Nastavení FTP ve Windows: server, oprávnění a základní zabezpečení

Nastavení vlastního FTP serveru ve Windows je velmi jednoduchý způsob, jak mít doma nebo v kanceláři jakýsi soukromý cloud. Díky této službě můžete sdílet velké soubory bez omezení velikosti , přesouvat data mezi počítači v místní síti a dokonce k nim přistupovat vzdáleně pomocí internetu. Pokud se chystáte přenášet velké množství dat, můžete přenosy optimalizovat také pomocí softwaru pro kompresi a dekompresi.

Dobře nakonfigurovaný FTP server vám navíc poskytuje úplnou kontrolu nad tím, kdo k serveru přistupuje, co mohou uživatelé vidět a co mohou nahrávat nebo mazat . Nejste závislí na službách třetích stran; můžete si vytvořit více uživatelských účtů, definovat pro každého uživatele specifické složky a v případě potřeby přidat šifrování pro zajištění bezpečného připojení.

Co je FTP a co potřebujete, než začnete?

FTP (File Transfer Protocol) je klasický protokol pro přenos souborů , který obvykle pracuje přes TCP porty 20 (data) a 21 (řídicí). Přestože existuje již desítky let, zůstává velmi praktickým řešením pro nastavení malého souborového serveru v domácí síti nebo v jednoduchém profesionálním prostředí.

V základní podobě tradiční FTP odesílá uživatelská jména, hesla a data v prostém textu bez šifrování. To znamená, že pokud někdo zachytí provoz, může si přečíst, co se přenáší. V domácích sítích nebo izolovaných prostředích to obvykle není vážný problém, ale na internetu nebo v pracovních sítích je mnohem vhodnější používat bezpečnější alternativy, jako je SFTP nebo FTP přes SSL/TLS.

Systém Windows obsahuje vestavěný FTP server v rámci služby IIS (Internetová informační služba) jak ve verzi pro stolní počítače, tak i ve verzi pro Windows Server. To znamená, že k nastavení základního serveru nemusíte instalovat programy třetích stran : stačí aktivovat několik systémových funkcí a správně je nakonfigurovat.

Mějte však na paměti, že FTP server integrovaný do Windows je snadno dostupný, zejména v edicích Pro a Enterprise systémů Windows 10 a Windows 11. Mnoho edicí Home nebude mít všechny potřebné nástroje pro správu a budete muset použít externí software, jako je FileZilla Server.

Aktivace a instalace FTP serveru ve Windows (IIS)

Prvním krokem je instalace potřebných komponent serveru IIS a FTP. Systémy Windows 10, Windows 11 a Windows Server sdílejí velmi podobný základ, ačkoli způsob přístupu k průvodci se mezi desktopovými a serverovými verzemi mírně liší.

V systémech Windows 10 a Windows 11 se tyto funkce obvykle aktivují z Ovládacích panelů:

• Otevřete Ovládací panely a přejděte na Programy > Zapnutí nebo vypnutí funkcí systému Windows.
• V seznamu vyhledejte Internet Information Services a rozšířit ho.
• značka Nástroje pro webovou administraci aby byla konzole IIS k dispozici.
• V FTP server, Mark FTP služba y Rozšiřitelnost FTP.
• Klikněte na akceptovat a počkejte, až systém Windows nainstaluje všechny komponenty.

Ve Windows Serveru (2012, 2012 R2 a novější) se to provádí ve Správci serveru:

• Otevřeno správce serveru z nabídky Start nebo z panelu úloh.
• Klikněte na Přidejte role a funkce.
• V průvodci vyberte Instalace na základě funkcí nebo rolí.
• Vyberte cílový server (obvykle váš vlastní počítač) a stiskněte následující.
• En Role serveru, rozšířit Webový server (IIS) a uvnitř něj, FTP server.
• značka FTP server y FTP službaPokud se průvodce zeptá na přidání dalších komponent, potvrďte to tlačítkem Přidejte vlastnosti.
• Projděte si shrnutí a stiskněte InstalovatTuto možnost můžete nechat vybranou. automatický restart Pokud je to poprvé, co instalujete IIS.

