ProFTPD Direktiven

Name  <Anonymous>    Syntax <Anonymous root-directory>  Kontext Server config <Global> <VirtualHost>  Modul mod_core   Standard  Ab Version 0.99.0  Beschreibung Der "Anonymous" Block in der Konfiguration wird benutzt, um einen anonymen FTP Zugang einzurichten. Er wird mit </Anonymous> beendet. Das übergebene Root Directory gibt an, in welches Verzeichnis der PROFTPD-Dämon zuerst wechseln - und unmittelbar nach dem Login "chrooten" wird. Nachdem die Chroot-Operation erfolgreich beendet ist, sind höhere Verzeichnisebenen für den Benutzer nicht mehr sichtbar. Standardmäßig vermutet PROFTPD einen anonymen Login, wenn der Benutzer versucht sich mit demselben Benutzernamen anzumelden, unter dem der Server läuft. (außer root, hier ist ein anonymer Zugang nicht erlaubt). Um PROFTPD zu zwingen, den anonymen Zugang einem anderen Benutzer zuzuordnen, siehe Dir bitte die "USER" & "GROUP" Anweisung an. Sollte im anonymen Konfigurationsblock eine "USER" oder "GROUP" Anweisung stehen, wird der Dämon auf diesen Werte wechseln, bevor er den "Chroot" Vorgang ausführt. Normalerweise wird beim anonymen Zugang kein Passwort benötigt. Vielmehr wird erwartet, dass eine gültige Email-Adresse statt eines Passwortes angegeben wird (diese wird auch protokolliert). Wenn dieses Verhalten nicht gewünscht ist, kann dies im <Anonymous>-Konfigurationsblock durch die Anweisung "AnonRequirePassword" geändert werden. Anmerkung: "Chrooted" Anonyme Verzeichnisse benötigen keine gesonderten Systemfiles bzw. irgendeine Verzeichnisstruktur. Dieses liegt daran, dass PROFTPD so programmiert wurde, die nötigen Systeminformationen vor dem Chroot anzufragen und diese Dateien offen zu lassen.  Beispiel 1 <Anonymous /home/ftp>   User  ftp               # After anonymous login, daemon runs as user ftp   Group ftp               # After anonymous login, daemon runs as group ftp  UserAlias anonymous ftp # Client login as 'anonymous' is aliased to 'ftp'  <Directory *>   <Limit WRITE>    # Alle Schreibzugriffe unter dem root-Verzeichnis verbieten    DenyAll         # Standard ist "erlauben", daher brauchen wir kein   </Limit>         # <Limit> für Lesezugriffe erlauben  </Directory>  <Directory incoming>        <Limit READ WRITE>   # Nur das Hochladen von Dateien in das    DenyAll             # Verzeichnis incoming erlauben   </Limit>   <Limit STOR>    AllowAll   </Limit>  </Directory> </Anonymous>  Beispiel 2 06.00.2003 23:00

Name  <Directory>    Syntax <Directory pathname>  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Ab Version 0.99.0  Beschreibung Diese Anweisung erstellt einen Block von Anweisungen, die ein spezielles Verzeichnis und seine Unterverzeichnisse betreffen. Der Block endet mit </Directory>. Jede <Directory> Anweisung wird zur Laufzeit ausgewertet und die Verzeichnisangabe, die am ehesten passt, wird verwendet. Das bedeutet, dass jede <Directory> Angabe die Unterverzeichnisse mit einschließt, bis ggf. eine weitere <Directory> Anweisung ein Unterverzeichnis näher definiert. Anmerkung: dieses trifft nicht auf <LIMIT> <LIMIT> Block zu, die durch alle Unterverzeichnisse vereerbt werden, solange kein <LIMIT> Block gefunden wird, der besser passt. Ein Schrägstrich und ein Wildcard ("/*") können dem Verzeichnis angehangen werden und geben an, dass der Konfigurationsblock nur auf den Inhalt dieses Verzeichnisses und seine Unterverzeichnisse zutrifft, nicht aber auf das Verzeichnis selbst. Solche Wildcard-<Directory>-Blöcke haben eine höhere Priorität als normale <Directory>-Konfigurationsblöcke. <Directory>-Blöcke können nicht ??nested?? werden (sie werden automatisch während der Laufzeit ??nested?? die auf ihren Namen basiert). Die Namen müssen immer absolut sein (ausgenommen sind Angaben innerhalb eines <Anonymous>-Block) und sollten sich nicht auf symbolische Links beziehen. Namen innerhalb eines <Anonymous>-Blockes können im Verhältnis zu der Wurzel des PROFTPD-Servers sein. Anmerkungen für ProFTPD 1.1.3 und höher: Pfadangaben, die mit dem Sonderzeichen '~' beginnen und unmittelbar danach keinen Benutzernamen enthalten, werden in einen speziellen zurückgestellten Modus gesetzt. Wenn sich ein Benutzer anmeldet, wird das ~ durch sein Heimatverzeichnis ersetzt. Dieses ermöglicht einen globalen <Directory>-Block, der auf die Heimatverzeichnisse oder Unterverzeichnisse aller Benutzer zutrifft.  Beispiel 1 <Directory /users/anybody/private>   HideNoAccess </Directory>  Beispiel 2 <Directory ~/anon-ftp>   <Limit WRITE>    DenyAll   </Limit> </Directory> 06.00.2003 20:02

