FTP no EMC Celerra Network Server

Transcrição

1 FTP no EMC Celerra Network Server Nº da peça Rev A03 Dezembro de 2008 Índice Introdção Reqisitos do sistema Restrições Alertas de cidado Opções da interface do sário Terminologia Informações relacionadas Conceitos FTP FTP para acesso do sário a arqivos O daemon do FTP Contas de sários FTP anônimo Diretórios base e o diretório de trabalho padrão Permissões de acesso a arqivos Internacionalização Failover de Data Mover Conexão FTP segra Métodos de atenticação Configrando Pré-reqisito Configrar FTP anônimo Restringir sário à árvore de se diretório base Negar acesso por FTPS a sários específicos Criar m banner de log-on Criar ma tela de boas-vindas Configrar o intervalo de tempo limite por inatividade Configrar o intervalo máximo de tempo limite Configrar ma porta de dados Alterar o mask padrão Configrar ma conexão de controle SSL Configrar ma conexão de dados SSL Configrar ma persona SSL Configrar ma conexão de protocolo SSL Pós-reqisito de 40

2 Gerenciando Pré-reqisito Alterar o diretório de trabalho padrão Determinar se o FTPS está sendo exectado em m Data Mover Especificar ma porta de controle SSL Especificar ma porta de dados SSL Alterar o conjnto de codificações padrão do SSL Pós-reqisito Solção de problemas do FTP Onde obter ajda EMC E-Lab Interoperability Navigator Problemas e limitações conhecidos Problemas de rede Índice remissivo de 40

3 Introdção O FTP é m protocolo de cliente/servidor qe opera via TCP/IP e permite o pload e o download de arqivos entre sistemas heterogêneos. O FTP incli fnções para fazer log-in no sistema remoto, listar diretórios e copiar arqivos. Este docmento faz parte da docmentação do EMC Celerra Network Server e destina-se a administradores de sistema responsáveis pela configração e mantenção da infraestrtra de armazenamento de arqivos e recperação de rede. Reqisitos do sistema A Tabela 1 na página 3 descreve as configrações de software, hardware, rede e armazenamento do Celerra Network Server. Tabela 1 Reqisitos do sistema Software Hardware Rede Armazenamento O Celerra Network Server versão é necessário para sar a atenticação CIFS para sários qe façam log-in com domain\sername o sername@domain. Não há reqisitos específicos de hardware. Para permitir acesso por FTP a clientes qe não estejam na mesma sbrede local qe m Data Mover, é necessário especificar ma rota padrão e m gateway no Data Mover. Não há reqisitos específicos de armazenamento. Restrições O cliente de verificação de vírs CAVA, em m Data Mover, não verifica os arqivos transferidos via FTP. O docmento Usando o EMC Celerra AntiVirs Agent oferece mais informações sobre a verificação de vírs em se sistema Celerra. Apenas arqivos acessados por CIFS são verificados em bsca de vírs. Arqivos acessados através de FTP o NFS não são verificados. O serviço CIFS deve ser iniciado em m Data Mover para permitir a atenticação por CIFS de sários de FTP no Windows. Se m sário Windows tentar fazer log-in sando m nome de domínio e m nome de sário Windows e o serviço CIFS não estiver ativo no Data Mover, haverá falha no log-in. O FTP não dá sporte à notificação CIFS. Alertas de cidado Se algma dessas informações não estiver clara, entre em contato com o Representante de Atendimento ao Cliente EMC para obter ajda. 3 de 40

4 !!AVISO A atenticação FTP transmite o nome de sário e a senha pela rede sem sar criptografia. O FTP segro sa segrança SSL para transmitir o nome de sário e a senha pela rede de forma criptografada. Opções da interface do sário Este docmento descreve como configrar o FTP sando a CLI (Command Line Interface, interface de linha de comando). Não é possível sar otros aplicativos de gerenciamento do Celerra para configrar o FTP. Terminologia O EMC Celerra Glossary fornece a lista completa da terminologia do Celerra. CA (Certificate Athority, atoridade de certificação): Entidade terceirizada confiável qe cria o assina digitalmente certificados de chaves públicas. CAVA (Celerra AntiVirs Agent, agente antivírs Celerra): Aplicativo desenvolvido pela EMC qe opera em m servidor Windows e se comnica com m mecanismo antivírs padrão para examinar arqivos CIFS armazenados em m Celerra Network Server. Certificado de atoridade de certificação: Associação assinada digitalmente entre ma identidade (ma atoridade de certificação) e ma chave pública a ser sada pelo host para verificar assinatras digitais em certificados de chave pública. CIFS (Common Internet File System, sistema comm de arqivos da Internet): Protocolo de compartilhamento de arqivos baseado em SMB (Server Message Block, bloco de mensagens de servidor) da Microsoft. Permite qe os sários compartilhem sistemas de arqivos pela Internet e por intranets. diretório base: Diretório especial, reservado para m sário específico, qe contém arqivos e programas para o sário. Em m ambiente Microsoft Windows, o diretório base é freqentemente especificado no perfil de m sário, de forma qe, mediante log-in, o diretório base é atomaticamente atribído a m drive de rede. FTP (File Transfer Protocol, protocolo de transferência de arqivos): Protocolo de alto nível para a transferência de arqivos de ma máqina para otra. Implementado como m programa em nível de aplicativo baseado no modelo OSI, o FTP sa o protocolo TCP. NFS (Network File System, sistema de arqivos de rede): Sistema de arqivos distribído qe fornece acesso transparente a sistemas de arqivos remotos. O NFS permite qe todos os sistemas da rede compartilhem ma cópia individal de m diretório. NIS (Network Information Service, serviço de informação de rede): Serviço de pesqisa de dados distribídos qe compartilha informações de sários e sistemas em ma rede, inclindo nomes de sários, senhas, diretórios base, grpos, nomes de hosts, endereços IP e definições de grpos de rede. 4 de 40