Po dokončení instalace budete mít službu IIS s podporou FTP připravenou ke konfiguraci. Od tohoto okamžiku můžete otevřít Správce Internetové informační služby (IIS) a vytvořit si server FTP.

Vytvořte FTP server a vyberte sdílenou složku

Po instalaci komponent je dalším krokem vytvoření „FTP serveru“ v rámci IIS, což je vstupní bod , ke kterému se klienti budou připojovat, a složka na disku, kde jsou uloženy soubory.

• V nabídce Start systému Windows vyhledejte „Správce internetových informačních služeb (IIS)“ a otevřete ji.
• V levém panelu rozbalte název svého týmu a klikněte na něj pravým tlačítkem myši. Weby.
• Vyberte Přidat FTP server….
• V průvodci zadejte popisný název pro FTP server (například „FTP_Domů“, „FTP_Firma“ atd.).
• En Fyzická přístupová trasa, určuje systémovou složku, kterou chcete sdílet. Něco podobného si můžete vytvořit předem. C:\FTP nebo použijte konkrétní složku (například složku „test“ na ploše).

Na stránce Odkaz a SSL můžete upravit několik důležitých parametrů:

• Vyberte možnost IP adresa na kterém bude FTP server naslouchat. Pokud má počítač pouze jeden, můžete ho nechat tak, jak je. Všechno nepřiřazeno nebo vyberte konkrétní IP adresu.
• El výchozí port Je 21. Můžete to změnit, pokud se chcete vyhnout konfliktům nebo z bezpečnostních důvodů „kvůli tmě“, ale ve většině případů se to nechává tak, jak je.
• V domácím nebo testovacím prostředí je velmi běžné označovat Bez SSLPřipojení proto nebude šifrované. V prostředích s citlivými daty je nejlepší nakonfigurovat SSL certifikát a vybrat příslušnou možnost. Povolit SSL nebo přímo Vyžadovat SSL.
• Zkontrolujte, zda je vybrána daná možnost. Automatické spuštění FTP serveru aby služba začala se serverem.

Na obrazovce Informace o ověřování a autorizaci určíte, kdo se může připojit k FTP a s jakými oprávněními:

• En Ověřování, obvyklou věcí je aktivace Základní (Uživatel se přihlásí pomocí svého účtu a hesla systému Windows.) Anonymní ověřování má smysl pouze pro veřejná úložiště určená pouze pro čtení.
• En OprávněníMůžete si vybrat mezi udělením přístupu Všichni uživatelé, anonymní uživatelé, Role nebo skupiny specifické nebo Určení uživateléV domácím prostředí je obvykle vhodné omezit jej na jednoho nebo více konkrétních uživatelů.
• Vyberte oprávnění Lectura A pokud chcete, aby mohli nahrávat/upravovat soubory, je to taky v pořádku. Psaní.
• Klikněte na dokončit k vytvoření webu.

V tomto okamžiku již máte v IIS definovaný FTP server, který odkazuje na složku na vašem disku a má několik základních pravidel přístupu. Dále budete muset otevřít firewall a pokud chcete externí přístup, nakonfigurovat router.

Povolit FTP server v bráně firewall systému Windows

Pokud je brána firewall systému Windows aktivní (což by měla být) , bude blokovat příchozí připojení k portu 21 a pasivním portům FTP. Abyste tomu zabránili, je třeba vytvořit nebo povolit příslušná pravidla.

Na stolních počítačích s Windows 10/11 to můžete provést z Ovládacích panelů:

• Otevřeno Ovládací panely > Systém a zabezpečení > Firewall programu Windows Defender.
• Klikněte na Povolte aplikaci nebo funkci prostřednictvím brány Windows Defender Firewall.
• Klikněte na Změňte nastavení (požádá vás o oprávnění správce).
• Prohledejte seznam FTP server a aktivujte políčka Soukromé y Veřejnost v závislosti na vašich zájmech.
• Uložit s akceptovat.

Na Windows Serveru je nejkontrolovanějším způsobem použití pokročilého firewallu:

• Přejít na Ovládací panely > Systém a zabezpečení > Nástroje pro správu a otevřít Brána firewall systému Windows s pokročilým zabezpečením.
• V levém panelu vyberte Pravidla vstupu.
• V pravém panelu klikněte na Nové pravidlo ....
• Vyberte si Předdefinované a ze seznamu vyberte FTP server.
• Vyberte všechny položky související s FTP (služba, port atd.) a stiskněte následující.
• Vyberte si Povolit připojení A asistent končí.

Poté by měl být váš server schopen přijímat FTP připojení z ostatních počítačů v síti. Pokud chcete, aby fungoval správně i v pasivním režimu přes firewally, IIS má vyhrazenou sekci Podpora FTP firewallu , kde můžete definovat rozsah pasivních portů a externí IP adresu firewallu.

Přístup z lokální sítě a z internetu

Jakmile je web nastaven a firewall je otevřený, přichází zajímavá část: kontrola, zda server reaguje a zda můžeme procházet, nahrávat a stahovat soubory.

Pro testování z jiného počítače ve stejné síti můžete použít Průzkumník souborů ve Windows :

• Otevřete Průzkumníka pomocí Windows + E.
• Do adresního řádku zadejte URL adresu ve formátu ftp://IP_SERVERU (například ftp://192.168.1.109).
• Zadejte uživatelské jméno a heslo pro účet Windows, ke kterému jste udělili oprávnění.
• značka Uložte heslo pokud nechcete pokaždé zadávat své přihlašovací údaje.

Můžete také použít specializovaného FTP klienta (FileZilla, WinSCP atd.) zadáním IP adresy serveru, portu (výchozí hodnota je 21), typu FTP připojení a uživatelských přihlašovacích údajů.

Pro přístup z internetu (například z notebooku, když nejste doma) budete muset nakonfigurovat router tak, aby přesměroval port 21 na privátní IP adresu FTP serveru:

• Na FTP serveru otevřete příkazový řádek (CMD) a spusťte ipconfig zaznamenat dvě informace: IPv4 adresa (interní IP adresa serveru) a Výchozí brána (IP adresa routeru, něco jako 192.168.xx).
• V prohlížeči zadejte IP adresu brány pro přístup k správa routeru.
• Přihlaste se pomocí uživatelského jména a hesla vašeho routeru.
• Hledejte sekci Přesměrování portů, NAT nebo WAN.
• Vytvořte nové pravidlo pro přesměrování portů pomocí něčeho podobného:
  – Název služby: například „FTP server“.
  – Externí port: 21 (nebo kterýkoli, který používáte).
  – Interní IP adresa: IP adresa FTP serveru (IPv4, kterou jste viděli pomocí příkazu ipconfig).
  – Interní port: také 21.
  – Protokol: TCP.
• Uložte změny a použijte nastavení.

Chcete-li otestovat externí přístup, můžete v libovolném prohlížeči vyhledat „ jaká je moje IP adresa? “ na Googlu nebo Bingu a najít tak svou veřejnou IP adresu. Poté na jiném počítači připojeném k jiné síti zadejte do prohlížeče nebo FTP klienta ftp://VAŠE_VEŘEJNÁ_IP adresa . Pokud se zobrazí přihlašovací okno, přesměrování portů a server fungují správně.

Správa uživatelů a oprávnění pro FTP

Jednou z výhod používání FTP přes IIS je, že můžete využít stávající účty Windows k řízení toho, kdo má přístup k serveru a co mohou dělat. Pro sdílené používání mezi více lidmi je vhodné vytvořit konkrétní uživatele a v případě potřeby i skupiny s omezenými oprávněními.

V systému Windows 10/11, vytvoření základního uživatele z moderního rozhraní:

• Otevřeno konfigurace s kombinací Windows + I.
• Zadejte Účty a pak v Rodina a další uživatelé.
• Klikněte na Dohodněte se na persona a este acquo.
• Vyberte Žádná losovaná data pro začátek sezóny osobně a pak Souhlasíte s používáním společnosti Microsoft.
• Vyplňte uživatelské jméno a heslo nového lokálního uživatele.