Name  Allow    Syntax Allow ["from"] "all" | "none" | host | network  Kontext <Limit>  Modul mod_core   Standard allow all  Ab Version 0.99.0pl6  Beschreibung Die Allow Anweisung wird innerhalb der "<Limit>" Anweisung benutzt, um ausdrücklich einem Rechner oder einem Netzwerk das Ausführen von gewissen Befehlen zu erlauben. "Allow" wird üblicherweise in Verbindung mit "Order" und "Deny" verwendet, um anspruchsvolle (oder auch nicht) Zugriffskontrollen zu ermöglichen. Das Argument "from" in Verbindung mit "Allow" ist nur kosmetischer Natur. Die weiteren Argumente müssen eine Liste von Computern und/oder Netzwerken sein, denen ausdrücklich Zugang gewährt werden soll. Das Schlüsselwort "all" gibt an, das allen Rechnern Zugang gewährt werden soll (wie die "AllowAll" Anweisung, jedoch mit geringerer Priorität). Das Schlüsselwort "none" gibt an, das keinem Rechner Zugang gewährt werden soll. Dieses verhindert jedoch nicht, daß Rechnern ausdrücklich Zugriff gegeben werden kann. Wenn "all" oder "none" benutzt werden, darf kein weiterer Rechner/Netzwerk angegeben werden. Rechner/Netzwerke können entweder numerisch oder mit Namen angegeben werden. Aus Sicherheitsgründen ist die Angabe von IP-Nummern dringenst empfohlen, DNS Server gehackt werden können. Numerische Adressen, die ein gesamtes Netzwerk beschreiben, sollten mit "." enden (z.B. "192.168.0." für das gesamte 192.168.0 Subnetz). DNS Namen für Netzwerke sollten mit einem "." beginnen, also z.B. ".proftpd.org" für das gesamte proftpd.org Netzwerk. Die Auswahl kann negiert werden durch die "!" Anweisung, so daß grosse Blöcke selectiert werden können, einzelne Rechner jedoch ausgeschlossen werden können.  Beispiel 1 <Limit Login>    Order Allow, Deny    Allow from 128.44.26., myhost.mydomain.edu.    Allow from 10.2.0.0/22    Deny from all  </Limit> 06.00.2003 20:02

Name  <Global>    Syntax <Global>  Kontext Server config <VirtualHost>  Modul mod_core   Ab Version 1.1.6  Beschreibung Der <Global>-Konfigurationsblock beinhaltet die Anweisungen, die sowohl für den Hauptserver, als auch für alle <VirtualHost>-Server gilt. Die meisten Anweisungen, jedoch nicht alle, können innerhalb des <Global>-Konfigurationsblockes verwendet werden. Es können in einer Konfiguration mehrere <Global>-Blöcke enthalten sein. Diese werden beim Start des Servers zu einem Block zusammengefügt. Der <Global>-Konfigurationsblock wird mit <Global> begonnen und muss mit </Global> geschlossen werden. 06.00.2003 20:02

Name  <Limit>    Syntax <Limit command|command-group [command2 ..]>  Kontext Server config <Global> <VirtualHost> <Anonymous> .ftpaccess <Directory>  Modul mod_core   Ab Version 0.99.0  Beschreibung Die <Limit>-Anweisung wird benutzt, um FTP Befehle zu erlauben oder zu verbieten. Die <Limit> Blöcke gelten für alle <Directory> und <Anonymous> Blöcke innerhalb einer Konfiguration, bis sie durch eine weitere <Limit> Anweisung aufgehoben wird. Der übergebende Befehl kann grundsätzlich jedes gültige FTP Kommando sein - im Regelfall jedoch einer der folgende Befehle: CWD (Verzeichnis Wechseln) MKD (Verzeichnis erstellen) RTFR (Umbenennen von) RNTO (Umbennen in) DELE (Datei löschen) RMD (Verzeichnis löschen) RETR (Client empfängt Datei vom Server) STOR (Client sendet Datei zum Server) SITE_CHMOD (ändert die Rechte einer Datei auf dem Server) Außerdem sind folgende Befehlsgruppen möglich. Sie haben eine niedrigere Priorität als "richtige" Befehle, was bedeutet, dass "richtige" Befehle im Zweifelsfall Vorrang haben. READ (alle lesenden Befehle, jedoch NICHT das Verzeichnis auflisten z.B. RETR, STAT) WRITE (alle schreibenden Befehle, wie löschen, erstellen, umbenennen) DIRS (alle Befehle, die mit dem auflisten eines Verzeichnisses zu tun haben, z.B. LIST, NLST) ALL (alle FTP Befehle, identisch mit READ WRITE DIR. Diese Gruppe hat die niedrigste Priorität) Das spezielle Kommando LOGIN ist außerdem erlaubt und kann zur Zugangskontrolle verwandt werden. Es betrifft Verbindungen oder Anmeldungen an den Server. Wenn ein <Limit> mit diesem virtuellen Kommando verwendet wird, kann es verwendet werden, um die Anmeldung zu erlauben oder zu verbieten. Es hat keine Wirkung und wird ignoriert, wenn es außerhalb der Server Konfiguration (<VirtualHost>, <Anonymous>) benutzt wird. Das bedeutet, dass es in einem <Directory>-Block bedeutungslos ist. <Limit> command restrictions should not be confused with file/directory access permission. While limits can be used to restrict a command on a certain directory, they cannot be used to override the file permissions inherent to the base operating/file system. Siehe auch: IgnoreHidden 06.00.2003 20:02

Name  <VirtualHost>    Syntax <VirtualHost address>  Kontext Server config  Modul mod_core   Ab Version 0.99.0  Beschreibung Der "VirtualHost" Block in der Konfiguration wird benutzt, um eine unabhängige Konfiguration für eine spezielle IP bzw. für einen speziellen Hostnamen zu erstellen. