FTP·FTPS: 두 연결의 원리와 vsftpd·IIS 권한 구조

01FTP·FTPS·SFTP를 구분하기

• FTP·전송FTP는 파일 전송을 위한 프로토콜이며 명령·응답을 주고받는 제어 연결과 파일·디렉터리 목록을 보내는 데이터 연결을 분리한다.
• FTP일반 FTP는 자격증명과 데이터가 평문으로 전달될 수 있다.
• FTPS·FTPFTPS는 FTP 연결에 TLS를 적용하는 방식이고, SFTP는 SSH의 전송 기능을 이용하는 별도 프로토콜이다.

  • 이름이 비슷하다고 같은 서버 설정이나 포트 체계를 쓰지 않는다.
• 전송파일 전송 서비스의 성공은 접속 하나로 끝나지 않는다.
• 인증·데이터 연결서버 신원 확인, 사용자 인증, 경로 접근 허가, 데이터 연결, 전송 완료가 차례로 연결된다.
• 데이터 연결디렉터리 목록도 데이터 연결로 전달되므로 로그인은 성공하지만 목록이나 다운로드가 멈추는 증상을 제어 연결 문제와 구분해야 한다.

02제어 연결의 명령과 응답 상태

• FTP기본 FTP 서버 제어 포트는 TCP 21이다.
• 제어 연결클라이언트가 제어 연결을 만들면 서버는 준비 응답을 보내고 USER·PASS 등의 인증 교환이 이어질 수 있다.
• 220220은 서비스 준비, 331은 추가 비밀번호 요구, 230은 로그인 성공의 대표 응답이다.
• 전송·데이터 연결파일 전송 전에는 데이터 연결 방식을 정하고 LIST·RETR·STOR 같은 명령을 보낸다.
• 1xx 응답1xx 응답은 진행을 시작하는 예비 응답, 2xx는 완료, 3xx는 추가 정보 필요, 4xx는 일시적 실패, 5xx는 요청이나 정책 등으로 완료할 수 없는 실패를 나타내는 계열이다.
• 150·전송150은 전송을 시작하는 단계에서 볼 수 있고 226은 전송 후 완료 응답으로 쓰인다.
• 명령·응답 코드 대응서버가 보낸 응답 문구와 코드, 해당 명령을 함께 읽어야 어떤 단계에서 실패했는지 알 수 있다.

03Active mode에서는 서버가 데이터 연결을 시작한다

• Active modeActive mode에서 클라이언트는 데이터 연결을 받을 주소와 포트를 PORT 또는 EPRT로 전달한다.
• 서버의 역방향 연결서버가 그 지점으로 별도의 TCP 연결을 시작한다.
• FTP전통적인 FTP 동작에서 서버 데이터 포트 20이 사용되지만 모든 구현·구성에서 관측되는 출발지 포트를 무조건 20으로 고정해 해석하지는 않는다.

  • 중요한 구분은 누가 새 데이터 연결을 시작하는가다.
• NAT클라이언트가 NAT 뒤에 있고 서버가 도달할 수 없는 주소를 광고하거나 클라이언트 측 방화벽이 새 연결을 거부하면 제어 연결이 살아 있어도 데이터 연결은 실패한다.
• 데이터 목적지 검증서버가 임의의 제삼자 주소로 연결하도록 허용하지 않도록 데이터 목적지 검증 정책도 필요하다.
• activeactive를 사용할 때는 광고한 주소·포트와 실제 SYN의 방향을 함께 관찰한다.

04Passive mode의 포트 협상과 전송 순서

• Passive modePassive mode에서는 서버가 데이터 수신 포트를 열고 클라이언트가 그 포트로 연결한다.
• PASV·227PASV의 227 응답에는 IPv4 주소와 두 포트 바이트가 들어가며 포트는 p1×256+p2로 계산한다.

