• AccessGrantMsg
• Allow
• AllowAll
• AllowForeignAddress
• AllowGroup
• AllowUser
• AllowOverwrite
• AllowRetrieveRestart
• AllowStoreRestart
• AnonRequirePassword
• <Anonymous>
• AnonymousGroup
• AuthAliasOnly
• AuthGroupFile
• AuthUserFile
• Bind
• DefaultRoot
• DefaultServer
• DeferWelcome
• Deny
• DenyAll
• DenyGroup
• DenyUser
• <Directory>
• DirFakeGroup
• DirFakeMode
• DirFakeUser
• DisplayFirstChdir
• DisplayLogin
• ExtendedLog
• <Global>
• Group
• GroupOwner
• GroupPassword
• HideGroup
• HideNoAccess
• HideUser
• IdentLookups
• IgnoreHidden
• <Limit>
• LogFormat
• LsDefaultOptions
• MaxClients
• MaxClientsPerHost
• MaxInstances
• MaxLoginAttempts
• Order
• PathAllowFilter
• PathDenyFilter
• PersistentPasswd
• Port
• RequireValidShell
• RootLogin
• ScoreboardPath
• ServerAdmin
• ServerName
• ServerType
• ShowSymlinks
• SocketBindTight
• SyslogFacility
• SystemLog
• tcpBackLog
• tcpReceiveWindow
• tcpSendWindow
• TimeoutIdle
• TimeoutLogin
• TimeoutNoTransfer
• TimeoutStalled
• TransferLog
• Umask
• UseFtpUsers
• UseReverseDNS
• User
• UserAlias
• UserPassword
• <VirtualHost>
• WtmpLog

AccessGrantMsg

Syntax: AccessGrantMsg message
Default: Dependent on login type
Context: server config, <VirtualHost>, <Anonymous>, <Global>
Compatibility: 0.99.0pl5 and later

通常、認証後直ちに FTP クライアントに 230 レスポンスメッセージが送信されます。標準的なメッセージはユーザがログインしたか、または anonymous アクセスが認められたことを示すものです。この message は AccessGrantMsg directive でカスタマイズされます。メッセージの引数では、magic cookie '%u' がログインの間にクライアントによって指定されたユーザ名に置き換えられます。例:

AccessGrantMsg "Guest access granted for %u."

Allow

Syntax: Allow ["from"] "all"|"none"|host|network[,host|network[,...]]
Default: Allow from all
Context: <Limit>
Compatibility: 0.99.0pl6 and later

Allow directive はホストやネットワークのアクセスで、コマンドや操作が制限されることを明確にするために <Limit> の中で使われます。Allow は普通、高度な(あるいは無防備な)アクセス制御を実現するために、Order と Deny を組み合わせて使います。Allow は最初の引数として; from をとります。from の使用はまったく表面的なことです。残りの引数は許可されたアクセスを明らかにするホストとネットワークを示すためのものです。all は、全てのホストのアクセスを許可するために使われます(優先度が低いことを除いては、AllowAll directive と似ています)。また、none はアクセスを許可されたホストやネットワークが存在しないことを示すために使われます(ですが、これは暗に許可されたアクセスは妨げません)。もし all か none が使われていれば、ホストやネットワークは指定されません。

ホストとネットワークのアドレスは名前か数字によって指定されます。セキュリティ上の理由から、全てのアドレスの情報は数字で示すことが推奨されています。名前だけに頼ると、attack や spoofing に対して無防備な DNS サーバに大きく依存することになります。ネットワーク全体を指定する場合には、数字をピリオドで終わらせます(すなわち、10.0.0 のサブネット全体なら 10.0.0. )。

例:

<Limit LOGIN>
Order Allow,Deny
Allow from 128.44.26.,128.44.26.,myhost.mydomain.edu,.trusted-domain.org
Deny from all
</Limit>

AllowAll

Syntax: AllowAll
Default: Default is to implicitly AllowAll, but not explicitly
Context: <Directory>, <Anonymous>, <Limit>, .ftpaccess
Compatibility: 0.99.0 and later

AllowAll directive は <Directory>、<Anonymous>、<Limit> に対するアクセスを明白に許可します。proftpd はデフォルトで特定のオブジェクトへのアクセスを許可し、デフォルトでは暗に許可しています。AllowAll は明白に許可して、高次の拒否 directive より優先します。

AllowForeignAddress

Syntax: AllowForeignAddress on|off
Default: AllowForeignAddress off
Context: server config, <VirtualHost&, <Anonymous>, <Global>
Compatibility: 1.1.7 and later

普通、proftpd は自身のアドレス(ftp コントロールの接続のソースアドレス)とは違うアドレスから ftp PORT コマンドを使うクライアントを拒否します。同じように、低い番号のポート(< 1024)を指定した場合にも退けます。どちらの場合にも、クライアントは "Invalid port" エラーを送信され、メッセージは "address mismatch" か "bounce attack" が syslog に出ます。この directive を可能にすることにより、proftpd はクライアントのアドレスと一致しない、関係のないアドレスとの接続をクライアントに許可します。これは、実際の接続に自分自身を含まない二つの FTP サーバ間で、ファイルを転送するクライアントを許可します。一般には、この種のことを許可するセキュリティ方法は賢くありません。