V serverových prostředích (Windows Server) je běžné používat konzoli Místní uživatelé a skupiny k vytváření uživatelů a v případě potřeby i skupiny vyhrazené pro FTP:

• Otevři nástroje pro správu a vstoupí Týmové řízení.
• Ve stromu vlevo přejděte na Místní uživatelé a skupiny.
• Klikněte pravým tlačítkem na Uživatelé a vyberte Nový uživatel….
• Zadejte jméno, popis a heslo. Můžete vybrat možnosti jako „Uživatel nemůže změnit heslo" nebo "Heslo nikdy nevyprší„pokud se jedná o technický účet pro FTP.“
• Pokud chcete centralizovat oprávnění, vytvořte také nová skupina (klikněte pravým tlačítkem myši na Skupiny > Nová skupina…), pojmenujte ji (například FTP_Uživatelé) a přidejte uživatele, kteří budou službu používat.

Po vytvoření uživatele mu musíte udělit oprávnění ke složce , která slouží jako „domov“ FTP serveru:

• Klikněte pravým tlačítkem myši na složku, která slouží jako kořenový adresář FTP (například C:\FTP), a zadejte vlastnosti.
• Přejděte na kartu zabezpečení a klikněte na Upravit….
• Pokud chcete jemně doladit, můžete použít Pokročilý bod zrušit dědictví a převést zděděná oprávnění na explicitní oprávnění. Tímto způsobem přesně určíte, kdo má přístup.
• Odeberte uživatele nebo skupiny, které nepotřebují přístup k dané složce (například obecná skupina „Uživatelé“), s použitím principu nejnižších oprávnění.
• Klikněte na Přidat… zahrnout uživatele nebo skupinu vytvořenou pro FTP.
• Přiřaďte potřebná oprávnění. Pro uživatele, který potřebuje číst a nahrávat soubory, je obvykle praktické udělit plná kontrola v dané složce, pokud máte jasno v tom, že se jedná o kontrolované prostředí.

Nakonec můžete v rámci IIS upravit autorizační pravidla pro jednotlivé weby :

• Ve Správci IIS vyberte v levém panelu svůj server FTP.
• Otevřít funkci Autorizační pravidla.
• Přidat Pravidlo oprávnění označující Určení uživatelé a napište název účtu Windows, který má přístup.
• Označte, pokud budete mít Lectura a / nebo Psaní v závislosti na tom, co chcete povolit.

Tímto způsobem se každý člověk může připojit s vlastními přihlašovacími údaji a server může izolovat nebo omezit přístup pro jednotlivé uživatele , zejména pokud toto zkombinujete s izolací uživatelů v FTP.

Pokročilé možnosti FTP služby IIS: izolace, filtrování a omezení

FTP server IIS obsahuje dobrou sadu pokročilých možností určených pro náročnější prostředí nebo pro ty, kteří chtějí mít nad službou vysokou úroveň kontroly. I když v domácím použití není vždy nutné používat všechny, je stále užitečné se s nimi seznámit.

V kořenovém adresáři serveru, ve Správci IIS, najdete několik modulů souvisejících s FTP :

• Výchozí nastavení serveru FTPZde můžete definovat, jak se nové FTP servery vytvářejí ve výchozím nastavení (časové limity připojení, maximální počet simultánních připojení, použití UTF-8, chování datového kanálu atd.).
• Kompatibilita FTP firewallu: umožňuje nastavit rozsah pasivních portů (například 5000-6000), které pak budete muset otevřít ve firewallu a routeru pro pasivní připojení, a také uvést Externí IP adresa firewallu které musí zákazníci používat.
• Izolace uživatelů FTPTo je velmi užitečné, pokud chcete, aby každý uživatel viděl pouze svou vlastní složku. Můžete nakonfigurovat každý FTP účet tak, aby byl omezen na adresář s jeho názvem, konkrétní fyzický adresář nebo dokonce domovský adresář definovaný v Active Directory.
• Prozkoumání adresáře FTP: umožňuje rozhodnout, zda se seznamy složek zobrazí ve formátu MS-DOS o UNIX a jaká pole jsou zahrnuta (velikost v bajtech, čtyřmístné roky, virtuální adresáře atd.).
• Omezení pokusů o přihlášení k FTPZde můžete aktivovat malý mechanismus proti hrubé síle, který omezí maximální počet neúspěšných pokusů o přihlášení v určitém intervalu a rozhodnutí, zda se má IP adresa automaticky blokovat, nebo se událost jednoduše zaznamená do protokolu.
• Filtrování FTP požadavkůVelmi výkonný bezpečnostní modul, který umožňuje filtrování podle přípon souborů, segmentů URL, řetězců URL nebo dokonce specifických FTP příkazů. Při opatrném používání může být užitečný pro blokovat nebezpečné typy souborů nebo příkazy.
• FTP protokolZde si můžete nakonfigurovat, jak se protokoly ukládají (podle lokality nebo serveru), do které složky, s jakým kódováním (UTF-8 nebo ANSI) a jak často se generují nové soubory protokolů (podle času, podle maximální velikosti nebo bez automatické rotace).
• FTP zprávyUmožňuje vám přizpůsobit text, který uživatel uvidí po připojení (banner, uvítací zpráva, zpráva o ukončení, maximální oznámení o připojení) a povolit uživatelské proměnné, jako například %Uživatelské_jméno%, %Název_stránky% o %Přijatých bajtů%.

