Thiết lập TLS cho FTP

Hướng dẫn này giải thích cách bật Explicit FTP over TLS (FTPS) trong HiTechCloud bằng VSFTPD.

Dịch vụ chạy trên máy chủ (4.0.4 trở lên)

Khi các dịch vụ chạy trực tiếp trên máy chủ, FTP do pure-ftpd phục vụ và FTPS không cần thiết lập thủ công: khi máy chủ có chứng chỉ TLS cho hostname, pure-ftpd được cấu hình với chứng chỉ đó và bắt buộc explicit TLS - đăng nhập FTP thường bị từ chối. Nếu chứng chỉ được cấp sau khi cài FTP, hãy áp dụng bằng hitechcloudcli install --extras-only --with ftp. Các bước VSFTPD bên dưới chỉ áp dụng cho dịch vụ FTP của stack container.

HiTechCloud Enterprise hỗ trợ truy cập FTP. Khi được bật, một máy chủ FTP dùng chung sẽ có sẵn cho mọi người dùng. Trước tiên, hãy làm theo hướng dẫn bật FTP trong HiTechCloud: Cách cấu hình máy chủ FTP

Bước 1: Thêm tên miền

Để dùng TLS, máy chủ phải có sẵn chứng chỉ SSL. Hãy bắt đầu bằng cách thêm tên miền theo một trong các cách sau:

Với tư cách người dùng HiTechAdmin (để truy cập HiTechCloud/HiTechAdmin): https://hitechcloud.org/docs/admin/settings/general/#domain
Với tư cách người dùng HiTechCloud: https://hitechcloud.org/docs/panel/domains/new/

Sau khi thêm, HiTechCloud sẽ tự động tạo chứng chỉ SSL cho tên miền (nếu được hỗ trợ).

Bước 2: Kiểm tra các tệp chứng chỉ SSL

Đảm bảo tệp chứng chỉ SSL và tệp khoá riêng tồn tại trên máy chủ. Nếu chứng chỉ được tạo tự động, đường dẫn sẽ có dạng:

/etc/hitechcloud/caddy/ssl/acme-v02.api.letsencrypt.org-directory/DOMAIN_NAME/DOMAIN_NAME.crt
/etc/hitechcloud/caddy/ssl/acme-v02.api.letsencrypt.org-directory/DOMAIN_NAME/DOMAIN_NAME.key

Thay DOMAIN_NAME bằng tên miền thực tế của bạn.

Bước 3: Bật TLS trong VSFTPD

Vào HiTechAdmin → Dịch vụ → FTP → Cấu hình

Dán các tuỳ chọn cấu hình sau để bật TLS:

⚠️ Quan trọng: Thay DOMAIN_NAME bằng tên miền của bạn trong cả hai đường dẫn tệp.

# Enable SSL
ssl_enable=YES
rsa_cert_file=/etc/hitechcloud/caddy/ssl/acme-v02.api.letsencrypt.org-directory/DOMAIN_NAME/DOMAIN_NAME.crt
rsa_private_key_file=/etc/hitechcloud/caddy/ssl/acme-v02.api.letsencrypt.org-directory/DOMAIN_NAME/DOMAIN_NAME.key

allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES

ssl_tlsv1=NO
ssl_sslv2=NO
ssl_sslv3=NO
ssl_ciphers=HIGH