AllowForeignAddress は、アドレスの接続だけに作用します; tcp ポートではなく。PORT コマンドには低い番号のポートを使うクライアントを許可する方法がありません。

AllowGroup

Syntax: AllowGroup group-expression
Default: None
Context: <Limit>
Compatibility: 1.1.1 and later

AllowGroup は、それが適用されている <Limit> の中で特別に許可される group-expression を指定します。group-expression は DefaultRoot で使われているものと同じフォーマットで、アクセスを許可されたグループと"そうでない"グループをコンマで区切ったものです(プレフィックスとして`!'がグループ名に付きます)。表記はプール演算"と"リストとして解析され、表記にある全ての要素は割り当てを許可するために、論理的に真であることを評価しなければなりません。

See Also: DenyGroup, DenyUser, AllowUser

AllowUser

Syntax: AllowUser user-expression
Default: None
Context: <Limit>
Compatibility: 1.1.7 and later

AllowUser は <Limit> のコンテクスト内部で特別にアクセスを許可される user-expression を指定します。user-expression は AllowGroup で使われるものと記述が類似しています。アクセスを許可されたユーザと"そうでない"ユーザをコンマで区切ったものです(プレフィックスとして`!'がユーザ名に付きます)。表記はプール演算"と"リストとして解析され、表記にある全ての要素は割り当てを許可するために、論理的に真であることを評価しなければなりません。

See also: DenyUser, DenyGroup, AllowGroup

AllowOverwrite

Syntax: AllowOverwrite on|off
Default: AllowOverwrite off
Context: server config, <VirtualHost>, <Anonymous>, <Directory>, <Global>, .ftpaccess
Compatibility: 0.99.0 and later

AllowOverwrite directive は既に存在するファイルに上書きするファイル転送を許可します。デフォルトでは、ftp クライアントは上書きできません。

AnonRequirePassword

Syntax: AnonRequirePassword on|off
Default: AnonRequirePassword off
Context: <Anonymous>
Compatibility: 0.99.0 and later

普通、anonymous FTP のログインはクライアントに対して認証を要求しません。つまり、通常行われる、クリアテキストとして送信されたパスワードがhash 化されて、システムに存在するパスワードと一致するということをしません。代わりに、anonymous ログインはパスワードのプロンプトで e-mail アドレスの入力を要求します。AnonRequirePassword directive を可能にすると、anonymous ログインに対しても、anonymous デーモンが走っているユーザのパスワードと一致する、正当なパスワードの入力を要求します。これは、"guest" アカウントを作るときに使われます。普通の anonymous ログインのように機能しますが(従って、クライアントからは "chrooted" のファイルシステムは保護されます)、サーバのホストシステムに存在する正当なパスワードを要求します。

"guest" アカウントの設定例:

<Anonymous ~roger>
User roger
Group other
UserAlias proftpd roger
AnonRequirePassword on
# Deny write operations to all directories, underneath root-dir
# Default is to allow, so we don't need a <Limit> for read operations.
<Directory *>
<Limit WRITE>
DenyAll
</Limit>
</Directory>
# Deny all read/write operations in incoming. Because these are command-group
# limits, we can explicitly permit certain operations which will take precedance
# over our group limit.
<Directory incoming>
<Limit READ WRITE>
DenyAll
</Limit>
# The only command allowed in incoming is STOR (transfer file from client to server)
<Limit STOR>
AllowAll
</Limit>
</Directory>
</Anonymous>

AllowRetrieveRestart

Syntax: AllowRetrieveRestart on|off
Default: AllowRetrieveRestart on
Context: server config, <VirtualHost>, <Anonymous>, <Directory>, <Global>, .ftpaccess
Compatibility: 0.99.0 and later

AllowRetrieveRestart directive は FTP REST コマンドによって、ファイル転送の読み出しの"再開"をクライアントに許可、あるいは拒否します。デフォルトでは可能になっていて、既に保存されたデータを失うことなしに、クライアントは中断されたファイル転送を再開します。

AllowStoreRestart

Syntax: AllowStoreRestart on|off
Default: AllowStoreRestart off
Context: server config, <VirtualHost>, <Anonymous>, <Directory>, <Global>, .ftpaccess
Compatibility: 0.99.0 and later

AllowStoreRestart directive は、保存ファイルの転送(クライアントからサーバに送られたもの)の"再開をすること"をクライアントに許可、あるいは拒否します。デフォルトでは(REST コマンドによって)再開は、サーバにファイルが送信されると許可されません。 再開される anonymous ftp の "incoming" の転送は不許可にするべきです。そうしないと、クライアントのせいで、先に保存されたファイル(クライアント所有でなくても)が壊れたり、サイズが大きくなったりするでしょう

