合、全ての非匿名ユーザーは guestユーザーとしてログインされます。これはすなわち guest_usernameディレクティブに指定されたローカルユーザーです。
デフォルトの値は NOです。
guest_username — guestユーザーがマップされているユーザー名を指定します。
デフォルトの値はftpです。
local_root — ローカルユーザーがログインした後に vsftpdが移動するディレクトリを指定します。
このディレクティブ用のデフォルト値はありません。
local_umask — ファイル作成の umask の値を指定します。デフォルトの値は8進法(8を基準にした数値システム)形式で、これは接頭辞「0」を持ちます。それ以外では、値は10ベースの整数として扱います。
デフォルト値は022です。
passwd_chroot_enable — chroot_local_userディレクティブと共に有効な場合、 vsftpdは/etc/ passwd内のホームディレクトリフィールドの/./の発動を基にしてローカルユーザーのルート変更をします。
デフォルトの値は NOです。
user_config_dir — ユーザー用の特定の設定を含むローカルユーザーシステムユーザーの名前を持つ設定ファイルを含んだディレクトリへのパスを指定します。そのユーザーの設定ファイル内のディレクティブはいずれも/etc/ vsftpd/vsftpd.confの中にあるディレクティブを上書きします。
このディレクティブ用のデフォルト値はありません。

15.5.5. ディレクトリオプション

以下にディレクトリに関連するディレクティブのリストを示します。

dirlist_enable — 有効な場合、ユーザーはディレクトリのリストを表示することが許可されます。
デフォルトの値は YESです。
dirmessage_enable — 有効な場合、あるユーザーがメッセージファイルを持つディレクトリの1つに入った時にメッセージを表示します。このメッセージは入り込んだディレクトリの中で見付けることができます。このファイルの名前は message_fileディレクティブ内に指定されており、デフォルトでは .messageです。
デフォルトの値はNOです。Red Hat Enterprise Linuxでは、その値が YESにセットしてあります。
force_dot_files — 有効な場合、ドット(.)で始まるファイルはディレクトリ一覧に示してありますが、 .と..ファイルは例外です。
デフォルトの値は NOです。
hide_ids — 有効な場合、全てのディレクトリ一覧は各ファイルのユーザーとグループとしてftpを示します。
デフォルトの値は NOです。
message_file — dirmessage_enableのディレクティブを使用している場合、メッセージファイルの名前を指定します。
デフォルトの値は.messageです。
text_userdb_names — 有効な場合、ユーザー名とグループ名のテストは UID と GID のエントリーの代用として使用されます。このオプションを有効にすると、サーバーのパフォーマンスを低下させる可能性があります。
デフォルトの値は NOです。
use_localtime — 有効な場合、ディレクトリ一覧は GMT の代わりにコンピュータのローカル時間を表示します。
デフォルトの値は NOです。

15.5.6. ファイル転送のオプション

以下にディレクトリに関連するディレクティブのリストを示します。

download_enable — 有効な場合、ファイルのダウンロードが許可されます。
デフォルトの値は YESです。
chown_uploads — 有効な場合、匿名ユーザーによってアップロードされたファイルの全てはchown_usernameディレクティブに指定されたユーザーの所有となります。
デフォルトの値は NOです。
chown_username — chown_uploadsのディレクティブが有効な場合、匿名でアップロードされたファイルの所有権を指定します。
デフォルトの値はrootです。
write_enable — 有効な場合、DELE, RNFR, 及び STOR などのファイルシステムを変更できる FTP コマンドが許可されます。
デフォルトの値は YESです。