Kombinací těchto možností můžete svůj FTP server velmi vylepšit: například izolací každého uživatele v jeho osobní složce, omezením nebezpečných rozšíření, omezením počtu připojení a přizpůsobením zpráv, které klienti vidí.

Jak zabezpečit FTP pomocí SSL/TLS (FTPS)

Pokud bude server přístupný z internetu nebo bude zpracovávat citlivé informace, není vhodné ponechávat provoz nešifrovaný. V těchto případech je vhodné povolit FTP přes SSL/TLS (FTPS) pomocí certifikátu.

Můžete použít buď certifikáty vydané oficiální certifikační autoritou, nebo certifikáty podepsané držitelem . Ty druhé vygenerují na klientovi varování, ale jsou užitečné pro šifrování kanálu v kontrolovaných prostředích.

Vytvoření certifikátu s vlastním podpisem ze služby IIS na serveru Windows Server:

• Otevřete Správce IIS a v levém panelu vyberte server.
• dvakrát klikněte na Serverové certifikáty.
• V pravém panelu vyberte Vytvořte certifikát s vlastním podpisem….
• Označuje a popisné jméno a vyberte sklad Osobní.
• Potvrďte pomocí akceptovat.

Jakmile je certifikát vytvořen, budete ho muset přiřadit k vašemu FTP serveru:

• Ve Správci IIS vyberte FTP server které jste vytvořili.
• Otevřít funkci Konfigurace SSL protokolu FTP.
• V seznamu Certifikát SSLVyberte certifikát podepsaný držitelem (nebo certifikát vydaný vaší certifikační autoritou, pokud ho máte).
• značka Vyžadovat SSL připojení pokud chcete vynutit šifrování veškerého provozu.
• Proveďte změny.

Od tohoto okamžiku budete pro připojení k serveru potřebovat klienta, který podporuje FTPS, například WinSCP nebo FileZilla, a nakonfigurovat:

• Protokol o podání: FTP.
• šifrování: Explicitní FTP přes TLS/SSL.
• Hostitel: IP adresa nebo název domény serveru.
• Port: 21 (nebo jiný, pokud jste ho změnili).
• Uživatelské jméno a heslo: přihlašovací údaje systému Windows nakonfigurované pro FTP.

Klient vás upozorní, že certifikát není podepsán důvěryhodnou autoritou, pokud je podepsaný sám sebou. I tak bude kanál šifrovaný a vaše přihlašovací údaje nebudou po síti přenášeny v prostém textu.

Nastavení FTP serveru ve Windows pomocí IIS není složité, ale vyžaduje pečlivé dodržování každého kroku: instalace rolí, vytvoření webu, konfigurace firewallu a routeru, definování uživatelů a oprávnění a v případě potřeby povolení SSL a pokročilých možností zabezpečení. Jakmile je vše připraveno, můžete si užívat flexibilního, rychlého a plně kontrolovaného řešení pro ukládání a přenos souborů , a to jak v místní síti, tak odkudkoli s přístupem k internetu.