<Anonymous>

Syntax: <Anonymous root-directory>
Default: None
Context: server config,<VirtualHost>
Compatibility: 0.99.0 and later

Anonymous 設定は anonymous FTP を作成するために使われるもので、</Anonymous> directive と組み合わせることによって終了します。root ディレクトリのパラメータはデーモンが最初に移動するディレクトリを指定して、ログインの後直ちにそこへ chroot します。一度 chroot 操作が成功すると、高次のディレクトリは走っている子のデーモンにアクセスできません(このようにユーザにログインします)。デフォルトで proftpd は、リモートクライアントが現在走っているユーザとしてログインを試そうとすると、anonymous ログインであると仮定します; カレントのユーザが root で、anonymous ログインが <Anonymous> の記述に存在するにも関わらず許可されない場合。カレントのユーザとは異なるユーザのログインは、anonymous になります。User と Group directive を見てください。さらに、User か Group directive が <Anonymous> の記述にあれば、デーモンは常に chroot() する前に、指定された uid/gid に切り替わります。

普通、anonymous ログインはパスワードによる認証を要求されませんが、通常のパスワード(ログされる)に代わって正しい e-mail アドレスの入力を求められます。もしこれが与えられた <Anonymous> 設定で望ましくないなら、AnonRequirePassword directive で無効にすることができます。

注: Chroot() した anonymous ディレクトリはそこに追加のシステムファイルを必要とせず、なにか特別なディレクトリ構造も必要としません。これは、proftpd が chroot する前に、可能な限りのシステム情報を獲得するように作られているからです。そして、通常の操作に必要とされるファイルを開きっぱなしにして、新しい root ディレクトリの外に常駐させます。

典型的な anonymous FTP 設定の例:

<Anonymous /home/ftp>
User ftp # After anonymous login, daemon runs as user ftp.
Group ftp # After anonymous login, daemon runs as group ftp.
UserAlias anonymous ftp # Client login as 'anonymous' is aliased to 'ftp'.
# Deny write operations to all directories, underneath root-dir
# Default is to allow, so we don't need a <Limit> for read operations.
<Directory *>
<Limit WRITE>
DenyAll
</Limit>
</Directory>
<Directory incoming>
<Limit READ WRITE>
DenyAll
</Limit>
<Limit STOR>
AllowAll
</Limit>
</Directory>
</Anonymous>

AnonymousGroup

Syntax: AnonymousGroup group-expression
Default: None
Context: server config, <VirtualHost>, <Global>
Compatibility: 1.1.3 and later

AnonymousGroup directive は anonymous ログインを考慮した、すべての一致するユーザに対して group-expression を指定します。group-expression の引数は、ユーザがメンバーでなければならないグループ(あるいはグループ名に`!'のプレフィックスが付いている場合には、非メンバー)の boolean logically ANDed リストです。group-expressions の情報については DefaultRoot directive を見てください。

もし認証ユーザが AnonymousGroup directive と一致して、要求される正当なパスワードを持っていなければ、特殊な動的 anonymous 設定が作られて、デフォルトの root ディレクトリとして、ユーザのホームディレクトリを使います。もし DefaultRoot directive もユーザに適用されると、このディレクトリがユーザのホームディレクトリの代わりに使われます。

AnonymousGroup を使うときには、十分な注意が必要です。不適切な設定は、全世界に対してユーザのホームディレクトリをフルの read/write アクセスを解放することになります。

AuthAliasOnly

Syntax: AuthAliasOnly on|off
Default: AuthAliasOnly off
Context: server config, <VirtualHost>, <Anonymous>, <Global>
Compatibility: 1.1.3 and later

AuthAliasOnly は "aliase" されたログインに対する認証だけを制限します。すなわち、そのユーザ名は UserAlias directive によって真の userid に"マップされた"クライアントによって与えられます。AuthAliasOnly が特にコンテクストで `on' になっていると、proftpd はコンテクスト全体に対する non-aliase のログインを全て無視します。もし AuthAliasOnly が `on' になっている有効なコンテクストがないと、proftpd はクライアントのログインを拒否して、syslog に適当なメッセージを書きます。

AuthGroupFile

Syntax: AuthGroupFile path
Default: None
Context: server config, <VirtualHost>, <Global>
Compatibility: 1.0.3/1.1.1 and later

AuthGroupFile はシステムの /etc/group ファイルと同じフォーマットを持つ、代理の groups ファイルを指定します。もし指定されていれば、認証と、グループの directory/access コントロール操作の照合をしている間に使われます。path の引数は指定したファイルに対するフルパスです。AuthGroupFile は VirtualHost ベースで設定できるので、virtual FTP サーバはそれぞれ自身の認証データベースを持っています(大抵、AuthUserFile と共に使われます)。

このファイルは Anonymous や DefaultRoot ログインによる chroot() ディレクトリに置く必要はありません。クライアントの接続の間に開かれる恐れがあるからです。