5 PKI (Pblic Key Infrastrctre, infraestrtra de chave pública): Meio de gerenciar chaves privadas e os certificados de chaves públicas associados para so em criptografia de chaves públicas. É ma estrtra qe permite a criação de m certificado sado pelo SSL. SSL (Secre Sockets Layer, camada de soqete segro): Protocolo de segrança qe fornece criptografia e atenticação. Ele criptografa dados e fornece atenticação de mensagens e servidores. Também aceita atenticação de clientes, se necessário, pelo servidor. Informações relacionadas Para obter informações específicas com relação aos recrsos e às fncionalidades descritas nesse docmento: Configrando e gerenciando o sistema de rede do EMC Celerra Manal de referência de comandos do EMC Celerra Network Server EMC Celerra Network Server Error Messages Gide EMC Celerra Network Server Parameters Gide Configring and Managing CIFS on EMC Celerra Managing EMC Celerra Volmes and File Systems Manally Gerenciando volmes e sistemas de arqivos do EMC Celerra com gerenciamento atomático de volmes Páginas do manal on-line do Celerra Usando o EMC Celerra AntiVirs Agent Using International Character Sets with EMC Celerra O EMC Celerra Network Server Docmentation CD, fornecido com se Celerra Network Server, também disponível no Powerlink, oferece informações gerais sobre otras pblicações do Celerra. 5 de 40

6 Conceitos O Celerra Network Server oferece sporte ao FTPS (FTP Secre, FTP segro), m protocolo de cliente/servidor qe opera via TCP/IP e permite o pload e o download de arqivos entre sistemas heterogêneos. O FTPS incli fnções para fazer log-in no sistema remoto, listar diretórios e copiar arqivos. É possível exectar operações de FTPS digitando comandos em m prompt o através de m tilitário de FTP exectado em ma interface gráfica, como o Windows. Usários UNIX e Windows podem sar o FTP para acessar sistemas de arqivos em m Celerra Network Server. A atenticação é feita com o arqivo de hosts locais o NIS para sários UNIX e com atenticação CIFS para sários Windows. FTP FTP é m protocolo de cliente/servidor qe permite a transferência de arqivos entre sistemas heterogêneos. O daemon do FTP atende às solicitações dos clientes. FTP para acesso do sário a arqivos Antes de sar o FTP, é necessário habilitar o acesso por FTP a m sistema de arqivos. Qalqer sistema de arqivos montado em m Data Mover está disponível para acesso por FTP, contanto qe o daemon do FTP, o ftpd, esteja em execção no Data Mover. O sistema de arqivos não precisa ser exportado o compartilhado para habilitar o acesso. Em ma configração padrão de Data Mover, o ftpd é iniciado atomaticamente. Os docmentos Gerenciando volmes e sistemas de arqivos do EMC Celerra com gerenciamento atomático de volmes e Managing EMC Celerra Volmes and File Systems Manally contêm informações sobre como criar m sistema de arqivos e montá-lo em m Data Mover. Depois de fazer log-in, o sário é encaminhado para m diretório de trabalho. A seção "Diretórios base e o diretório de trabalho padrão" na página 7 enmera as diversas considerações sobre o diretório de trabalho. Por padrão, se ma sessão de FTP permanecer inativa por 15 mintos (900 segndos), ela será fechada pelo Data Mover. Para desabilitar o acesso por FTP a determinado sistema de arqivos, desmonte o sistema de arqivos. O daemon do FTP O daemon do FTP, o ftpd, é exectado no Data Mover e atende às solicitações de FTP dos clientes. O daemon do FTP é exectado atomaticamente qando o Data Mover é iniciado pela primeira vez. Mais tarde, o stats do daemon do FTP dependerá dos últimos parâmetros do comando server_ftp. O Manal de referência de comandos do EMC Celerra Network Server relaciona as opções para gerenciar a configração do servidor FTP. O daemon do FTP é configrado pelo comando server_ftp. Qalqer alteração na configração do FTP entra em vigor qando o daemon é reiniciado. Não é necessário reinicializar o Data Mover. 6 de 40

7 Contas de sários Na solicitação de log-in do FTP, o sário pode selecionar m nome de sário UNIX o m nome de sário e m nome de domínio Windows (no formato domain\sername o sername@domain). Se o sário fizer log-in sem m nome de domínio, a atenticação do UNIX será sada. FTP anônimo Um sistema compatível com FTP anônimo permite qe os sários sem ma conta no sistema acessem os arqivos. O recrso FTP anônimo permite qe m sário faça log-in com o nome anonymos o ftp. O sistema solicita ma senha, e o sário deve responder com algm tipo de identificação, em geral m nome de sário o endereço de . Para permitir o FTP anônimo em m Data Mover, o administrador deve configrar m sário com o nome ftp em /.etc/passwd o no NIS. Os atribtos qe m sário chamado ftp deve ter são: Qalqer UID e GID, à exceção de -2 o dos reservados ao root (0 e 1) Um diretório base configrado e disponível no Data Mover A senha removida o desabilitada Em m sistema Celerra, o diretório de trabalho de m sário anônimo de FTP é o diretório base do sário ftp. Se o sário ftp não tiver m diretório base e tiver acesso ao sistema de arqivo raiz, este (/) será o diretório de trabalho para o FTP anônimo. Se o sário ftp não tiver m diretório base e não tiver acesso ao sistema de arqivo raiz, haverá falha no log-in do FTP. Um sário anônimo pode acessar apenas os diretórios abaixo do diretório de trabalho. Observação: geralmente, m registro de acesso é sado por administradores de sistema para monitorar o so do FTP anônimo no sistema. Não há registro de acesso por FTP em m Data Mover. Diretórios base e o diretório de trabalho padrão Qando m Data Mover aceita o log-in de m sário para ma sessão de FTP, o sário é encaminhado para m diretório de trabalho. O diretório de trabalho do sário depende de diversos fatores: O parâmetro homedir do comando server_ftp foi especificado? O parâmetro defaltdir do comando server_ftp foi listado? O sário é anônimo o é UNIX (NFS) o CIFS? Para sários UNIX, o sário tem m diretório base especificado no NIS o em /etc/passwd? Para sários Windows, o sário tem m diretório base especificado em /.etc/homedir? O diretório base do sário está disponível no Data Mover? 7 de 40