  • 예를 들어 (192,0,2,10,117,48)은 문서용 서버 주소의 포트 30000을 뜻한다.
• EPSV·229EPSV의 229 응답은 보통 포트만 알려 주고 제어 연결의 서버 주소를 사용하므로 주소 계열과 NAT 처리를 단순하게 만들 수 있다.
• 제어 연결·인증전형적인 순서는 제어 연결과 인증 → EPSV/PASV → 새 데이터 연결 → LIST 또는 파일 전송 명령 → 데이터 전송·연결 종료 → 제어 연결의 완료 응답이다.

  • 제어 연결은 다음 명령을 위해 남아 있을 수 있다.
• 전송하나의 전송이 끝난 뒤에도 다른 전송에서 새로운 데이터 포트가 선택될 수 있으므로 한 번 열린 데이터 포트만 고정 관찰하지 않는다.

1. 수동 모드 요청제어 연결과 인증이 끝난 클라이언트가 EPSV를 보낸다. 이 명령은 새 데이터 연결을 받을 서버 쪽 포트를 준비하도록 요청한다.
2. 데이터 포트 통지서버가 포트를 열고 229 응답에 포트 번호를 보낸다. 예시의 (|||30000|)은 제어 연결 상대 서버의 TCP 30000번 포트다.
3. 데이터 TCP 연결클라이언트가 안내받은 서버 포트로 새 연결을 연다. 이 연결과 제어 연결은 서로 다른 TCP 연결이다.
4. 전송 명령과 데이터클라이언트가 제어 연결로 LIST를 보내면 서버가 150 등 예비 응답을 보내고 데이터 연결로 디렉터리 목록을 전송한다.
5. 전송 완료데이터 전송을 마치고 해당 데이터 연결을 종료한 뒤 제어 연결의 226 응답으로 완료를 알린다. 제어 연결은 다음 명령을 위해 유지될 수 있다.

C → S: EPSV
S → C: 229 Entering Extended Passive Mode (|||30000|)
C → S: TCP 데이터 연결을 서버의 30000번 포트로 생성
C → S: LIST              # 제어 연결의 명령
S → C: 150 ...           # 제어 연결의 예비 응답
S → C: 디렉터리 목록     # 데이터 연결
S → C: 226 ...           # 데이터 연결 종료 후 제어 연결의 완료 응답

인증이 끝난 뒤의 passive 목록 조회 학습 모식 예시. C는 클라이언트, S는 서버이며 비밀번호 교환은 생략했다.

08Passive 포트 범위와 NAT·방화벽

• passive서버의 passive 데이터 포트 범위를 제한하면 그 범위에 맞춰 경계 방화벽과 호스트 방화벽을 구성할 수 있다.
• LIST·전송제어 포트 21만 허용하면 로그인은 되지만 LIST와 전송이 실패할 수 있다.
• NAT·PASVNAT가 있는 서버의 PASV 광고 주소는 클라이언트가 실제 도달 가능한 주소와 일치해야 하며 주소·포트 변환과 데이터 포트 범위가 함께 맞아야 한다.
• FTPSFTPS에서는 제어 명령이 암호화되어 중간 장비가 PASV 내용을 읽어 동적으로 포트를 열어 주는 FTP helper에 의존하기 어려울 수 있다.
• 데이터 포트·방향 제한명시적으로 제한한 데이터 범위와 필요한 연결 방향을 설계하는 이유다.
• 전송아래 값은 제한된 실습 범위의 예시이며 동시 전송 수요와 실제 정책에 맞게 정한다.
• 인증포트를 넓게 여는 것만으로 인증·파일 권한 문제는 해결되지 않는다.

pasv_enable=YES
pasv_min_port=30000
pasv_max_port=30100

vsftpd passive 데이터 포트 범위 예시. 제어 포트와 함께 필요한 클라이언트 범위·방향만 허용하는 정책에 연결한다.

