FTP en EMC Celerra Network Server

Transcripción

1 FTP en EMC Celerra Network Server P/N Rev. A03 Diciembre de 2008 Contenido Introdcción Reqisitos del sistema Restricciones Precaciones Opciones de la interfaz de sario Terminología Información relacionada Conceptos FTP FTP para acceso a archivos por parte de sarios El demonio de FTP Centas de sario FTP anónimo Directorios principales y el directorio de trabajo predeterminado Permisos de acceso a archivos Internacionalización Failover de Data Movers Conexión FTP Secre Métodos de atenticación Configración Prerreqisito Configración de FTP anónimo Restricción de sarios a s árbol de directorio principal Denegación del acceso a FTPS a sarios específicos Creación de n banner de inicio de sesión Creación de na pantalla de bienvenida Configración del período de tiempo de espera de inactividad Configración del período de tiempo de espera máximo Configración de n perto de datos Cambio de la opción mask predeterminada Configración de na conexión de control SSL Configración de na conexión de datos SSL Configración de na persona SSL Configración de na conexión de protocolo SSL Reqisito posterior de 38

2 Administración Prerreqisito Cambio del directorio de trabajo predeterminado Cómo determinar si FTPS se está ejectando en n Data Mover Especificación de n perto de control SSL Especificación de n perto de datos SSL Cambio de la serie de cifrado de SSL predeterminada Reqisito posterior Resolción de problemas de FTP Dónde obtener ayda EMC E-Lab Interoperability Navigator Problemas y limitaciones conocidos Problemas de red Índice de 38

3 Introdcción El Protocolo de transferencia de archivos (FTP) es n protocolo cliente/servidor qe fnciona por medio de TCP/IP y permite la carga y descarga de archivos entre sistemas heterogéneos. FTP inclye fnciones para iniciar sesión en el sistema remoto, enmerar directorios y copiar archivos. Este docmento forma parte de la docmentación de EMC Celerra Network Server y está destinado a los administradores de sistema responsables de la configración y el mantenimiento del almacenamiento de archivos y la infraestrctra de recperación de redes. Reqisitos del sistema En la Tabla 1 en la página 3, se describen las configraciones de software, hardware, red y almacenamiento de Celerra Network Server. Tabla 1 Reqisitos del sistema Software Hardware Red Almacenamiento Se reqiere Celerra Network Server versión para tilizar la atenticación CIFS para sarios qe inician sesión con domain\ sername o sername@domain. No tiene reqisitos de hardware específicos. Para activar el acceso al FTP a los clientes qe no están en la misma sbred local de n Data Mover, se debe especificar na rta y n gateway predeterminados en el Data Mover. No tiene reqisitos de almacenamiento específicos. Restricciones CAVA, el cliente comprobador de virs, no compreba en n Data Mover los archivos transferidos mediante FTP. En Uso de EMC Celerra AntiVirs Agent, se proporciona más información sobre el control de virs en el sistema Celerra. Solo se compreba la presencia de virs en los archivos a los qe se accede mediante CIFS. No se compreban los archivos a los qe se accede mediante FTP o NFS. El servicio CIFS debe iniciarse en n Data Mover para permitir la atenticación CIFS para sarios de FTP de Windows. Si n sario de Windows intenta iniciar sesión tilizando n nombre de dominio y nombre de sario de Windows, y el servicio CIFS no está activo en el Data Mover, el inicio de sesión falla. FTP no soporta la notificación CIFS. Precaciones Si tiene ddas respecto de esta información, póngase en contacto con n representante del Servicio al Cliente de EMC para obtener ayda. 3 de 38

4 !!PRECAUCIÓN La atenticación de FTP transmite el nombre de sario y la contraseña por la red de na forma no encriptada. FTP Secre tiliza la segridad SSL para transmitir el nombre de sario y la contraseña por la red de na forma encriptada. Opciones de la interfaz de sario En este docmento, se describe cómo configrar FTP mediante la interfaz de línea de comandos (CLI). No pede tilizar otras aplicaciones de administración de Celerra para configrar FTP. Terminología El EMC Celerra Glossary proporciona na lista completa de terminología de Celerra. Atoridad de certificación (CA): tercero de confianza qe crea y firma digitalmente certificados de claves públicas. Celerra AntiVirs Agent (CAVA): aplicación desarrollada por EMC qe se ejecta en n servidor de Windows y se comnica con n motor antivirs estándar para analizar archivos CIFS almacenados en n Celerra Network Server. Certificado de la atoridad de certificación: asociación firmada digitalmente entre na identidad (na Atoridad de certificación) y na clave pública qe se tilizará por el host para verificar las firmas digitales en los Certificados de claves públicas. directorio principal: Directorio especial reservado para n sario en particlar; contiene archivos y programas para el sario. En n entorno de Microsoft Windows, el directorio principal con frecencia se especifica en el perfil de n sario de modo qe, al iniciar sesión, el directorio principal se asigne atomáticamente a na nidad de red. File systems comnes de Internet (CIFS): protocolo de so compartido de archivos basado en Microsoft Server Message Block (SMB). Permite a los sarios compartir file systems mediante Internet e intranets. Infraestrctra de claves públicas (PKI): medio de administración de claves públicas y certificados de claves públicas asociados para tilizar en criptografía de claves públicas. Es n entorno qe permite la creación de n certificado qe se tilizará por SSL. Network File System (NFS): file system distribido qe proporciona acceso transparente a file systems remotos. NFS permite a todos los sistemas de red compartir na única copia de n directorio. Network Information Service (NIS): servicio de búsqeda de datos distribidos qe comparte información del sario y el sistema en na red, inclidos nombres de sarios, contraseñas, directorios principales, grpos, nombres de host, direcciones IP y definiciones de netgrop. Protocolo de transferencia de archivos (FTP): protocolo de alto nivel para la transferencia de archivos de na máqina a otra. FTP, qe se implementa como n programa en el nivel de aplicaciones basado en el modelo OSI, sa el protocolo TCP. Secre Sockets Layer (SSL): protocolo de segridad qe proporciona encriptación y atenticación. Encripta datos y proporciona atenticación de mensajes y servidores. También soporta atenticación de clientes, si el servidor así lo reqiere. 4 de 38

5 Información relacionada Para obtener información específica relacionada con las características y fncionalidades qe se describen en este docmento, conslte: Configración y administración de EMC Celerra Networking Manal de referencia de comandos de EMC Celerra Network Server EMC Celerra Network Server Error Messages Gide EMC Celerra Network Server Parameters Gide Configring and Managing CIFS on EMC Celerra Managing EMC Celerra Volmes and File Systems Manally Administración de volúmenes y file systems EMC Celerra con Atomatic Volme Management Páginas de los manales en línea de Celerra Uso de EMC Celerra AntiVirs Agent Using International Character Sets with EMC Celerra El EMC Celerra Network Server Docmentation CD, qe se inclye con Celerra Network Server y qe también se encentra disponible en Powerlink, brinda información general sobre otras pblicaciones de Celerra. 5 de 38

6 Conceptos Celerra Network Server soporta FTP Secre (FTPS), qe es n protocolo cliente/ servidor qe fnciona por medio de TCP/IP y permite la carga y descarga de archivos entre sistemas heterogéneos. FTPS inclye fnciones para iniciar sesión en el sistema remoto, enmerar directorios y copiar archivos. Pede realizar operaciones de FTPS escribiendo comandos en na solicitd de comandos o mediante na tilidad de FTP qe se integre con na interfaz gráfica, como Windows. Los sarios de UNIX y Windows peden tilizar FTP para acceder a file systems en Celerra Network Server. La atenticación se realiza mediante el so del archivo de hosts local o NIS para sarios de UNIX o mediante el so de la atenticación de CIFS para sarios de Windows. FTP FTP es n protocolo cliente/servidor qe permite la transferencia de archivos entre sistemas heterogéneos. El demonio de FTP presta servicio a las solicitdes de los clientes. FTP para acceso a archivos por parte de sarios Antes de poder tilizar FTP, debe activar el acceso de FTP a n file system. Calqier file system montado en n Data Mover está disponible para el acceso mediante FTP, siempre y cando el demonio de FTP, ftpd, se esté ejectando en ese Data Mover. No se necesita exportar ni compartir el file system para activar el acceso. En na configración de Data Mover predeterminada, ftpd se inicia atomáticamente. En Administración de volúmenes y file systems EMC Celerra con Atomatic Volme Management y Managing EMC Celerra Volmes and File Systems Manally, se proporciona información sobre la creación de n file system y s montaje en n Data Mover. Despés de iniciar sesión, el sario se coloca en n directorio de trabajo. En "Directorios principales y el directorio de trabajo predeterminado" en la página 7, se enmeran las diversas consideraciones para el directorio de trabajo. De manera predeterminada, si na sesión de FTP está inactiva drante 15 mintos (900 segndos), el Data Mover la cierra. Para desactivar el acceso mediante FTP de n file system en particlar, desmonte este file system. El demonio de FTP El demonio de FTP, ftpd, se ejecta en el Data Mover y presta servicios a las solicitdes de FTP de los clientes. El demonio de FTP se inicia atomáticamente cando el Data Mover se inicia por primera vez. Más adelante, el estado del demonio de FTP depende de los parámetros del comando last server_ftp. En el Manal de referencia de comandos de EMC Celerra Network Server, se enmeran opciones para administrar la configración del servidor FTP. El demonio de FTP se configra mediante el comando server_ftp. Calqier cambio en la configración de FTP se reflejará al reiniciarse el demonio de FTP. No es necesario reiniciar el Data Mover. 6 de 38

7 Centas de sario En la solicitd de inicio de sesión del FTP, n sario pede seleccionar n nombre de sario de UNIX o n dominio y nombre de sario de Windows (en el formato domain\sername o sername@domain). Si el sario inicia sesión sin n nombre de dominio, se tiliza la atenticación UNIX. FTP anónimo Un sistema qe soporta FTP anónimo permite el acceso a archivos de sarios sin na centa de sario en el sistema. La fncionalidad de FTP anónimo permite a n sario iniciar sesión con el nombre de sario "anónimo" o "ftp". El sistema solicita na contraseña, a la qe el sario debe responder con algna identificación, comúnmente n nombre de sario o dirección de correo electrónico. Para permitir a n Data Mover el acceso anónimo a FTP, el administrador debe configrar n sario con n nombre de sario de ftp en /.etc/passwd o en el NIS. Atribtos qe n ftp designado por el sario debe tener: Calqier UID y GID, excepto -2 o aqellos de root (0 y 1) Un directorio principal configrado y disponible en el Data Mover La contraseña eliminada o desactivada En n sistema Celerra, el directorio de trabajo del sario de n FTP anónimo es el directorio principal del ftp designado por el sario. Si el ftp designado por el sario no tiene n directorio principal y tiene acceso al file system root, este file system root (/) es el directorio de trabajo para el FTP anónimo. Si el ftp designado por el sario no tiene n directorio principal y no tiene acceso al file system root, el inicio de sesión anónimo en el FTP falla. Un sario anónimo pede cambiar únicamente a directorios en niveles inferiores al directorio de trabajo. Nota: Los administradores de sistemas, por lo general, tilizan n log de accesos para monitorear el so del FTP anónimo en el sistema. Los Data Movers no tienen log de accesos a FTP. Directorios principales y el directorio de trabajo predeterminado Cando n Data Mover acepta el inicio de sesión de n sario para na sesión de FTP, el sario se coloca en n directorio de trabajo. El directorio de trabajo del sario depende de diversos factores: Se especifica el parámetro homedir para el comando server_ftp? Se menciona el parámetro defaltdir para el comando server_ftp? El sario es anónimo, o es n sario de UNIX (NFS) o CIFS? Para los sarios de UNIX, el sario tiene n directorio principal especificado en NIS o /.etc/passwd? Para sarios de Windows, el sario tiene n directorio principal especificado en /.etc/homedir? Está disponible el directorio principal del sario en el Data Mover? El sario tiene acceso al directorio principal? 7 de 38

8 Hay n directorio de trabajo de FTP predeterminado configrado en el Data Mover? Nota: Pede tilizar na barra invertida (\) o na barra (/) como separador de directorios. "Restricción de sarios a s árbol de directorio principal" en la página 15 restringe a los sarios a s directorio principal mediante el parámetro homedir con el comando server_ftp. En "Cambio del directorio de trabajo predeterminado" en la página 28 se especifica el directorio de trabajo cando se especifica el parámetro defaltdir en el comando server_ftp. La Tabla 2 en la página 8 resme el comportamiento del FTP para las demás condiciones. Tabla 2 directorio de trabajo de FTP Tipo de sario Directorio principal montado en Data Mover y acceso otorgado Directorio principal no montado en Data Mover o acceso no otorgado Sin directorio principal especificado NFS Anónimo CIFS El directorio de trabajo del sario es el directorio principal según se especifica en el archivo /.etc/passwd o NIS. Si el directorio principal no empieza con na barra (/), el sistema agrega na. 1 El directorio de trabajo del sario es el directorio principal para el ftp designado por el sario, según se especifica en el archivo /.etc/passwd o NIS. Si el directorio principal no empieza con na barra (/), el sistema agrega na. 1 El directorio de trabajo del sario es el directorio principal según se especifica en el archivo /.etc/homedir. 3 El directorio de trabajo del sario es el directorio root en el Data Mover (/), si el sario tiene acceso. 2 Si se deniega el acceso a / y se configra el parámetro del sistema defaltdir de ftpd, el directorio de trabajo el sario será el directorio de trabajo predeterminado. Si no se especifica n directorio de trabajo predeterminado, el inicio de sesión falla. El directorio de trabajo del sario es el directorio root en el Data Mover (/), si el sario tiene acceso. 2 Si se deniega el acceso a / y se configra el parámetro del sistema defaltdir de ftpd, el directorio de trabajo del sario será el directorio de trabajo predeterminado. Si no se especifica n directorio de trabajo predeterminado, el inicio de sesión falla. Falla el inicio de sesión. El directorio de trabajo del sario es el directorio root en el Data Mover (/), si el ftp designado por el sario tiene acceso. 2,4 Si se deniega el acceso al ftp designado por el sario al directorio root, el inicio de sesión falla. Falla el inicio de sesión. Si se configra el parámetro del sistema defaltdir de ftpd, el directorio de trabajo del sario será el directorio de trabajo predeterminado. Si no hay n directorio de trabajo predeterminado, el directorio de trabajo del sario será el directorio root en el Data Mover (/), si el sario tiene acceso. 2,4 Si se deniega el acceso a /, el inicio de sesión fallará. 8 de 38