8 O sário tem acesso ao diretório base? Existe algm diretório de trabalho padrão de FTP configrado no Data Mover? Observação: é possível sar a barra normal (/) o a invertida (\) como separador de diretórios. "Restringir sário à árvore de se diretório base" na página 16 restringe os sários a ses diretórios base através do parâmetro homedir no comando server_ftp. "Alterar o diretório de trabalho padrão" na página 29 especifica o diretório de trabalho qando o parâmetro defaltdir é especificado no comando server_ftp. A Tabela 2 na página 8 resme o comportamento do FTP nos otros casos. Tabela 2 Diretório de trabalho do FTP (página 1 de 2) Tipo de sário Diretório base montado no Data Mover e o acesso é concedido Diretório base não montado no Data Mover o o acesso não é concedido Nenhm diretório base especificado NFS Anônimo O diretório de trabalho do sário é o diretório base conforme especificado no arqivo /.etc/passwd o NIS. Se o diretório base não iniciar com ma barra (/), ela será adicionada pelo sistema. 1 O diretório de trabalho do sário é o diretório base para o sário ftp, conforme especificado no arqivo /.etc/passwd o NIS. Se o diretório base não iniciar com ma barra (/), ela será adicionada pelo sistema. 1 O diretório de trabalho do sário é o diretório raiz no Data Mover (/), se o sário tiver acesso. 2 Se o acesso a / for negado e o parâmetro do sistema ftpd defaltdir estiver definido, o diretório de trabalho do sário será o padrão. Se não existir diretório de trabalho padrão, haverá falha no log-in. O diretório de trabalho do sário é o diretório raiz no Data Mover (/), se o sário tiver acesso. 2 Se o acesso a / for negado e o parâmetro do sistema ftpd defaltdir estiver definido, o diretório de trabalho do sário será o padrão. Se não existir diretório de trabalho padrão, haverá falha no log-in. Falha no log-in. O diretório de trabalho do sário é o diretório raiz no Data Mover (/), se o sário ftp tiver acesso. 2,4 Se o acesso ao diretório raiz for negado ao sário ftp, haverá falha no log-in. 8 de 40

9 Tabela 2 Diretório de trabalho do FTP (página 2 de 2) Tipo de sário Diretório base montado no Data Mover e o acesso é concedido Diretório base não montado no Data Mover o o acesso não é concedido Nenhm diretório base especificado CIFS O diretório de trabalho do sário é o diretório base conforme especificado no arqivo /.etc/homedir. 3 Falha no log-in. Se o parâmetro do sistema ftpd defaltdir estiver definido, o diretório de trabalho do sário será o padrão. Se não existir diretório de trabalho padrão, o diretório de trabalho do sário será o diretório raiz do Data Mover (/), se o sário tiver acesso. 2,4 Se o acesso a / for negado, haverá falha no log-in. 1. Por exemplo, se o diretório base no NIS o em /.etc/passwd for home/ser1, o sistema prefixará ma barra, sando /home/ser1 como o diretório base do sário. 2. Se m sário UNIX não tiver m diretório base especificado (o seja, o diretório base é nlo, ), o sistema prefixará ma barra a, sando a raiz (/) como o diretório de trabalho do sário, contanto qe ele tenha permissão para acessar o diretório. 3. O recrso de diretório base deve estar habilitado na configração do CIFS no Data Mover. O docmento Configring and Managing CIFS on EMC Celerra contém informações sobre como habilitar, desabilitar o configrar os diretórios base dos sários do CIFS. 4. Com a configração padrão, o sário anônimo e os sários do CIFS não têm acesso ao diretório raiz. Para todos os sários, se o diretório base do sário estiver disponível em m Data Mover e o sário fazer log-in sando FTP, este será o diretório de trabalho do FTP. Para sários UNIX o para o sário anônimo do FTP, se o diretório base do sário não iniciar com ma barra (/), ela será adicionada pelo sistema. Conseqentemente, se o diretório base não estiver definido, o sistema sará a raiz. Se o diretório base do sário estiver definido, mas não estiver disponível, o sistema sará o diretório de trabalho como diretório base. Para sários normais UNIX, se o sário não tiver acesso ao diretório raiz, o sistema sará o diretório de trabalho padrão. Se o diretório de trabalho padrão não estiver definido, haverá falha no log-in. Se o sário anônimo não tiver acesso ao diretório raiz, haverá falha no log-in. Para sários do CIFS, se o diretório base do sário não estiver definido, mas o de trabalho padrão estiver, o sistema sará o último. Se o sário não tiver m diretório base e não hover m diretório de trabalho padrão, o sistema sará o diretório raiz. Nesse caso, se o sário não tiver acesso ao diretório raiz, haverá falha no log-in. Se m sário do CIFS tiver m diretório base qe está indisponível, haverá falha no log-in. Permissões de acesso a arqivos Devido ao fato de NFS e CIFS implementarem a verificação de acesso de forma diferente, m sistema Celerra define políticas de verificação de acesso qe controlam como os arqivos são acessados em m ambiente mltiprotocolo, 9 de 40