15.5.7. ロギングのオプション

以下にvsftpdロギングの動作に影響するディレクティブのリストを示します。

dual_log_enable — xferlog_enableと一緒に有効になっている場合、vsftpdは、xferlog_file ディレクティブ内に指定されたファイルへwu-ftpd 互換のログ(デフォルトで/var/log/xferlog)ログ、及びvsftpd_ log_file ディレクティブ内に指定されたログファイル(デフォルトで/ var/log/vsftpd.log)の2つのファイルを同時に書き込みます。
デフォルトの値は NOです。
log_ftp_protocol — xferlog_enableと xferlog_std_formatと一緒に有効になっている状態で、さらに NOにセットしてある場合、FTP コマンドと反応はすべてログされます。このディレクティブはデバッグに役に立ちます。
デフォルトの値は NOです。
syslog_enable — xferlog_enableと一緒に有効になっている場合、vsftpd_log_fileディレクティブ内に指定されたログファイル(デフォルトで/var/log/vsftpd.log)へ通常に書き込まれた全てのロギングは、FTPD の環境にではなく、システムロガーに転送されます。
デフォルトの値は NOです。
vsftpd_log_file — vsftpd ログファイルを指定します。このファイルを使用するには、xferlog_enableが有効になっている必要があり、xferlog_std_formatがNO にセットされている必要があります。あるいはxferlog_std_formatが YESにセットされている場合、dual_log_enableが有効になっている必要があります。syslog_enableがYESにセットされていない場合、このディレクティブ内に指定されたファイルの代わりに、システムログが使用されることに留意して下さい。
デフォルトの値は/var/log/vsftpd.logです。
xferlog_enable — 有効な場合、vsftpdは、接続(vsftpd形式のみ)とvsftpd_log_fileのディレクティブ内に指定されたログファイルへのファイル転送情報(デフォルトでは /var/log/vsftpd.log)のログを取ります。xferlog_std_ formatがYESへセットされている場合、ファイル転送情報はログされますが、接続はログされません。そしてxferlog_file内に指定されたログファイル(デフォルトで/var/log/xferlog)が代わりに使用されます。dual_log_enableがYESにセットされている場合、両方のログファイルとログ形式が使用されることに留意して下さい。
デフォルトの値はNOです。Red Hat Enterprise Linuxでは、その値が YESにセットしてあります。
xferlog_file — wu-ftpd互換のログファイルを指定します。このファイルを使用するには、xferlog_enable が有効でなければならず、 xferlog_std_formatがYESにセットされている必要があります。dual_log_enableが YESにセットされている場合も、これが使用されます。
デフォルトの値は/var/log/xferlogです。
xferlog_std_format — xferlog_enableと一緒に有効になっている場合、wu-ftpd互換のファイル転送ログのみが xferlog_fileディレクティブ内に指定されたファイルへ書き込まれます。(デフォルトで/var/log/xferlog)。このファイルはファイル転送のみをログして、サーバーへの接続はログしないことに留意して下さい。
デフォルトの値はNOです。Red Hat Enterprise Linuxでは、その値が YESにセットしてあります。

重要

古いwu-ftpd FTP サーバーで書かれたログファイルとの互換性を維持するには、xferlog_std_formatディレクティブは、Red Hat Enterprise Linuxの中では YESにセットされている必要があります。この設定では、サーバーへの接続がログされないという意味になります。

vsftpd形式で接続をログして、さらにwu-ftpd 互換のファイル転送ログを維持するには、dual_log_enableを YESにセットします。

wu-ftpd互換のファイル転送ログの維持が重要でない場合は、 xferlog_std_formatをNOにセットするか又はその行をハッシュマーク(#)でコメント化するか、あるいはその行を全て削除します。

15.5.8. ネットワークオプション

以下にvsftpdが、ネットワークに対応する仕方に影響するディレクティブのリストを示します。

accept_timeout — 接続を確立する為にパッシブモードを使用しているクライアント用の時間を指定します。
デフォルト値は60です。
anon_max_rate — 匿名ユーザー用に最大データ転送レートを秒単位のバイト数で指定します。
デフォルトの値は0で、これは転送レートを制限しません。
connect_from_port_20 が有効な場合、vsftpdはアクティブモードのデータ転送中にサーバー上のポート20を開く為に十分な権限で実行されます。このオプションを無効にすると、vsftpdをより少ない権限で実行させることになりますが、幾つかの FTP クライアントとの互換がなくなる可能性があります。
デフォルトの値はNOです。Red Hat Enterprise Linuxでは、その値が YESにセットしてあります。
connect_timeout — アクティブモードを使用しているクライアントがデータ接続に反応する必要のある最大限時間を秒数で指定します。
デフォルト値は60です。
data_connection_timeout — データ転送が停止を許される最大限の時間を秒数で指定します。これが開始されるとリモートクライアントへの接続は閉じられます。
デフォルト値は300です。
ftp_data_port — connect_from_port_20が YESにセットされている時に、アクティブデータ接続用に使用されるポートを指定します。
デフォルト値は20です。
idle_session_timeout — 1つのクライアントからのコマンドとコマンドの間の最大許容時間を指定します。これが開始されるとリモートクライアントへの接続は閉じられます。
デフォルト値は300です。

listen_address — vsftpdがネットワーク接続用にリッスンする IP アドレスを指定します。

このディレクティブ用のデフォルト値はありません。

	ヒント
	別々の IP アドレスにサービスしている `vsftpd`の複数コピーを実行している場合、`vsftpd`デーモンの各コピーはこのディレクティブ用に別の値を持つことが必要です。マルチホームの FTP サーバーに関する詳細情報は項15.4.1を参照して下さい。

listen_address6 — listen_ipv6が YESにセットされている場合、ネットワーク接続用にvsftpdがリッスンする為の IPv6 アドレスを指定します。