AuthUserFile

Syntax: AuthUserFile path
Default: None
Context: server config,<VirtualHost>, <Global>
Compatibility: 1.0.3/1.1.1 and later

AuthUserFile はシステムの /etc/passwd ファイルと同じフォーマットを持つ、代理の passwd ファイルを指定します。もし指定されていれば、認証とユーザの directory/access コントロール操作の照合の間に使われます。path 引数は指定されたファイルに対するフルパスです。AuthUserFile は VirtualHost ベースで設定できるので、virtual FTP サーバはそれぞれ自身の認証データベースを持っています(大抵、AuthUserFile と共に使われます)。

このファイルは Anonymous や DefaultRoot ログインによる chroot() ディレクトリに置く必要はありません。クライアントの接続の間に開かれる恐れがあるからです。

Bind

Syntax: Bind address
Default: None
Context: server config, <VirtualHost>
Compatibility: 1.1.6 and later

Bind directive はメインか、VirtualHost の設定で向かう追加の IP アドレスを許可します。様々な Bind directive がアドレスにバインドするように使われます。address 引数は FQDN か IP アドレスのどちらかです。Bind によって追加されたアドレスに向かう Incoming の接続は、directive を含むコンテクストによって提供されます。さらに、SocketBindTight が on になっていれば、特定の聞きに行く接続がそれぞれの追加アドレスのために作られます。

DefaultRoot

Syntax: DefaultRoot directory [group-expression]
Default: DefaultRoot /
Context: server config, <VirtualHost>, <Global>
Compatibility: 0.99.0pl7 and later

DefaultRoot directive は ユーザがログインしたときのデフォルト root ディレクトリを設定します。もし DefaultRoot が"/"以外のディレクトリに設定されていれば、chroot がクライアント認証の後直ちに行われます。これは、ホストのシステムファイル領域からクライアントを隔離するために使われます。指定された root ディレクトリは、/ で始まるものでなければなりません。または、クライアントがホームディレクトリに chroot して閉じ込められていることを示す '~' を使うことができます。もし、DefaultRoot directive がユーザのホームディレクトリにログインするアクセスを拒否するディレクトリを指定すると、ログイン後のユーザのカレントディレクトリは、通常のホームディレクトリの代わりに DefaultRoot になります。DefaultRoot は <Anonymous> 設定の記述では使われませんが、それは <Anonymous> directive が Anonymous ログインに使われる root ディレクトリを含んでいるからです。

'~' はログイン後、認証したユーザのホームディレクトリに置き換わります。デフォルト root は "~/anon-ftp" のように、ホームディレクトリのサブディレクトリになるかもしれないことに注意してください。

オプションの group-expression 引数は unix group、groups や groups のサブネットに対して DefaultRoot directive を制限するために使われます。expression のフォーマットは: [!]group-name1[,[!]group-name2[,...]] です。expression は論理 boolean AND で解析されます。expression のそれぞれの member は、DefaultRoot directive が割り当てるために、論理的に TRUE でなければなりません。'!'は group membership を打ち消すために使われます。

DefaultRoot を使うときには注意が必要です。chroot の"拘束" は一般的なシステムセキュリティを実行する方法として使うべきではありません。ユーザが拘束を "抜け出す" 可能性があるからです。

DefaultRoot の設定例:

ServerName "A test ProFTPD Server"
ServerType inetd
User ftp
Group ftp
#
# This causes proftpd to perform a chroot into the authenticating user's directory immediately after login.
# Once this happens, the user is unable to "see" higher level directories.
# Because a group-expression is included, only users who are a member of
# the group 'users' and NOT a member of 'staff' will have their default
# root directory set to '~'.
DefaultRoot ~ users,!staff
...

DefaultServer

Syntax: DefaultServer on|off
Default: DefaultServer off
Context: server config,<VirtualHost>
Compatibility: 0.99.0pl6 and later

DefaultServer directive は、incoming の接続がホストのプライマリ IP アドレスや、<VirtualHost> 設定の記述で指定されたアドレスの一つのどちらにも向いていない場合、サーバの設定がデフォルトで使われるようにコントロールします。普通、そのような "unknown" の接続は "no server available to service your request" というメッセージが出て、切断されます。DefaultServer がプライマリサーバの設定か、virtual サーバに対して on になっていると、全ての unknown な行き先の接続はデフォルトサーバによって受け取られます。単一サーバの設定はデフォルトに設定されます。

DeferWelcome

Syntax: DeferWelcome on|off
Default: DeferWelcome off
Context: server config, <VirtualHost>, <Global>
Compatibility: 0.99.0 and later

クライアントが認証を終了するまでに、DeferWelcome directive は、ServerName とアドレスを新しい接続に対して転送するのえを遅らせるために、マスターかvirtual server を設定します。もし可能なら、welcome メッセージは普通のものになり、デーモンがアクティブに走っているホストについての情報は何も与えません。これは、信用のない networks/host から可能になる "probing" の量を制限する、セキュリティ意識のある管理者によって使われます。