10 como NFS, FTP o CIFS. Qalqer ma das políticas de verificação de acesso na lista pode ser especificada ao montar m sistema de arqivos: NATIVE (padrão) UNIX NT SECURE MIXED MIXED_COMPAT As políticas de acesso são definidas para cada sistema de arqivos. A Tabela 3 na página 10 resme essas políticas de verificação de acesso para sários do NFS e CIFS. Tabela 3 Políticas de verificação de acesso para sários do CIFS/FTP e NFS/FTP (página 1 de 2) Política de verificação de acesso NATIVE (padrão) UNIX NT SECURE Clientes CIFS/FTP ACL é verificada. ACL e direitos do UNIX são verificados. ACL é verificada. ACL e direitos do UNIX são verificados. Clientes NFS/FTP Direitos do UNIX são verificados. ACL e direitos do UNIX são verificados. MIXED ACL é verificada. Se não hover ACL, ma será criada com base nos bits de modo do UNIX. O acesso também é determinado pela ACL. Os clientes NFSv4 podem gerenciar a ACL. MIXED_COMPAT Uma modificação na ACL reconstrói os bits de modo UNIX, mas os direitos do UNIX não são verificados. Se as permissões de m arqivo o diretório tiverem sido definidas pela última vez o alteradas por m cliente CIFS, a ACL será verificada, e os direitos do UNIX, reconstrídos mas não verificados. Se as permissões de m arqivo o diretório tiverem sido definidas pela última vez o alteradas por m cliente NFS, os direitos do UNIX serão verificados, e a ACL, reconstrída mas não verificada. Os clientes NFSv4 podem gerenciar a ACL. Uma modificação nos bits de modo UNIX reconstrói as permissões da ACL, mas os direitos do UNIX não são verificados. Se as permissões de m arqivo o diretório tiverem sido definidas pela última vez o alteradas por m cliente NFS, os direitos do UNIX serão verificados, e a ACL, reconstrída mas não verificada. Se as permissões de m arqivo o diretório tiverem sido definidas pela última vez o alteradas por m cliente CIFS, a ACL será verificada, e os direitos do UNIX, reconstrídos mas não verificados. Os clientes NFSv4 podem gerenciar a ACL. 10 de 40

11 Tabela 3 Políticas de verificação de acesso para sários do CIFS/FTP e NFS/FTP (página 2 de 2) Política de verificação de acesso Clientes CIFS/FTP Clientes NFS/FTP Observação: qando acessadas de m cliente Windows, as ACLs só serão verificadas se o método de atenticação CIFS estiver definido com o padrão recomendado, NT. Isso é feito aplicando-se a opção de segrança -add no comando server_cifs. O FTP no Data Mover obedece às políticas de verificação de acesso na colna NFS/FTP da Tabela 3 na página 10 se o sário fizer log-in com m nome de sário UNIX. O FTP no Data Mover obedece às políticas na colna CIFS/FTP se o sário fizer log-in com m domínio e m nome de sário Windows. Qando m sário cria m arqivo o diretório via FTP, as permissões de acesso no arqivo dependerão do mask em vigor no cliente FTP. Isso pode resltar no so das mesmas permissões de acesso ao arqivo qe seriam aplicadas se o mesmo sário tivesse criado o arqivo através do NFS o CIFS. É possível verificar o mask exectando o comando qote site mask na sessão de FTP. A docmentação de se cliente FTP contém mais informações. Internacionalização O Celerra Network Server manipla os caracteres internacionais de forma diferente para os clientes NFS e FTP no UNIX em comparação aos clientes CIFS e FTP no Windows. Para clientes NFS e FTP no UNIX, o sistema Celerra converte os caracteres em nomes de arqivos e diretórios de clientes, mas não em nomes de sários o grpos. Os pontos de montagem do NFS não são convertidos e aparecem como caracteres ASCII. Para clientes CIFS e FTP no Windows, o Celerra Network Server converte nomes de arqivos de clientes, nomes de diretórios, nomes de sários e grpos e também grpos locais. Os nomes de compartilhamentos CIFS não são convertidos e aparecem como caracteres ASCII. Qando a codificação UTF-8 está habilitada, o sistema pode converter atomaticamente os dados do cliente conforme especificado anteriormente. Para codificações diferentes de UTF-8, não existe m mecanismo atomático para qe o sistema Celerra determine a codificação do cliente. Nesse caso, a codificação nativa do cliente deve ser identificada para o Data Mover. O docmento Using International Character Sets with EMC Celerra apresenta mais informações sobre internacionalização. Failover de Data Mover Drante o failover de m Data Mover, todas as sessões de FTP ativas no momento da falha são desconectadas atomaticamente. Reinicie manalmente essas sessões qando o failover for conclído. 11 de 40