9 1. Por ejemplo, si el directorio principal en NIS o /.etc/passwd es home/ser1, el sistema agrega na barra al principio y tiliza /home/ser1 como el directorio principal del sario. 2. Si n sario de UNIX no tiene n directorio principal especificado (es decir, el directorio principal es nlo, ), el sistema agrega na barra antes de y tiliza el directorio root (/) como el directorio de trabajo del sario, si el sario tiene permiso para acceder a ese directorio. 3. Se debe activar la fnción del directorio principal en la configración CIFS del Data Mover. En Configring and Managing CIFS on EMC Celerra, se proporciona información sobre la activación, desactivación o configración de directorios principales de sarios CIFS. 4. Con la configración predeterminada, el sario anónimo y los sarios CIFS no tienen acceso al directorio root. Para todos los sarios, si el directorio principal del sario está disponible en n Data Mover y el sario inicia sesión mediante FTP, el directorio de trabajo del FTP será el directorio principal de este sario. Para los sarios UNIX o el sario de FTP anónimo, si el directorio principal del sario no comienza con na barra (/), el sistema agrega la barra. Por lo tanto, si no está configrado el directorio principal del sario, el sistema tiliza el directorio root como el directorio principal. Si el directorio principal del sario está configrado, pero aún no está disponible, el sistema tiliza el directorio root como el directorio principal. Para los sarios UNIX normales, si el sario no tiene acceso al directorio root, el sistema tiliza el directorio de trabajo predeterminado; si no está configrado el directorio de trabajo predeterminado, el inicio de sesión falla. Si el sario anónimo no tiene acceso al directorio root, el inicio de sesión falla. Para sarios CIFS, si no está configrado el directorio principal del sario, y está configrado el directorio de trabajo predeterminado, el sistema tiliza el directorio de trabajo predeterminado. Si el sario no tiene n directorio principal, y no existe n directorio de trabajo predeterminado, el sistema tiliza el directorio root. En este caso, si el sario no tiene acceso al directorio root, el inicio de sesión falla. Si n sario CIFS tiene n directorio principal y este no está disponible, el inicio de sesión falla. Permisos de acceso a archivos Dado qe NFS y CIFS implementan el control de acceso de forma diferente, n sistema Celerra define las políticas de control de acceso qe controlan cómo se accede a los archivos en n entorno de múltiples protocolos, como NFS, FTP o CIFS. Se pede especificar calqiera de las políticas de control de acceso de la lista drante el montaje de n file system: NATIVE (opción predeterminada) UNIX NT SECURE MIXED MIXED_COMPAT 9 de 38

10 Las políticas de acceso se configran por file system. La Tabla 3 en la página 10 resme estas políticas de control de acceso para sarios de NFS y CIFS. Tabla 3 Políticas de control de acceso para sarios de CIFS/FTP y NFS/FTP Política de control de acceso NATIVE (opción predeterminada) UNIX NT SECURE Clientes CIFS/FTP Se controla la ACL. Se controlan los derechos UNIX y la ACL. Se controla la ACL. Se controlan los derechos UNIX y la ACL. Clientes NFS/FTP Se controlan los derechos UNIX. Se controlan los derechos UNIX y la ACL. MIXED Se controla la ACL. Si no existe na ACL, se crea na basada en los bits de modo UNIX. El acceso también lo determina la ACL. Los clientes NFSv4 peden administrar la ACL. MIXED_COMPAT Una modificación en la ACL velve a generar los bits de modo UNIX, pero no se controlan los derechos UNIX. Si n cliente CIFS configró o modificó por última vez los permisos de n archivo o directorio, se controla la ACL y se velven a generar los derechos UNIX, pero no se controlan. Si n cliente NFS configró o modificó por última vez los permisos de n archivo o directorio, se controlan los derechos UNIX y se velve a generar la ACL, pero no se controla. Los clientes NFSv4 peden administrar la ACL. Una modificación en los bits de modo UNIX velve a generar los permisos de ACL, pero no se controlan los derechos UNIX. Si n cliente NFS configró o modificó por última vez los permisos de n archivo o directorio, se controlan los derechos UNIX y se velve a generar la ACL, pero no se controla. Si n cliente CIFS configró o modificó por última vez los permisos de n archivo o directorio, se controla la ACL y se velven a generar los derechos UNIX, pero no se controlan. Los clientes NFSv4 peden administrar la ACL. Nota: Al acceder a las ACLs desde n cliente Windows, estas se controlan solo si el método de atenticación de sario CIFS se configra en el modo predeterminado recomendado, NT. Esto se configra mediante la opción -add secrity del comando server_cifs. El FTP del Data Mover se rige por las políticas de control de acceso de la colmna NFS/FTP de la Tabla 3 en la página 10, si el sario inicia sesión con n nombre de sario de UNIX. El FTP del Data Mover se rige por las políticas de control de acceso de la colmna CIFS/FTP, si el sario inicia sesión con n dominio y nombre de sario de Windows. Cando n sario crea n archivo o directorio mediante FTP, los permisos de acceso del archivo dependerán de la opción mask vigente en el cliente FTP. Esto podría tener como resltado los mismos permisos de acceso de archivos qe existirían si el mismo sario hbiera creado el archivo mediante NFS o CIFS. Pede marcar la opción mask ejectando el comando qote site mask en la sesión de FTP. Encontrará más información en la docmentación de s cliente FTP. 10 de 38