Deny

Syntax: Deny ["from"] "all"|"none"|host|network[,host|network[,...]]
Default: None
Context: <Limit>
Compatibility: 0.99.0pl6 and later

Deny directive は <Limit> のコンテクストを与えられたアクセスを拒否するホストやネットワークのリストを作成するために使われます。all と none は、それぞれ、全てのホストがアクセスを拒否されるか、拒否されるホストがないことを示すために使われます。Deny のシンタックスと慣用法についての情報はここを見てください: Allow、Order

DenyAll

Syntax: DenyAll
Default: None
Context: <Directory>, <Anonymous>, <Limit>, .ftpaccess
Compatibility: 0.99.0 and later

DenyAll directive は "order deny,allow <cr> deny from all" の組み合わせに似ています。ただし、構文解析のときに高次の前例がある場合を除きます。anonymous ftp や limit block で、ディレクトリへのアクセスを完全に拒否する方法として便利です。上位に付いているので、普通の Order/Deny directive と混合してはいけません。DenyAll directive は AllowAll を使うことにより、低次のディレクトリで無効になります。DenyAll と AllowAll は相互排他です。

DenyGroup

Syntax: DenyGroup group-expression
Default: None
Context: <Limit>
Compatibility: 1.1.1 and later

DenyGroup は、割り当てられている <Limit> のコンテクストで特別に拒否されている group-expression を指定します。group-expression は DefaultRoot で使われるものと同じフォーマットを持っています。それ故、アクセスを拒否される、コンマで区切られた、グループや、グループ"ではない"(グループ名の前に`!'が付いているもの)リストを含んでいます。expression は、boolean "と" リストとして解析され、expression の全ての要素は拒否を割り当てるために、論理的に真でなければなりません。

See Also: AllowGroup, AllowUser, DenyUser

DenyUser

Syntax: DenyUser user-expression
Default: None
Context: <Limit>
Compatibility: 1.1.7 and later

DenyUser は、割り当てられた <Limit> のコンテクストで明確に拒否される user-expression を指定します。user-expression はコンマで区切られた、ユーザや、ユーザ"ではない"(ユーザ名の前に`!'が付いているもの)リストです。expression は boolean "と" リストとして解析されます。expression の全ての要素は拒否を割り当てるために、論理的に真でなければなりません。

参照: AllowUser, DenyGroup, AllowGroup

<Directory>

Syntax: <Directory pathname>
Default: None
Context: server config, <VirtualHost>, <Anonymous>, <Global>
Compatibility: 0.99.0 and later

この directive は、指定されたディレクトリと、そのサブディレクトリにだけ割り当てられる設定の directive です。記述は </Directory> で終わります。ディレクトリ毎の設定は "最も近似の" 一致をするアルゴリズムについては、run-time の間に可能になります。これは該当するファイルやディレクトリの実際のパス名と近似一致する <Directory> directive を意味します。ディレクトリ毎の設定は、近似一致する<Directory>に遭遇するまで、全てのサブディレクトリによって引き継がれます。これはオリジナルのディレクトリ毎の設定が近似一致と置き換わる時点です。これは <Limit> が近似一致に到達するまで、全てのサブディレクトリによって引き継がれる<Limit> </Limit>に対しては、割り当てられないことに注意してください。

Example:
<Directory /users/robroy/private>
HideNoAccess
</Directory>

後続のスラッシュとワイルドカード("/*")はディレクトリに付加され、実際のディレクトリ自身に対してではなく、コンテンツ(とそのサブディレクトリ)に対してだけ設定を割り当てるように指定します。ワイルドカードの一致はワイルドカードのない<Directory>設定より優先します。<Directory> の記述はネスト化されません(パス名を基にして run-time に自動的にネスト化されます)。パス名は常に絶対パスでなければならず(<Anonymous>内部を除く)、シンボリックリンクをリファレンスしません。<Anonymous> 記述にあるパス名は相対パスで、anonymous の root ディレクトリを基にしています。

[ProFTPD 1.1.3 とそれ以降での注意]
パス名は '~' で始まり、~ の後にはユーザ名を指定しません。そして、defer(保留) モードになります。保留モードでは、ディレクトリのコンテクストはハッシュ化されず、ブート時に設定ツリーに分類されますが、むしろこのハッシュ化は '~' 文字がユーザのホームディレクトリに置き換わる、ユーザ認証まで、保留します。その理由からこれは、全てのユーザほーむディレクトリやサブディレクトリに割り当てる <Directory> 全体を許可します。

Example:
<Directory ~/anon-ftp>
<Limit WRITE>
DenyAll
</Limit READ>
</Directory>

DirFakeGroup

Syntax: DirFakeGroup On|Off [groupname]
Default: DirFakeGroup Off
Context: server config, <VirtualHost>, <Anonymous>, <Global>
Compatibility: 1.1.5