09vsftpd의 인증·사용자 제한·PAM

• vsftpdvsftpd는 설정 파일의 local_enable 등으로 로컬 계정 로그인을 허용하고 PAM을 통해 계정 인증·접근 정책을 적용할 수 있다.
• anonymous_enableanonymous_enable은 익명 접근과 관련된다.
• Userlist·PAM 정책사용자 목록의 허용·거부 의미는 userlist_enable과 userlist_deny 조합에 따라 달라지며, 배포판의 PAM 정책과 금지 사용자 목록도 별도로 영향을 준다.
• 사용자 목록 정책하나의 파일에 사용자 이름을 넣었다고 전체 허용 상태가 결정되지 않는다.
• FTP·nologinFTP 전용 계정에 nologin 셸을 두면 일반 셸 로그인을 제한할 수 있지만, PAM의 pam_shells 같은 검사 때문에 FTP 인증도 거부될 수 있다.
• 인증 정책의 원인 분석해결을 위해 PAM 검사를 일괄 제거하기보다 실제 인증 경로와 계정 정책을 이해해야 한다.
• 전송서비스 계정, 가상 사용자, 허용 목록 등 채택한 방식을 문서화하고 일반 관리 계정과 전송 계정을 구분한다.

anonymous_enable=NO
local_enable=YES
write_enable=YES
chroot_local_user=YES
userlist_enable=YES
userlist_deny=NO

로컬 전용 계정을 허용 목록으로 제한하는 설정 조각. 사용자 목록 경로·PAM·파일 권한·TLS를 별도로 구성해야 하는 부분 예시다.

10chroot·디렉터리 권한·쓰기 허용의 교집합

• 경로 루트 제한chroot는 프로세스가 보는 파일 경로의 루트를 제한하는 기능이다.
• 커널커널을 공유하는 프로세스에 대한 완전한 가상화나 모든 공격을 막는 경계는 아니다.
• 루트와 업로드 권한 분리서버가 쓰기 가능한 chroot 루트를 제한하는 경우, 루트 디렉터리는 관리 소유로 유지하고 그 아래 업로드 디렉터리만 전송 계정이 쓸 수 있도록 나눌 수 있다.
• write_enable·FTPwrite_enable은 FTP 쓰기 명령을 허용하는 서비스 설정이며 실제 파일시스템 쓰기 권한을 새로 만들어 주지는 않는다.

  • 계정의 디렉터리 탐색 권한, 대상 디렉터리 쓰기 권한, ACL, SELinux 같은 정책도 충족해야 한다.
• 데이터 연결목록은 되지만 업로드가 거부된다면 데이터 연결이 정상이라는 사실을 활용해 쓰기 명령 허용과 파일 접근 경계를 조사한다.

/srv/ftp/study       root:root    0755  # 제한 루트
/srv/ftp/study/upload study:study  0750  # 전송 계정의 업로드 위치

소유권·권한을 설명하는 디렉터리 구조 예시이며 실행 명령이 아니다. 실제 사용자 격리 방식과 정책에 맞게 구성한다.

11FTPS는 제어와 데이터의 TLS를 각각 보호한다

• FTPS·제어 연결명시적 FTPS에서는 제어 연결에서 AUTH TLS로 TLS 사용을 협상하고 TLS 핸드셰이크를 진행한 뒤 인증 정보와 후속 명령을 보호할 수 있다.
• 데이터 연결·PBSZ데이터 연결의 보호 수준도 PBSZ와 PROT 명령 등으로 협상한다.
• PROT P·데이터 연결PROT P는 데이터 연결의 보호를 요청하는 방식이다.
• 제어 연결·TLS제어 연결만 TLS로 보호하고 데이터는 평문으로 허용하는 정책은 파일 내용의 기밀성을 보장하지 못한다.
• 인증서클라이언트는 인증서의 신뢰 체인과 유효 기간, 접속 이름 일치를 검증한다. 인증서를 설치했다는 것과 클라이언트가 그 인증서를 신뢰하고 올바른 서버 이름을 확인했다는 것은 다른 상태다.
• 전송·TLS서버 설정에서 로컬 로그인과 데이터 전송에 TLS를 요구하는 조건을 각각 정하고, 사용하는 TLS 라이브러리와 서버 버전의 프로토콜 설정을 확인한다.

  • 인증서·개인키 파일의 접근권한도 서비스 실행 계정에 맞춘다.