11 Internacionalización Celerra Network Server administra caracteres internacionales de forma diferente para clientes UNIX FTP y NFS qe para clientes Windows CIFS y FTP. Para clientes UNIX FTP y NFS, el sistema Celerra tradce caracteres en los nombres de archivos y directorios del cliente, pero no en los nombres de sario o grpos. Los pntos de montaje de NFS no se tradcen y aparecen como caracteres ASCII. Para los clientes Windows CIFS y FTP, Celerra Network Server tradce los nombres de archivos, los nombres de directorios, los nombres de sarios y grpos y los grpos locales del cliente. Los nombres de recrsos compartidos de CIFS no se tradcen y aparecen como caracteres ASCII. Cando se activa la codificación UTF-8, el sistema pede tradcir atomáticamente los datos del cliente según se especificó anteriormente. Para las codificaciones diferentes a UTF-8, no existe n mecanismo atomático por el cal el sistema Celerra peda determinar la codificación del cliente. En este caso, se debe identificar la codificación nativa del cliente para el Data Mover. En Using International Character Sets with EMC Celerra, se proporciona más información sobre la internacionalización. Failover de Data Movers Drante el failover de n Data Mover, las sesiones del FTP qe estén activas cando ocrre la falla se desconectan atomáticamente. Reinicie manalmente estas sesiones cando se haya completado el failover. Conexión FTP Secre Las conexiones FTP Secre (FTPS) son my similares a las conexiones FTP; la diferencia es qe, cando se tilizan conexiones FTP, el tráfico FTP se envía por medio de SSL. SSL proporciona capacidades de encriptación y atenticación. Los pertos predeterminados para las solicitdes de control y datos por medio de FTPS son 990 y 989, respectivamente. También se peden tilizar otros pertos para FTPS en fnción de la configración de software FTP del cliente y los parámetros SSL configrados en el Data Mover mediante el comando server_ftp. Las conexiones FTPS con n cliente reqieren la instalación en el Data Mover de n certificado firmado por la Atoridad de certificación (CA). Como alternativa, también se pede instalar n certificado de CA en el cliente. Esto permite al cliente comprobar la firma enviada por el Data Mover. Las claves y los certificados qe se tilizan con SSL se administran mediante PKI. PKI está disponible por medio de la CLI y Celerra Manager. Métodos de atenticación El inicio de sesión de FTPS se realiza mediante métodos de atenticación anónimos y simples. Las opciones qe selecciona al configrar el comando server_ftp determinan el método de atenticación qe se tiliza: Anónimo (sin SSL) Simple (contraseña sin SSL) Anónimo (sin contraseña, sin SSL) Anónimo por medio de SSL (SSL sin contraseña) 11 de 38

12 SSLv3 (contraseña por medio de SSL) tls:simple (contraseña por medio de SSL) SSLv3 y tls:simple (contraseña por medio de SSL) Basado en SSL (se tiliza el asnto del certificado del cliente para la atorización) La atenticación anónima significa qe no se realiza na atenticación y qe el Data Mover tiliza n inicio de sesión anónimo para acceder al servidor FTPS. La atenticación simple o de proxy significa qe el Data Mover debe proporcionar n nombre de sario y na contraseña para acceder al servidor FTP. Las sigientes reglas determinan el método de atenticación qe se tilizará: Si no especifica la opción de nombre de sario o si activa SSL, se tiliza la atenticación anónima (sin SSL). Si especifica las opciones de nombres de sario y contraseña, pero no activa SSL, se tiliza la atenticación basada en contraseña (sin SSL). Si especifica las opciones de nombre de sario y contraseña y activa SSL, se tiliza na atenticación basada en contraseña (por medio de SSL), independientemente de si se configra o no la opción sslpersona. Si no especifica la opción de nombre de sario ni configra la opción sslpersona, pero activa SSL; se tiliza na atenticación anónima despés de establecerse la conexión SSL. Si no especifica la opción de nombre de sario, pero activa SSL y configra la opción sslpersona, se tiliza la atenticación anónima sin SSL, a menos qe se configre el servidor basado en FTP para qe solicite certificados del cliente. Nota: Cando se configra la opción sslpersona (se se o no), debe haber na clave y n certificado de clave pública válido asociados con la persona especificada, o el intento de conexión SSL fallará. Debe especificar la opción sslpersona siempre qe se configre el servidor basado en FTP para qe solicite el certificado del cliente, o la conexión SSL será rechazada por el servidor basado en FTP y fallará. El Gía de configración de segridad de EMC Celerra proporciona información sobre las consideraciones de planificación para la Infraestrctra de claves públicas (PKI), Personas, certificados de la Atoridad de certificación (CA) y series de cifrado soportados por Celerra. 12 de 38

13 Configración Las tareas para configrar FTP son: "Configración de FTP anónimo" en la página 14 "Restricción de sarios a s árbol de directorio principal" en la página 15 "Denegación del acceso a FTPS a sarios específicos" en la página 15 "Creación de n banner de inicio de sesión" en la página 17 "Creación de na pantalla de bienvenida" en la página 18 "Configración del período de tiempo de espera de inactividad" en la página 20 "Configración del período de tiempo de espera máximo" en la página 20 "Configración de n perto de datos" en la página 21 "Cambio de la opción mask predeterminada" en la página 22 "Configración de na conexión de control SSL" en la página 23 "Configración de na conexión de datos SSL" en la página 24 "Configración de na persona SSL" en la página 26 "Configración de na conexión de protocolo SSL" en la página 26 Prerreqisito Para configrar FTPS, es necesario detener el demonio de FTP. Para detener el demonio de FTP o desactivar FTPS, realice el sigiente procedimiento. Desactivación de FTPS en n Data Mover Para desactivar FTPS en n Data Mover, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -service -stop <movername> = nombre del Data Mover especificado Para desactivar FTPS en server_2, escriba lo sigiente: $ server_ftp server_2 -service -stop Salida server_2: done 13 de 38

14 Configración de FTP anónimo Paso 1. Inicie sesión en la Control Station como root escribiendo: $ s y escribiendo la contraseña root cando se le solicite. 2. Cambie al directorio /nas/sbin escribiendo: # cd /nas/sbin 3. Agrege el sario del ftp mediante la sigiente sintaxis de comandos: # /nas/sbin/server_ser <movername> -add ftp <movername> = Data Mover en el qe desea activar el FTP anónimo Agrege el sario del ftp escribiendo: # /nas/sbin/server_ser server_2 -add ftp Cando se le solicite, cree el sario con los sigientes atribtos: Calqier UID y GID, excepto -2 o aqellos reservados para el sario root (0 y 1) Directorio principal especificado y disponible en el Data Mover Nota: El Managing Administrative Acconts on EMC Celerra proporciona más información sobre la adición de sarios y el comando server_ser. 4. Desactive la contraseña del sario del ftp mediante la sigiente sintaxis de comandos: # /nas/sbin/server_ser <movername> -passwd -disable ftp <movername> = Data Mover en el qe desea desactivar na contraseña de sario Para desactivar la contraseña del sario del ftp, escriba: # /nas/sbin/server_ser server_2 -passwd -disable ftp 14 de 38