DirFakeGroup とその対になる directive である、DirFakeUser はディレクトリリストにあるファイルの真のグループと所有者ユーザを隠すために使われます。もし単純に On になっていれば、DirFakeGroup は 'ftp' グループの全てのファイルを表示します。DirFakeGroup と DirFakeUserの両方は、完全に表面的なものです; 指定されたグループ名とユーザ名がシステム上に存在する必要はなく、どんな方法であれ、directive はパーミッションや所有権、アクセス制御に影響しません。

DirFakeMode

Syntax: DirFakeMode octal-mode
Default: None
Context: server config, <VirtualHost>, <Anonymous>, <Global>
Compatibility: 1.1.6

DirFakeMode directive はディレクトリの表示にある全てのファイルとディレクトリを表示するモード(あるいはパーミッション)を設定します。もし"read"パーミッションがこの directive によって指定されていれば、パーミッションの各部分(user, group, other)には、ディレクトリに対する"execute"パーミッションが追加されます。例えば:

DirFakeMode 0640

Will result in:

-rw-r----- ... arbitrary.file
drwxr-x--- ... arbitrary.directory

DirFakeUser、DirFakeGroup と同様に、"fake" パーミッションは単なる表面的なもので、実際のパーミッションやアクセス制御にはなんら影響がありません。

DirFakeUser

Syntax: DirFakeUser On|Off [username]
Default: DirFakeUser Off
Context: server config, <VirtualHost>, <Anonymous>, <Global>
Compatibility: 1.1.5

DirFakeGroup を見てください

DisplayFirstChdir

Syntax: DisplayFirstChdir filename
Default: None
Context: server config, <VirtualHost>, <Anonymous>, <Directory>, <Global>
Compatibility: 0.99.0 and later, magic cookies only in 0.99.0pl10 and later

DisplayFirstChdir directive は、初めて与えられたセッション毎(CWD 経由)のディレクトリに移動したユーザに表示させる ascii テキストのファイル名を設定します。もし proftpd がディレクトリで、前の CWD から、その最終変更時間が変わっていることを探知すれば、そのファイルが表示されます。ファイル名が相対パスなら、ユーザが移動した新しいディレクトリで捜します。anonymous ftp にログインの場合(<Anonymous> を参照)、ファイルが chroot() のファイルシステム空間内部に存在しなければなりません。 もしファイルが見つからなかったり、アクセスできないと、エラーは生じず、ログもされず、クライアントに表示もされません。

DisplayFirstChdir と DisplayLogin は、以下の"magic cookies"をサポートしています(0.99.0pl10 とそれ以降)。ユーザに対して表示する前にそれぞれの文字列に置き換わります。

DisplayLogin

Syntax: DisplayLogin filename
Default: None
Context: server config, <VirtualHost>, <Anonymous>, <Global>
Compatibility: 0.99.0 and later

DisplayLogin directive は、ユーザの最初のログインで表示される ascii のテキストファイル名を設定します。ファイル名は相対パスか、または絶対パスです。相対パスの場合、ファイルはユーザのログイン直後のディレクトリで検索されます(unix ユーザログインの場合はホームディレクトリ、anonymous ログインの場合は anonymous-root ディレクトリ)。anonymous ログインの場合、ファイルは chroot() のファイルシステム空間内部に存在しなければなりません。ファイルが見つからないか、アクセスできないと、エラーは生じず、ログもされず、クライアントに表示もされません。

DisplayLogin は DisplayFirstChdir のように、同じ "magic cookies" をサポートします。

ExtendedLog

Syntax: filename [[command-classes] format-nickname]
Default: None
Context: server config, <VirtualHost>, <Anonymous> <Global>
Compatibility: 1.1.6pl1 and later

ExtendedLog directive は全体的か、または、VirtualHost 毎のログファイルのカスタマイズを可能にします。filename の引数には、proftpd 起動時にアペンドされるログファイルに対する絶対パス名が書かれていなければなりません。様々なログファイル(異なるコマンドクラスとフォーマットの可能性のある)が作られます。

任意で、command-classes の引数はコマンドタイプのログをコントロールすることができます。もしコマンドクラスが指定されていなければ、proftpd はデフォルトで全てのコマンドをログします。command-classes はコンマで区切られた(空白があってはいけません！)、ログするコマンドのリストです。以下が有効なクラスです:

• NONE
  No commands
• AUTH
  Authentication commands (USER, PASS)
• INFO
  Informational commands (PWD, SYST, etc)
• DIRS
  Directory commands (LIST, CWD, MKD, etc)
• READ
  File reading (RETR)
• WRITE
  File/directory writing or creation
• MISC
  Miscellaneous commands (SITE, etc)
• ALL
  All commands (default)

もし format-nickname 引数が割り当てられると、ExtendedLog はあらかじめ定義されたログフォーマットを使います(LogFormat によって作られます)。そうでなければ、"%h %l %u %t \"%r\" %s %b" のデフォルトのフォーマットが使われます。