1. TLS 사용 협상명시적 FTPS 클라이언트가 FTP 제어 연결에서 AUTH TLS를 요청한다. 서버가 수락하면 제어 연결의 TLS 핸드셰이크로 넘어간다.
2. 서버 인증과 보호된 명령클라이언트가 인증서의 신뢰·기간·서버 이름을 검증한다. TLS가 수립된 뒤 자격증명과 후속 제어 명령을 보호된 연결로 주고받는다.
3. 데이터 보호 수준 협상TLS 사용에 맞게 PBSZ 0과 PROT P 등의 명령으로 데이터 연결의 보호를 협상한다. 제어 연결의 TLS만으로 파일 데이터 보호가 자동 보장되지는 않는다.
4. 개별 데이터 연결 보호전송용 데이터 연결에서도 협상된 보호 수준에 따라 TLS를 사용하여 목록이나 파일 내용을 전달한다. 클라이언트와 서버의 요구 정책이 맞아야 전송이 성립한다.

12IIS FTP의 역할·사이트·인증·NTFS

• FTPWindows Server에서는 FTP 역할 기능 설치, FTP 서비스 상태, 개별 사이트의 바인딩·물리 경로가 서로 다른 구성 요소다.
• ftpsvcftpsvc가 Running이어도 해당 사이트는 중지되어 있거나 다른 주소에 바인딩되어 있을 수 있다.
• 인증물리 디렉터리가 존재하는 것만으로 사이트와 인증 설정이 생성되었다고 판단하지 않는다.
• 자동 설정의 선행 조건자동화에서도 디렉터리 존재 여부를 사이트 전체의 완료 조건으로 쓰지 않는다.
• IIS·FTPIIS FTP에서는 사용자가 누구인지 확인하는 인증, 허용 사용자와 읽기·쓰기를 정하는 FTP 인가 규칙, 실제 파일·디렉터리의 NTFS 권한을 함께 충족해야 한다.
• 인증·TLSBasic 인증을 사용할 때는 TLS로 제어 연결을 보호하고 익명 접근을 필요한 범위로 제한한다.
• TLSTLS 정책의 controlChannelPolicy와 dataChannelPolicy를 각각 필수로 설정하는 구조를 이해하고, 전역 passive 포트 범위가 다른 FTP 사이트에 미치는 영향도 고려한다.

Get-Service ftpsvc
Import-Module WebAdministration
Get-Website | Select-Object Name, State, PhysicalPath, Bindings

설치된 IIS 환경에서 서비스와 사이트 상태를 별도로 조회하는 예시. 역할 설치·사이트 생성·시작 명령은 포함하지 않았다.

13정상 전송을 단계별로 검증하기

• 제어 연결·TLS서버 바인딩 → 제어 연결 → TLS 인증서 → 사용자 인증 → 경로 인가 → passive 협상 → 데이터 TCP 연결 → 전송 완료 순서로 상태를 연결한다.
• 인증·데이터 연결530 같은 인증 거부, 425 같은 데이터 연결 실패, 550 같은 파일 작업 거부는 출발점이 다른 증상이며 실제 명령과 로그를 함께 읽는다.
• NAT·TLS패킷 캡처 위치가 NAT 전후인지, TLS 내부 내용을 볼 수 있는 위치인지도 해석에 영향을 준다.
• 바이너리읽기·쓰기·목록과 허용하지 않은 경로 접근을 각각 시험하고 바이너리 파일의 전후 해시를 비교하면 전송 내용의 일치를 확인할 수 있다.
• ASCII·전송ASCII 전송 모드는 줄 끝 표현을 변환할 수 있으므로 바이트가 그대로 유지되어야 하는 파일에는 이진 전송을 사용한다.
• vsftpdvsftpd 실행 명령은 서버를 실제 시작할 수 있으므로 단순 문법 검사 명령과 구분한다.
• 설정과 실제 전송의 대조서비스 상태, 적용 설정, 로그와 클라이언트 동작을 따로 확인한다.