15 Restricción de sarios a s árbol de directorio principal Para restringir sarios a s árbol de directorio principal, es decir, para evitar qe accedan a directorios de otros sarios, realice el sigiente procedimiento. Si no se pede acceder al directorio principal, se deniega el inicio de sesión. Pede restringir a los sarios a s árbol de directorio principal mediante la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -homedir disable <movername> = nombre del Data Mover especificado Para restringir a los sarios a s árbol de directorio principal, escriba lo sigiente: $ server_ftp server_2 -modify -homedir disable Salida server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : 989 Denegación del acceso a FTPS a sarios específicos Para denegar el acceso a FTPS a sarios seleccionados, realice el sigiente procedimiento. Paso 1. Cree n nevo archivo de texto con el nombre ftp-deny. 15 de 38

16 Paso 2. Con n editor de texto, abra el archivo ftp-deny y cree na lista de nombres de sario, no por línea, a los qe desea denegar el acceso al FTP en el Data Mover. 3. Carge ftp-deny al Data Mover mediante la sigiente sintaxis de comandos: $ server_file <movername> -pt <filename> <movername> = nombre del Data Mover donde se copiará el archivo <filename> = nombre del archivo qe se está copiando al Data Mover Para cargar el archivo en server_2, escriba lo sigiente: $ server_file server_2 -pt ftp-deny 4. Para restringir el acceso a FTPS a sarios específicos, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -deniedsers <filename> <movername> = nombre del Data Mover especificado <filename> = nombre del archivo qe se está copiando al Data Mover Para restringir el acceso a FTP a sarios específicos en server_2, escriba lo sigiente: $ server_ftp server_2 -modify -deniedsers ftp-deny Nota: Despés de haber cargado el archivo ftp-deny en el Data Mover y agregado la opción deniedsers al comando server_ftp, las actalizaciones en ftp-deny se incorporarán atomáticamente; no se reqerirá reiniciar el Data Mover. Salida: server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Denied sers conf file : /.etc/ftp-deny Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : de 38

17 Creación de n banner de inicio de sesión Antes de iniciar sesión, aparece na pantalla de bienvenida para los sarios. Este archivo se pede sar para mostrar, por ejemplo, n mensaje del día o na actalización para los sarios de FTP. Paso 1. Cree n nevo archivo de texto con el nombre logon-banner. Nota: Por ejemplo, se pede sar el archivo logon-banner para FTPS para indicar a los sarios qe escriban s nombre de sario y contraseña para obtener acceso al servidor. 2. Con n editor de texto, abra el archivo logon-banner y cree s mensaje de inicio de sesión. 3. Carge el archivo al Data Mover mediante la sigiente sintaxis de comandos: $ server_file <movername> -pt <filename> <movername> = nombre del Data Mover donde se copiará el archivo <filename> = nombre del archivo qe se está copiando al Data Mover Para cargar el archivo logon-banner en server_2, escriba: $ server_file server_2 -pt logon-banner 17 de 38

18 Paso 4. Para crear n archivo logon-banner para FTP, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -welcome <filename> <movername> = nombre del Data Mover especificado <filename> = nombre del archivo qe se está copiando al Data Mover Para crear n archivo logon-banner en server_2, escriba: $ server_ftp server_2 -modify -welcome logon-banner Nota: Despés de haber cargado el archivo logon-banner en el Data Mover y agregado la opción welcome al comando server_ftp, las actalizaciones en logon-banner se incorporarán atomáticamente; no se reqerirá reiniciar el Data Mover. Salida: server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Welcome file : /.etc/logon-banner Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : 989 Creación de na pantalla de bienvenida Despés de iniciar sesión de manera correcta, aparece na pantalla de bienvenida para los sarios. Este archivo se pede sar para mostrar, por ejemplo, n mensaje del día o na actalización para los sarios de FTP. Paso 1. Cree n nevo archivo de texto con el nombre motd. 18 de 38

19 Paso 2. Con n editor de texto, abra el archivo motd y cree s mensaje de bienvenida. 3. Carge el archivo motd en el Data Mover mediante la sigiente sintaxis de comandos: $ server_file <movername> -pt <filename> <movername> = nombre del Data Mover donde se copiará el archivo <filename> = nombre del archivo qe se está copiando al Data Mover Para cargar el archivo motd en server_2, escriba: $ server_file server_2 -pt motd 4. Para crear na pantalla de bienvenida para FTPS, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -motd <filename> <movername> = nombre del Data Mover especificado <filename> = nombre del archivo qe se está copiando al Data Mover Para configrar na pantalla de bienvenida en server_2, escriba: $ server_ftp server_2 -modify -motd message Nota: Despés de haber cargado el archivo logon-banner en el Data Mover y agregado la opción motd al comando server_ftp, las actalizaciones en el mensaje se incorporarán atomáticamente; no se reqerirá reiniciar el Data Mover. Salida: server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Motd file : /.etc/motd Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : de 38