例えば、/var/log/ftp.log (デフォルトフォーマットを使用) に対する全ての読み書きをログするためには:

ExtendedLog /var/log/ftp.log read,write

参照: LogFormat, TransferLog

<Global>

Syntax: <Global>
Default: None
Context: server config, <VirtualHost>
Compatibility: 1.1.6 and later

Global 設定は、メインサーバの設定と、全ての VirtualHost の設定に広く適用される設定 directive のセットです。Global の記述では、他の directive はまったく使われません。

さらに、様々な <Global> の記述が作られます。runtime では、Global の記述は最終的にそれぞれのサーバ設定に一緒にマージされます。Global の記述は </Global> directive で終了します。

Group

Syntax: Group groupid
Default: None
Context: server config, <VirtualHost>, <Anonymous>, <Global>
Compatibility: 0.99.0 and later

Group directive はサーバのデーモンが普通に走るグループを設定します。詳しくは、User を見てください。

GroupOwner

Syntax: GroupOwner groupid
Default: None
Context: <Anonymous>, <Directory>, .ftpaccess
Compatibility: 0.99.0 and later

GroupOwner directive は、GroupOwner が割り当てられているコンテクスト内部で、新しく作られる全てのディレクトリやファイルを所有するグループを設定します。GroupOwner はホスト OS/file システムのパラダイムを無効にはしないことに注意してください。もし現在のユーザが指定されたグループのメンバーでなければ、新しいファイルとディレクトリは GroupOwner グループには chown() されません。もしこうなると、ファイル STOR (クライアントからサーバへのファイル転送) と MKD (mkdir) 操作は普通にうまくいきますが、新しいディレクトリのエントリは、望んだグループの代わりにカレントユーザのデフォルトグループの所有になります(warning のメッセージがログされます)。

GroupPassword

Syntax: GroupPassword groupid hashed-password
Default: None
Context: server config, <VirtualHost>, <Anonymous>, <Global>
Compatibility: 0.99.0pl5 and later

GroupPassword directive は、単一のパスワードを使って認証するように指定されたグループの全てのユーザの特別な "group" を作ります。group/password は、GroupPassword が割り得てられるコンテクスト内部でだけ有効です。hashed-password 引数は、標準の unix crypt() ライブラリを使った、クリアテキストのパスワードです。もしグループのメンバーシップが注意深く扱われない場合には、セキュリティ上深刻な問題になるので、GroupPassword の使用には大きな注意が必要です。

参照: UserPassword

HideGroup

Syntax: HideGroup groupid
Default: None
Context: <Directory>, <Anonymous>
Compatibility: 0.99.0 and later

HideGroup directive は、グループが、認証されたユーザのカレントログインのプライマリグループでない限り、指定されたグループの所有するグループエントリを全て隠す、<Directory> か <Anonymous> の記述を設定します。普通、隠されたディレクトリとファイルは LIST や NLST コマンドでは見えず、他の FTP コマンドによって操作されます(CWD, DELE, RETR, 等)。これは、IgnoreHidden directive によって変更されます。

参照: HideUser, HideNoAccess, IgnoreHidden

HideNoAccess

Syntax: HideNoAccess
Default: None
Context: <Directory>,<Anonymous>
Compatibility: 0.99.0 and later

HideNoAccess directive は、認証されたユーザがアクセス権を持っていない、カレントログインでのディレクトリ表示にあるディレクトリのエントリを全て隠す、<Directory> か <Anonymous> の記述を設定します。通常の Unix-style のパーミッションが常に適用されるので、ユーザが HideNoAccess の割り当てられたディレクトリのエントリを見ることができなくても、やみくもにファイルシステムのオブジェクトを操作しようとすると、"Permission denied" のエラーメッセージを受け取ることになります。ディレクトリやファイルは、HideNoAccess と共に IgnoreHidden を割り当てることにより、全ての FTP コマンドで完全に見えなくなります。

参照: HideUser, HideGroup, IgnoreHidden

HideUser

Syntax: HideUser userid
Default: None
Context: <Directory>, <Anonymous>
Compatibility: 0.99.0 and later

HideUser directive は、所有ユーザが、カレントでログインしている認証されたユーザでない限り、指定されたユーザの所有するディレクトリのエントリを全て隠す、<Directory> か <Anonymous> の記述を設定します。通常、隠されたファイルとディレクトリは LIST や NLST のコマンドでは見れませんが、他の FTP コマンド(CWD, DELE, RETR, 等)で操作することは可能です。これは、IgnoreHidden directive によって変更されます。

参照: HideGroup, HideNoAccess, IgnoreHidden

IdentLookups

Syntax: IdentLookups on|off
Default: IdentLookups on
Context: server config, <VirtualHost>, <Global>
Compatibility: 1.1.5 and later

普通、クライアントが proftpd に接続すると、リモートユーザ名を確認するために ident プロトコル(RFC1413)が使われます。これは IdentLookups directive によるコントロールを可能にします。