12 Conexão FTP segra As conexões FTPS (FTP Secre, FTP segro) são mito semelhantes às FTP, exceto pelo tráfego FTP, qe é enviado sobre SSL nas conexões FTPS. A SSL fornece recrsos de criptografia e atenticação. As portas padrão para controle e solicitações de dados por FTPS são 990 e 989, respectivamente. Também é possível sar otras portas para FTPS de acordo com a configração do software de FTP do cliente e dos parâmetros do SSL definidos no Data Mover pelo comando server_ftp. As conexões FTPS a m cliente exigem qe m certificado assinado pela CA (Certificate Athority, atoridade de certificação) seja instalado no Data Mover. Como opção, m certificado da CA também pode ser instalado no cliente. Isso permite qe o cliente verifiqe a assinatra enviada pelo Data Mover. As chaves e certificados sados com SSL são gerenciados sando a PKI. A PKI está disponível através da CLI e do Celerra Manager. Métodos de atenticação O log-in do FTPS se dá através de métodos de atenticação anônima e simples. As opções selecionadas ao configrar o comando server_ftp determinam qe método de atenticação será sado: Anônimo (sem SSL) Simples (senha sem SSL) Anônimo (sem senha, sem SSL) Anônimo sobre SSL (SSL sem senha) SSLv3 (senha sobre SSL) tls:simple (senha sobre SSL) SSLv3 e tls:simple (senha sobre SSL) Baseado em SSL (o assnto do certificado do cliente é sado para atorização) A atenticação anônima significa qe nenhma atenticação ocorre e o Data Mover sa m log-in anônimo para acessar o servidor FTPS. A atenticação simples o por proxy significa qe o Data Mover deve especificar m nome de sário e ma senha para acessar o servidor FTP. As segintes regras determinam qe método de atenticação é sado: Se você não especificar a opção de nome de sário o habilitar o SSL, a atenticação anônima será sada (sem SSL). Se você especificar as opções de nome de sário e senha, mas não habilitar o SSL, a atenticação baseada em senha será sada (sem SSL). Se você especificar as opções de nome de sário e senha e habilitar o SSL, a atenticação baseada em senha será sada (sobre SSL), independentemente de a sslpersona estar o não configrada. 12 de 40

13 Se você não especificar a opção de nome de sário e não configrar a sslpersona, mas habilitar o SSL, será sada a atenticação anônima depois qe a conexão SSL for estabelecida. Se você não especificar a opção de nome de sário, mas habilitar o SSL e configrar a sslpersona, a atenticação anônima sem SSL será sada, a menos qe o servidor FTP esteja configrado para exigir certificados de clientes. Observação: qando a sslpersona for configrada (seja ela sada o não), ma chave e m certificado de chave pública válidos devem estar associados à persona especificada, o haverá falha na tentativa de conexão SSL. É necessário especificar a sslpersona sempre qe o servidor FTP estiver configrado para exigir o certificado do cliente, o haverá falha na conexão SSL, pois ela é rejeitada pelo servidor FTP. O Gia de configração de segrança no EMC Celerra contém considerações de planejamento para a PKI (Pblic Key Infrastrctre, infraestrtra de chave pública), personas, certificados de CA (Certificate Athority, atoridade de certificação) e conjntos de codificação compatíveis com o Celerra. 13 de 40

14 Configrando As tarefas para configrar o FTP são: "Configrar FTP anônimo" na página 15 "Restringir sário à árvore de se diretório base" na página 16 "Negar acesso por FTPS a sários específicos" na página 16 "Criar m banner de log-on" na página 18 "Criar ma tela de boas-vindas" na página 19 "Configrar o intervalo de tempo limite por inatividade" na página 21 "Configrar o intervalo máximo de tempo limite" na página 21 "Configrar ma porta de dados" na página 22 "Alterar o mask padrão" na página 23 "Configrar ma conexão de controle SSL" na página 24 "Configrar ma conexão de dados SSL" na página 25 "Configrar ma persona SSL" na página 27 "Configrar ma conexão de protocolo SSL" na página 27 Pré-reqisito Para configrar o FTPS, é necessário interromper o daemon do FTP. Para interromper o daemon o desabilitar o FTPS, siga este procedimento. Desabilitar o FTPS em m Data Mover Para desabilitar o FTPS em m Data Mover, se esta sintaxe de comando: $ server_ftp <movername> -service -stop <movername> = nome do Data Mover especificado Para desabilitar o FTPS em server_2, digite: $ server_ftp server_2 -service -stop Saída 14 de 40

15 Configrar FTP anônimo Etapa 1. Faça log-in na Control Station como root, digitando: $ s E digite a senha do root qando solicitado. 2. Acesse o diretório /nas/sbin, digitando: # cd /nas/sbin 3. Adicione o sário ftp através desta sintaxe de comando: # /nas/sbin/server_ser <movername> -add ftp <movername> = Data Mover no qal habilitar o FTP anônimo Adicione o sário ftp, digitando: # /nas/sbin/server_ser server_2 -add ftp Nas solicitações, crie o sário com estes atribtos: Qalqer UID e GID, exceto -2 o os reservados ao root (0 e 1) Diretório base especificado e disponível no Data Mover Observação: o docmento Managing Administrative Acconts on EMC Celerra contém mais informações sobre como adicionar sários e sobre o comando server_ser. 4. Desabilite a senha do sário ftp através desta sintaxe de comando: # /nas/sbin/server_ser <movername> -passwd -disable ftp <movername> = Data Mover no qal desabilitar a senha de m sário Para desabilitar a senha do sário ftp, digite: # /nas/sbin/server_ser server_2 -passwd -disable ftp 15 de 40

16 Restringir sário à árvore de se diretório base Para restringir o sário à árvore de se diretório base o seja, para impedir acesse os diretórios de otros sários, siga este procedimento. Se o diretório base não estiver acessível, o log-in será negado. Para restringir o sário à árvore de se diretório base, se esta sintaxe de comando: $ server_ftp <movername> -modify -homedir disable <movername> = nome do Data Mover especificado Para restringir o sário à árvore de se diretório base, digite: $ server_ftp server_2 -modify -homedir disable Saída FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : 989 Negar acesso por FTPS a sários específicos Para negar o acesso por FTPS aos sários selecionados, siga este procedimento. Etapa 1. Crie m novo arqivo de texto com o nome ftp-deny. 16 de 40

17 Etapa 2. Com m editor de texto, abra o arqivo ftp-deny e crie ma lista de nomes de sário, m por linha, aos qais deseja negar acesso por FTP no Data Mover. 3. Faça pload de ftp-deny para o Data Mover através desta sintaxe de comando: $ server_file <movername> -pt <filename> <movername> = nome do Data Mover para o qal o arqivo deve ser copiado <filename> = nome do arqivo sendo copiado para o Data Mover Para fazer pload do arqivo para server_2, digite: $ server_file server_2 -pt ftp-deny 4. Para restringir o acesso por FTPS de sários específicos, se esta sintaxe de comando: $ server_ftp <movername> -modify -deniedsers <filename> <movername> = nome do Data Mover especificado <filename> = nome do arqivo sendo copiado para o Data Mover Para restringir o acesso por FTP de sários específicos em server_2, digite: $ server_ftp server_2 -modify -deniedsers ftp-deny Observação: depois qe o arqivo ftp-deny for carregado no Data Mover e a opção deniedsers for adicionada ao comando server_ftp, as atalizações de ftp-deny serão captradas atomaticamente sem qe seja necessário reiniciar o Data Mover. Saída: FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Denied sers conf file : /.etc/ftp-deny Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : de 40

18 Criar m banner de log-on Os sários visalizam ma tela de boas-vindas antes de fazer log-in. Este arqivo pode, por exemplo, mostrar ma mensagem do dia o ma atalização para sários do FTP. Etapa 1. Crie m novo arqivo de texto com o nome logon-banner. Observação: o arqivo logon-banner para o FTPS pode, por exemplo, orientar os sários a digitar se nome de sário e senha para ter acesso ao servidor. 2. Com m editor de texto, abra o arqivo logon-banner e crie sa mensagem de log-in. 3. Faça pload de logon-banner para o Data Mover através desta sintaxe de comando: $ server_file <movername> -pt <filename> <movername> = nome do Data Mover para o qal o arqivo deve ser copiado <filename> = nome do arqivo sendo copiado para o Data Mover Para fazer pload de logon-banner para server_2, digite: $ server_file server_2 -pt logon-banner 18 de 40

19 Etapa 4. Para criar m banner de log-on para o FTP, se esta sintaxe de comando: $ server_ftp <movername> -modify -welcome <filename> <movername> = nome do Data Mover especificado <filename> = nome do arqivo sendo copiado para o Data Mover Para criar m banner de log-on em server_2, digite: $ server_ftp server_2 -modify -welcome logon-banner Observação: depois qe o arqivo logon-banner for carregado no Data Mover e a opção welcome for adicionada ao comando server_ftp, as atalizações de logon-banner serão captradas atomaticamente sem qe seja necessário reiniciar o Data Mover. Saída: FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Welcome file : /.etc/logon-banner Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : 989 Criar ma tela de boas-vindas Os sários visalizam ma tela de boas-vindas depois de fazer log-in com scesso. Este arqivo pode, por exemplo, mostrar ma mensagem do dia o ma atalização para sários do FTP. Etapa 1. Crie m novo arqivo de texto com o nome motd. 2. Com m editor de texto, abra o arqivo motd e crie sa mensagem de boas-vindas. 19 de 40

20 Etapa 3. Faça pload do arqivo motd para o Data Mover através desta sintaxe de comando: $ server_file <movername> -pt <filename> <movername> = nome do Data Mover para o qal o arqivo deve ser copiado <filename> = nome do arqivo sendo copiado para o Data Mover Para fazer pload do arqivo motd para server_2, digite: $ server_file server_2 -pt motd 4. Para criar ma tela de boas-vindas para o FTPS, se esta sintaxe de comando: $ server_ftp <movername> -modify -motd <filename> <movername> = nome do Data Mover especificado <filename> = nome do arqivo sendo copiado para o Data Mover Para configrar ma tela de boas-vindas em server_2, digite: $ server_ftp server_2 -modify -motd message Observação: depois qe o arqivo logon-banner for carregado no Data Mover e a opção motd for adicionada ao comando server_ftp, as atalizações da mensagem serão captradas atomaticamente sem qe seja necessário reiniciar o Data Mover. Saída: FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Motd file : /.etc/motd Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : de 40

21 Configrar o intervalo de tempo limite por inatividade Para configrar o intervalo de tempo limite de inatividade, se esta sintaxe de comando: $ server_ftp <movername> -modify -timeot <timeot> <movername> = nome do Data Mover especificado Para configrar o intervalo de tempo limite por inatividade em server_2, digite: $ server_ftp server_2 -modify -timeot 1000 Saída FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 1000 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : 989 Configrar o intervalo máximo de tempo limite Para configrar o intervalo máximo de tempo limite, se esta sintaxe de comando: $ server_ftp <movername> -modify -maxtimeot <maxtimeot> <movername> = nome do Data Mover especificado Para configrar o intervalo máximo de tempo limite em server_2, digite: $ server_ftp server_2 -modify -maxtimeot de 40

22 Saída FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 6000 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : 989 Configrar ma porta de dados Para especificar ma porta local TCP para conexões de dados FTPS, siga este procedimento. Para configrar ma porta de dados para o FTPS, se esta sintaxe de comando: $ server_ftp <movername> -modify -dataport <dataport> <movername> = nome do Data Mover especificado Para configrar ma porta de dados para o FTPS em server_2, digite: $ server_ftp server_2 -modify -dataport de 40

