【ITニュース解説】Ultimate Guide to vsftpd: Configuration Files, Commands, and Secure SFTP Migration

ファイル転送プロトコル（FTP）は、クライアントとサーバー間でファイルをやり取りするための基本的な通信規約である。これは、ウェブサイトのファイルをサーバーにアップロードしたり、大きなファイルを共有したりする際によく利用される。FTPの大きな特徴は、一つのファイル転送セッションに対して「制御コネクション」と「データコネクション」という二つの異なる通信経路を使う点にある。制御コネクションはTCPポート21を使い、ユーザー名やパスワードの認証、ファイルの一覧表示、転送開始の指示など、通信の管理に関する命令のやり取りを担当する。このコネクションはセッションが終了するまで常に開いたままだ。一方、データコネクションは実際のファイルデータやディレクトリリストの内容を転送するために使われる。このコネクションは一時的なもので、ファイルが一つ転送されるたびに開かれ、転送が終わるとすぐに閉じられる。データコネクションがどのポートを使うかは、FTPの転送モードによって異なる。

データコネクションの確立方法には、「アクティブモード」と「パッシブモード」の二種類がある。アクティブモードでは、サーバーがクライアントに対してデータ転送用の接続を要求する。サーバーはTCPポート20をソースポートとして使い、クライアント側の指定されたポートへ接続する。しかし、クライアントがファイアウォールの内側にいる場合、このサーバーからクライアントへの接続要求はファイアウォールにブロックされやすく、問題が発生することが多い。これに対してパッシブモードでは、クライアントがサーバーに対してデータ転送用の接続を要求する。サーバーは一時的に空いている高いポート番号（例えば40000番台など）を開放し、そのポート番号をクライアントに伝える。クライアントはそのポートに対して接続することで、データ転送を開始する。パッシブモードは、クライアントがファイアウォールの内側にいても通信しやすいという利点があり、現代のインターネット環境ではほとんどの場合にこのモードが使われる。サーバー側では、パッシブモードで使うポート範囲をあらかじめ設定し、ファイアウォールでそのポートを開放しておく必要がある。

vsftpd（Very Secure FTP Daemon）は、Linuxシステムで最も広く使われているFTPサーバーソフトウェアの一つである。その名前が示す通り、高いセキュリティと安定性が特徴だ。vsftpdはバックグラウンドで常に動作する「デーモン」として機能し、デフォルトでは制御コネクションのためにTCPポート21を使用する。現代のLinuxディストリビューションでは、systemdという仕組みを使ってvsftpdサービスを管理するのが一般的だ。例えば、sudo systemctl start vsftpdでサービスを開始し、sudo systemctl status vsftpdで状態を確認できる。システム起動時に自動的にvsftpdが立ち上がるようにするにはsudo systemctl enable vsftpdコマンドを使う。

vsftpdの動作はいくつかの設定ファイルによって細かく制御される。メインとなる設定ファイルは/etc/vsftpd.confで、サーバーの挙動、ポート設定、ユーザーアクセス権限、セキュリティポリシーなど、ほとんど全ての項目がこのファイルで定義される。/etc/ftpusersというファイルには、FTPサーバーへのアクセスを明示的に拒否するユーザーの一覧が記述されており、通常rootのようなシステム管理者アカウントがここにリストアップされる。/etc/vsftpd.userlistもユーザーのアクセス制御に使われるファイルで、/etc/vsftpd.confの設定によって、このリストに記載されたユーザーだけがアクセスを許可される（ホワイトリスト方式）か、逆にアクセスを拒否される（ブラックリスト方式）かが決まる。サーバーへの接続履歴やファイル転送の記録は、デフォルトで/var/log/vsftpd.logファイルに保存され、セキュリティ監査やトラブルシューティングに重要である。

vsftpdを動かすための基本的な設定は、/etc/vsftpd.confファイルを編集して行う。まず、listen=YESを設定することで、vsftpdを独立したサーバーとして動作させる。anonymous_enable=NOは匿名ログインを無効にする設定で、セキュリティの観点から、公開しないFTPサーバーでは必ず無効にすべきである。local_enable=YESを設定すると、Linuxシステムに登録されている通常のユーザーがFTPでログインできるようになる。write_enable=YESを設定することで、ログインしたユーザーがファイルをアップロードしたり、ディレクトリを作成・削除したりできるようになる。

次に非常に重要なセキュリティ設定として、「Chroot Jail（chroot監獄）」がある。これは、FTPユーザーがログインした際に、そのユーザーのホームディレクトリより上位のディレクトリに移動できないようにする仕組みだ。これにより、もし悪意のあるユーザーが侵入しても、サーバーの他の重要なファイルシステムへのアクセスを防ぐことができる。この設定はchroot_local_user=YESとして有効にする。新しいバージョンのvsftpdでこの設定とwrite_enable=YESが同時に有効になっている場合、allow_writeable_chroot=YESも設定しないと書き込みが許可されないことがあるため、必要に応じて追記する。