IgnoreHidden

Syntax: IgnoreHidden on|off
Default: IgnoreHidden off
Context: <Limit>
Compatibility: 0.99.0 and later

通常、HideNoAccess や HideUser、HideGroup に隠されたファイルは、たとえディレクトリ表示に表れなくても、FTP コマンドによる操作が可能です(Unix ファイルのパーミッションがアクセスを許可しているものとします)。さらに、ファイルシステムのパーミッションがアクセスを拒否している場合でも、proftpd はクライアントに "Permission denied" のエラーを返します。これは、もし実際には動かなくても、要求されたオブジェクトが存在することを意味します。 IgnoreHidden は制限された FTP コマンドのセットのために、隠されたディレクトリのエントリを完全に無視する <Limit> を設定します。これは、クライアントが隠されたファイルやディレクトリに対して制限されたコマンドを使おうとしたときに、"No such file or directory" のようなエラーを返します。

<Limit>

Syntax: <Limit command|command-group [command2 ..]>
Default: None
Context: server config, <VirtualHost>, <Directory>, <Anonymous>, <Global>, .ftpaccess
Compatibility: 0.99.0 and later

Limit 設定は与えられたコンテクスト内部で、一つかそれ以上の FTP コマンドにアクセス制限をかけるために使います。Limits は下向きに流れるので、サーバ設定のコンテクストにある Limit の設定は、設定に存在する <Directory> と <Anonymous> の記述に割り当てられます; "lower" <Limit> の記述によって無効にされるまで。いくらでも command パラメータが、<Limit> のコンテクストの割り当てに対して、指定されます。command は有効な FTP コマンドですが、普通は以下のうちの一つです:

• CWD (Change Working Directory)
  ディレクトリを移動したときに、クライアントによって送信されます。このコマンドにある制限もまた、CDUP コマンドに割り当てることに注意してください(Change Directory UP)。
• MKD (MaKe Directory)
  新しいディレクトリを作るために、クライアントによって送信されます。
• RNFR (ReName FRom), RNTO (ReName TO)
  ディレクトリのエントリの名前を変更するために、クライアントによってペアで送信されます。
• DELE (DELEte)
  ファイルを削除するために、クライアントによって送信されます。
• RMD (ReMove Directory)
  ディレクトリを移動するために、クライアントによって送信されます。
• RETR (RETRieve)
  サーバからクライアントにファイルを転送します。
• STOR (STORe)
  クライアントからサーバにファイルを転送します。

その他に、以下の command-groups が認められています。本当のコマンドりも優先度が低く、本当のコマンドの制限は常に command-group の代わりに割り当てられることを意味します。

• READ
  ファイルの読み出しを処理する全ての FTP コマンド (ディレクトリ表示は含みません)。すなわち RETR, STAT, 等。
• WRITE
  ファイルやディレクトリの write/creation/deletion (MKD と RMD を含む) を処理する全ての FTP コマンド。
• DIRS
  ディレクトリ表示を処理する全ての FTP コマンド。すなわち LIST と NLST。
• ALL
  全ての FTP コマンド (READ WRITE DIRS と同一)。

最終的に、特別なコマンドはログインのアクセスをコントロールするために使われます:

• LOGIN
  サーバへの接続やログインです。この仮のコマンドに対する <Limit> の割り当ては、コンテクストへの最初の接続とログインを許可、または拒否します。サーバ設定の <VirtualHost> や <Anonymous> とは異なるコンテクストで使われると、影響はありませんし、無視われます(すなわち、<Directory> のコンテクストで使うのは意味がありません)。

<Limit> コマンドの制限は file/directory アクセスのパーミッションと混同してはいけません。limits は特定のディレクトリでのコマンドを制限するために使われますが、生来の operating/file システムのファイルのパーミッションを無効にはしません。

参照: IgnoreHidden

LogFormat

Syntax: LogFormat nickname "format-string"
Default: LogFormat default "%h %l %u %t \"%r\" %s %b"
Context: server config
Compatibility: 1.1.6pl1 and later

LogFormat directive は ExtendedLog を使ってカスタムのログフォーマットの作成を可能にします。一度作成されると、そのフォーマットが、指定された nickname によってリファレンスされます。

format-string の引数は、大文字、数字、記号の組み合わせになります。特に % は、メタシーケンスを開始するために使われます(以下参照)。文字として % を挿入したいなら、%% を使います。以下のメタシーケンスが有効で、ログのときに、指示されたものに置き換えます。

WtmpLog

Syntax: WtmpLog on|off|NONE
Default: WtmpLog on
Context: server config, <VirtualHost>, <Anonymous>, <Global>
Compatibility: 1.1.7 and later

WtmpLog directive は、ホストのシステム wtmp ファイル(`last' のようなコマンドによって使われる)の proftpd ログを制御します。デフォルトでは、全ての接続が wtmp 経由でログされます。