20 Configración del período de tiempo de espera de inactividad Para configrar el período de tiempo de espera de inactividad, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -timeot <timeot> <movername> = nombre del Data Mover especificado Para configrar el período de tiempo de espera de inactividad en server_2, escriba: $ server_ftp server_2 -modify -timeot 1000 Salida server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 1000 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : 989 Configración del período de tiempo de espera máximo Para configrar el período de tiempo de espera máximo, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -maxtimeot <maxtimeot> <movername> = nombre del Data Mover especificado Para configrar el período de tiempo de espera máximo en server_2, escriba: $ server_ftp server_2 -modify -maxtimeot de 38

21 Salida server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 6000 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : 989 Configración de n perto de datos Para especificar n perto TCP local para conexiones de datos FTPS, realice el sigiente procedimiento. Para configrar n perto de datos para FTPS, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -dataport <dataport> <movername> = nombre del Data Mover especificado Para configrar n perto de datos para FTPS en server_2, escriba: $ server_ftp server_2 -modify -dataport de 38

22 Salida server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 25 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : 989 Cambio de la opción mask predeterminada Para configrar la opción mask predeterminada de modo de crear n archivo o directorio a partir del demonio de FTPS, realice el sigiente procedimiento. Para cambiar la opción mask predeterminada para FTPS, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -mask <mask> <movername> = nombre del Data Mover especificado Para cambiar la opción mask predeterminada para FTPS en server_2, escriba: $ server_ftp server_2 -modify -mask de 38

23 Salida server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 20 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 77 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : 989 Configración de na conexión de control SSL Para configrar na conexión FTPS con SSL para encriptación de control, realice el sigiente procedimiento. Para configrar na conexión de control SSL para FTPS, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -sslcontrol (no allow reqire reqireforath) <movername> = nombre del Data Mover especificado Para permitir na conexión de control SSL para FTPS en server_2, escriba: $ server_ftp server_2 -modify -sslcontrol allow Nota: Antes de poder configrar el servidor con SSL, el Data Mover debe configrarse con na clave privada y n certificado público. Esta clave y este certificado se identifican mediante na persona. Además, los certificados de la Atoridad de certificación (CA) necesarios tilizados para identificar servidores de confianza se deben importar al Data Mover. Utilice la fnción PKI de Celerra para administrar el so de certificados antes de configrar la operación SSL. 23 de 38

24 Salida server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol : allow Cipher Control port : 990 Data port : 989 Configración de na conexión de datos SSL Para configrar na conexión FTPS con SSL para la encriptación de datos, realice el sigiente procedimiento. Para configrar na conexión de datos SSL para FTPS, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -ssldata (allow reqire deny) <movername> = nombre del Data Mover especificado Para permitir na conexión de datos SSL para FTPS en server_2, escriba: $ server_ftp server_2 -modify -ssldata allow Nota: Estas opciones se configran en el servidor pero dependen de las capacidades del cliente ftp. Es posible qe algnas de las capacidades del cliente no sean compatibles con la configración del servidor. 24 de 38

25 Salida server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol : allow Cipher Control port : 990 Data port : de 38

26 Configración de na persona SSL Para configrar na persona SSL para FTPS, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -sslpersona (anonymos defalt <persona_name>) <movername> = nombre del Data Mover especificado Para permitir na persona SSL anónima para FTPS en server_2, escriba: $ server_ftp server_2 -modify -sslpersona anonymos Salida server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol : anonymos Cipher Control port : 990 Data port : 989 Configración de na conexión de protocolo SSL Para configrar n protocolo SSL para FTPS, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -sslprotocol (defalt ssl3 tls1 all) <movername> = nombre del Data Mover especificado Para permitir n protocolo SSLv3 para FTPS en server_2, escriba: $ server_ftp server_2 -modify -sslprotocol ssl3 26 de 38

27 Salida server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol : ssl3 Cipher Control port : 990 Data port : 989 Reqisito posterior Despés de configrar na opción de FTPS, se debe reiniciar el demonio de FTP para qe los cambios srtan efecto. Para iniciar el demonio de FTP despés de realizar cambios en la configración, lleve a cabo el sigiente procedimiento. Activación de FTPS en n Data Mover Para activar FTPS en n Data Mover, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -service -start <movername> = nombre del Data Mover especificado Para activar FTPS en server_2, escriba lo sigiente: $ server_ftp server_2 -service -start Salida server_2: done 27 de 38

28 Administración Las tareas de administración de FTP son las sigientes: "Cambio del directorio de trabajo predeterminado" en la página 28 "Cómo determinar si FTPS se está ejectando en n Data Mover" en la página 30 "Especificación de n perto de control SSL" en la página 30 "Especificación de n perto de datos SSL" en la página 32 "Cambio de la serie de cifrado de SSL predeterminada" en la página 33 Prerreqisito Para administrar FTPS, es necesario detener el demonio de FTP. Para detener el demonio de FTP o desactivar FTPS, realice el sigiente procedimiento. Desactivación de FTPS en n Data Mover Para desactivar FTPS en n Data Mover, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -service -stop <movername> = nombre del Data Mover especificado Para desactivar FTPS en server_2, escriba lo sigiente: $ server_ftp server_2 -service -stop Salida server_2: done Cambio del directorio de trabajo predeterminado En "Directorios principales y el directorio de trabajo predeterminado" en la página 7, se proporciona más información sobre el directorio de trabajo predeterminado. Para cambiar el directorio de trabajo predeterminado, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -defaltdir <path> <movername> = nombre del Data Mover <path> = path del nevo directorio de trabajo Para configrar el parámetro defaltdir a /dir1, escriba: $ server_ftp server_2 -modify -defaltdir /dir1 28 de 38