パッシブモードを有効にするには、pasv_enable=YESを設定する。そして、データコネクションで使用するポートの範囲をpasv_min_port=40000とpasv_max_port=50000のように定義する。この設定をしたら、必ずサーバーのファイアウォールでTCPポート21（制御コネクション用）と、設定したデータコネクションのポート範囲（ここでは40000から50000）へのインバウンド（受信）接続を許可する必要がある。例えば、ufwを使っている場合はsudo ufw allow 20,21/tcpとsudo ufw allow 40000:50000/tcpといったコマンドで設定する。

FTPサーバーが動作し始めたら、さらにセキュリティを強化することが重要である。/etc/vsftpd.confファイルで、userlist_enable=YES、userlist_deny=NO、userlist_file=/etc/vsftpd.userlistを設定することで、/etc/vsftpd.userlistに明示的にリストされたユーザーだけがログインを許可される「許可リスト（ホワイトリスト）」方式を実装できる。local_max_rateディレクティブを使うと、ローカルユーザーのデータ転送速度を制限できる。これはサーバーの帯域幅が一部のユーザーによって占有されるのを防ぐ。idle_session_timeoutのようにタイムアウトを設定することで、一定時間操作がないセッションを自動的に切断し、サーバーのリソースを解放する。xferlog_enable=YESを設定することで、全てのファイル転送操作がログに記録され、セキュリティ監査に不可欠な情報となる。

しかし、通常のFTP（平文FTP）は、ユーザー名やパスワード、転送されるファイルデータがネットワーク上を暗号化されずに流れるため、盗聴や改ざんのリスクが非常に高い。このため、必ず暗号化を導入する必要がある。vsftpdが直接サポートしているのはFTPS（FTP over TLS/SSL）という暗号化方式だ。これは既存のFTPプロトコルにTLS/SSLを組み込んだもので、証明書を導入し、ssl_enable=YESなどの設定をすることで、制御コネクションとデータコネクションの両方を暗号化できる。しかし、データコネクションのポート管理が複雑で、ファイアウォールの設定が難しいという課題は残る。

現代において最も推奨される安全なファイル転送方法は、SFTP（Secure File Transfer Protocol）である。SFTPはFTPとは全く異なるプロトコルで、SSH（Secure Shell）の一部として提供される。SSHはデフォルトでTCPポート22を使用するため、SFTPもこの単一ポートで全ての通信を暗号化して行う。サーバーにSSHが導入されていれば追加のソフトウェアは不要で、単一ポートのためファイアウォールの設定も非常にシンプルになる。また、SSHの強力な暗号化や公開鍵認証などのセキュリティ機能を利用できるため、SFTPは平文FTPやFTPSよりもはるかに安全で使いやすい。

vsftpdをインストールし、設定する手順は次の通りである。まず、sudo apt update && sudo apt install vsftpdコマンドでvsftpdパッケージをインストールする。次に、sudo cp /etc/vsftpd.conf /etc/vsftpd.conf.origで元の設定ファイルをバックアップする。FTPアクセス用の専用ユーザーを作成するために、sudo adduser ftpuserを実行し、パスワードを設定する。sudo nano /etc/vsftpd.confで設定ファイルを開き、前述のコア設定とパッシブモード用のポート設定を追記または変更する。設定変更を適用するため、sudo systemctl restart vsftpdでvsftpdサービスを再起動する。ファイアウォール（例えばufw）で必要なポートを開放する。sudo ufw allow 20,21/tcpとsudo ufw allow 40000:50000/tcpを実行する。最後に、sudo -u ftpuser touch /home/ftpuser/README.txtでテスト用のファイルを作成しておく。

クライアントマシンからFTPサーバーに接続する手順は以下のようになる。クライアントのコマンドラインでftp 192.168.1.100（サーバーのIPアドレス）と入力して接続を開始する。接続が成功すると、ユーザー名とパスワードの入力が求められるので、サーバーで作成したftpuserとそのパスワードを入力する。ログイン後、LSコマンドでリモートディレクトリの内容を表示できる。README.txtが表示されることを確認する。ファイル転送の前に、BINARYコマンドで転送モードをバイナリに設定する。GET README.txtコマンドでテストファイルをダウンロードする。ダウンロードが完了したら、! lsでクライアント側のディレクトリにREADME.txtがダウンロードされているか確認できる。最後にQUITコマンドでFTPセッションを終了する。これらの手順により、FTPサーバーが正しく動作し、基本的なファイル転送ができることを確認できる。ただし、実際の運用ではSFTPなどの暗号化された安全なプロトコルを利用することを強く推奨する。