23 Saída FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 25 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : 989 Alterar o mask padrão Para configrar o mask padrão para criar m arqivo o diretório a partir do daemon do FTPS, siga este procedimento. Para alterar o mask padrão do FTPS, se esta sintaxe de comando: $ server_ftp <movername> -modify -mask <mask> <movername> = nome do Data Mover especificado Para alterar o mask padrão do FTPS em server_2, digite: $ server_ftp server_2 -modify -mask de 40

24 Saída FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 20 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 77 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : 989 Configrar ma conexão de controle SSL Para configrar ma conexão FTPS com SSL para criptografia de controle, siga este procedimento. Para configrar ma conexão de controle SSL para o FTPS, se esta sintaxe de comando: $ server_ftp <movername> -modify -sslcontrol (no allow reqire reqireforath) <movername> = nome do Data Mover especificado Para permitir ma conexão de controle SSL para o FTPS em server_2, digite: $ server_ftp server_2 -modify -sslcontrol allow Observação: antes qe o servidor possa ser configrado com SSL, o Data Mover deve ser definido com ma chave privada e m certificado público. Essa chave e esse certificado são identificados sando ma persona. Além disso, os certificados necessários da CA sados para identificar servidores confiáveis devem ser importados ao Data Mover. Use o recrso PKI do Celerra para gerenciar o so de certificados antes de configrar a operação do SSL. 24 de 40

25 Saída FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol : allow Cipher Control port : 990 Data port : 989 Configrar ma conexão de dados SSL Para configrar ma conexão FTPS com SSL para criptografia de dados, siga este procedimento. Para configrar ma conexão de dados SSL para o FTPS, se esta sintaxe de comando: $ server_ftp <movername> -modify -ssldata (allow reqire deny) <movername> = nome do Data Mover especificado Para permitir ma conexão de dados SSL para o FTPS em server_2, digite: $ server_ftp server_2 -modify -ssldata allow Observação: essas opções são definidas no servidor, mas dependem dos recrsos do cliente ftp. Algns recrsos do cliente podem ser incompatíveis com as configrações do servidor. 25 de 40

26 Saída FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol : allow Cipher Control port : 990 Data port : de 40

27 Configrar ma persona SSL Para configrar ma persona SSL para o FTPS, se esta sintaxe de comando: $ server_ftp <movername> -modify -sslpersona (anonymos defalt <persona_name>) <movername> = nome do Data Mover especificado Para permitir ma persona anônima SSL para o FTPS em server_2, digite: $ server_ftp server_2 -modify -sslpersona anonymos Saída FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol : anonymos Cipher Control port : 990 Data port : 989 Configrar ma conexão de protocolo SSL Para configrar m protocolo SSL para o FTPS, se esta sintaxe de comando: $ server_ftp <movername> -modify -sslprotocol (defalt ssl3 tls1 all) <movername> = nome do Data Mover especificado Para permitir m protocolo SSLv3 para o FTPS em server_2, digite: $ server_ftp server_2 -modify -sslprotocol ssl3 27 de 40

28 Saída FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol : ssl3 Cipher Control port : 990 Data port : 989 Pós-reqisito Depois de configrar ma opção FTPS, é necessário reiniciar o daemon do FTP para qe as alterações entrem em vigor. Para iniciar o daemon do FTP depois de fazer as alterações na configração, siga este procedimento. Habilitar o FTPS em m Data Mover Para habilitar o FTPS em m Data Mover, se esta sintaxe de comando: $ server_ftp <movername> -service -start <movername> = nome do Data Mover especificado Para habilitar o FTPS em server_2, digite: $ server_ftp server_2 -service -start Saída 28 de 40

29 Gerenciando As tarefas para gerenciar o FTP são: "Alterar o diretório de trabalho padrão" na página 29 "Determinar se o FTPS está sendo exectado em m Data Mover" na página 31 "Especificar ma porta de controle SSL" na página 31 "Especificar ma porta de dados SSL" na página 33 "Alterar o conjnto de codificações padrão do SSL" na página 34 Pré-reqisito Para gerenciar o FTPS, é necessário interromper o daemon do FTP. Para interromper o daemon o desabilitar o FTPS, siga este procedimento. Desabilitar o FTPS em m Data Mover Para desabilitar o FTPS em m Data Mover, se esta sintaxe de comando: $ server_ftp <movername> -service -stop <movername> = nome do Data Mover especificado Para desabilitar o FTPS em server_2, digite: $ server_ftp server_2 -service -stop Saída Alterar o diretório de trabalho padrão A seção "Diretórios base e o diretório de trabalho padrão" na página 7 contém mais informações sobre o diretório de trabalho padrão. Para alterar o diretório de trabalho padrão, se esta sintaxe de comando: $ server_ftp <movername> -modify -defaltdir <path> <movername> = nome do Data Mover <path> = caminho do novo diretório de trabalho Para definir o parâmetro defaltdir como /dir1, digite: $ server_ftp server_2 -modify -defaltdir /dir1 29 de 40

30 Saída FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : /dir1 Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol Cipher Control port : 990 Data port : de 40

31 Determinar se o FTPS está sendo exectado em m Data Mover Para determinar se o FTPS está sendo exectado no Data Mover, se esta sintaxe de comando: $ server_ftp <movername> -service -stats <movername> = nome do Data Mover Para determinar se o FTPS está sendo exectado em server_2, digite: $ server_ftp server_2 service -stats Saída State : rnning Especificar ma porta de controle SSL Para configrar ma porta de dados SSL para o FTPS, se esta sintaxe de comando: $ server_ftp <movername> -modify -sslcontrol (no allow reqire reqireforath) <movername> = nome do Data Mover especificado Para habilitar a porta de dados SSL para o FTPS em server_2, digite: $ server_ftp server_2 -modify -sslcontrol allow 31 de 40