29 Salida server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : /dir1 Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : de 38

30 Cómo determinar si FTPS se está ejectando en n Data Mover Para determinar si FTPS se está ejectando en el Data Mover, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -service -stats <movername> = nombre del Data Mover Para determinar si FTPS se está ejectando en server_2, escriba: $ server_ftp server_2 service -stats Salida server_2: done State : rnning Especificación de n perto de control SSL Para configrar n perto de datos SSL para FTPS, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -sslcontrol (no allow reqire reqireforath) <movername> = nombre del Data Mover especificado Para activar el perto de datos SSL para FTPS en server_2, escriba: $ server_ftp server_2 -modify -sslcontrol allow 30 de 38

31 Salida server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol : allow Cipher Control port : 990 Data port : de 38

32 Especificación de n perto de datos SSL Para configrar n perto de datos SSL para FTPS, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -modify -ssldata (no allow reqire) <movername> = nombre del Data Mover especificado Para activar el perto de datos SSL para FTPS en server_2, escriba: $ server_ftp server_2 -modify -ssldata allow Nota: La opción ssldata se pede configrar únicamente si se configra la opción ssldcontrol en allow, reqire o reqireforath. Salida server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol : allow : allow Cipher Control port : 990 Data port : de 38

33 Cambio de la serie de cifrado de SSL predeterminada Para cambiar la serie de cifrado de SSL predeterminada para FTPS, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -sslcipher (defalt <cipher_site>) <movername> = nombre del Data Mover especificado Para cambiar la serie de cifrado SSL predeterminada para FTPS en server_2 a n grado de protección de 40 bits, escriba: $ server_ftp server_2 -sslcipher 40 Salida server_2 : done FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona : anonymos Protocol Cipher : 40 Control port : 990 Data port : 989 Reqisito posterior Despés de realizar cambios en na opción de FTPS, se debe reiniciar el demonio de FTP para qe los cambios srtan efecto. Para iniciar el demonio de FTP despés de realizar los cambios de administración, lleve a cabo el sigiente procedimiento. 33 de 38

34 Activación de FTPS en n Data Mover Para activar FTPS en n Data Mover, tilice la sigiente sintaxis de comandos: $ server_ftp <movername> -service -start <movername> = nombre del Data Mover especificado Para activar FTPS en server_2, escriba lo sigiente: $ server_ftp server_2 -service -start Salida server_2: done 34 de 38

35 Resolción de problemas de FTP Como parte de s esferzo contino por mejorar y optimizar el performance y las capacidades de ss líneas de prodctos, EMC lanza periódicamente nevas versiones de las herramientas de hardware y software Celerra. En consecencia, es posible qe algnas de las fnciones qe se describen en este docmento no se soporten en todas las versiones de hardware y software qe se encentran en so actalmente. Para obtener la información más reciente acerca de las fnciones de cada prodcto, conslte las notas de la versión del prodcto correspondiente. Si n prodcto no fnciona correctamente o de la manera qe se describe en este docmento, póngase en contacto con s representante de Servicio al Cliente de EMC. Dónde obtener ayda Para obtener información sobre licencias, prodctos y servicio de EMC, conslte: Información de prodctos: para consltar docmentación, notas de versiones, actalizaciones de software o para obtener información sobre prodctos, licencias y servicios de EMC, visite el sitio Web de EMC Powerlink (registro obligatorio) en la dirección Resolción de problemas: para obtener información sobre la resolción de problemas, vaya a Powerlink, bsqe Celerra Tools y seleccione Celerra Trobleshooting en el panel de navegación de la izqierda. Servicio técnico: para obtener servicio técnico, visite Servicio al Cliente de EMC en Powerlink. Inicie sesión en el sitio Web de EMC Powerlink, vaya a Soporte > Solicitar Soporte. Para abrir na solicitd de servicio por medio de Powerlink, debe contar con n acerdo de servicio válido. Comníqese con n representante del Servicio al Cliente de EMC para obtener detalles sobre cómo obtener n acerdo de servicio válido o para formlar pregntas sobre s centa. Nota: No solicite n representante de servicio específico a menos qe ya se le haya asignado no para s problema específico del sistema. Problem Resoltion Roadmap for EMC Celerra contiene información adicional sobre el so de Powerlink y la resolción de problemas. EMC E-Lab Interoperability Navigator EMC E-Lab TM Interoperability Navigator es na aplicación basada en Web en la qe se peden hacer búsqedas, qe brinda acceso a matrices de soporte de interoperabilidad de EMC. Está disponible en Inicie sesión en Powerlink y haga clic en Soporte > Información de Interoperabilidad y de Ciclo de Vida de Prodctos > E-Lab Interoperability Navigator. Problemas y limitaciones conocidos Si n sario tiene n problema de inicio de sesión al tilizar el FTP, primero comprebe qe el sario tenga na centa válida en el archivo local de 35 de 38