32 Saída FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol : allow Cipher Control port : 990 Data port : de 40

33 Especificar ma porta de dados SSL Para configrar ma porta de dados SSL para o FTPS, se esta sintaxe de comando: $ server_ftp <movername> -modify -ssldata (no allow reqire) <movername> = nome do Data Mover especificado Para habilitar a porta de dados SSL para o FTPS em server_2, digite: $ server_ftp server_2 -modify -ssldata allow Observação: a opção ssldata só pode ser definida se sslcontrol for especificada como allow, reqire o reqireforath. Saída FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona Protocol : allow : allow Cipher Control port : 990 Data port : de 40

34 Alterar o conjnto de codificações padrão do SSL Para alterar o conjnto de codificações padrão do SSL para o FTPS, se esta sintaxe de comando: $ server_ftp <movername> -sslcipher (defalt <cipher_site>) <movername> = nome do Data Mover especificado Para alterar o conjnto de codificações padrão do SSL para o FTPS em server_2 para ma complexidade de 40 bits, digite: $ server_ftp server_2 -sslcipher 40 Saída FTPD CONFIGURATION ================== State : stopped Control Port : 256 Data Port : 257 Defalt dir : / Home dir Keepalive : 1 High watermark : Low watermark : Timeot : 900 Max timeot : 7200 Read size : 8192 Write size : Umask : 27 Max connection : SSL CONFIGURATION ================= Control channel mode Data channel mode Persona : anonymos Protocol Cipher : 40 Control port : 990 Data port : 989 Pós-reqisito Depois de fazer alterações em ma opção FTPS, é necessário reiniciar o daemon do FTP para qe elas entrem em vigor. Para iniciar o daemon do FTP depois de fazer as alterações de gerenciamento, siga este procedimento. 34 de 40

35 Habilitar o FTPS em m Data Mover Para habilitar o FTPS em m Data Mover, se esta sintaxe de comando: $ server_ftp <movername> -service -start <movername> = nome do Data Mover especificado Para habilitar o FTPS em server_2, digite: $ server_ftp server_2 -service -start Saída 35 de 40

36 Solção de problemas do FTP Como parte de m esforço para melhorar e amentar continamente o desempenho e os recrsos de sas linhas de prodtos, a EMC lança periodicamente novas versões de ses prodtos de hardware e software. Por isso, algmas das fnções descritas neste docmento podem não servir para todas as versões de software o hardware sadas no momento. Para obter as informações mais atalizadas sobre os recrsos dos prodtos, conslte as notas da versão do prodto. Se m prodto não fncionar adeqadamente o não fncionar conforme descrito neste docmento, entre em contato com se Representante de Atendimento ao Cliente EMC. Onde obter ajda Para obter informações sobre sporte, prodtos e licenciamento da EMC: Informações sobre prodtos para docmentação, notas da versão, atalizações de software o informações sobre prodtos, licenciamento e serviços da EMC, acesse o EMC Powerlink (registro obrigatório) em Solção de problemas para obter informações sobre como solcionar problemas, acesse o Powerlink, procre por Celerra Tools e selecione Celerra Trobleshooting no painel de navegação à esqerda. Sporte técnico para obter sporte técnico, vá para o Atendimento ao Cliente da EMC no Powerlink. Uma vez conectado ao EMC Powerlink, vá para Sporte > Solicitação de sporte. Para abrir ma solicitação de serviço via Powerlink, você deve ter m contrato de sporte válido. Para obter detalhes sobre como obter m contrato de sporte válido, assim como respostas a otras pergntas sobre sa conta, entre em contato com o Representante de Atendimento ao Cliente EMC. Observação: não solicite m representante específico de atendimento ao cliente, a menos qe m já tenha sido designado ao problema específico de se sistema. A Problem Resoltion Roadmap for EMC Celerra contém informações adicionais sobre a tilização do Powerlink e solção de problemas. EMC E-Lab Interoperability Navigator O EMC E-Lab TM Interoperability Navigator é ma ferramenta pesqisável on-line, baseada na Web, qe permite acesso às matrizes de sporte de interoperabilidade da EMC. Ele está disponível em Depois de acessar o Powerlink, vá para Sporte > Informações de interoperabilidade e ciclo de vida do prodto > E-Lab Interoperability Navigator. Problemas e limitações conhecidos Se m sário relatar m problema relacionado ao log-in sando o FTP, primeiro verifiqe se o sário tem ma conta válida no arqivo local de senhas no Data 36 de 40

37 Mover (no NIS, para sários UNIX, o no domínio Windows, para sários desse sistema). Se a conta do sário parecer válida, a Tabela 4 na página 37 pode ajdar a determinar a origem do problema. Tabela 4 Problemas de log-in de sários do FTP e solções temporárias Problema conhecido Sintoma Solção temporária Um log-in válido de sário Windows é rejeitado. O diretório base não está disponível. O diretório base não está habilitado no CIFS. Certifiqe-se de qe o sistema de arqivos qe contém o diretório base do sário esteja montado no Data Mover. Habilite os diretórios base no CIFS. Problemas de rede Algns problemas aparentemente de conexão FTP podem ser problemas mais gerais de rede. O docmento Configrando e gerenciando o sistema de rede do EMC Celerra apresenta mais informações sobre como solcionar problemas com a rede conectada a m sistema Celerra. 37 de 40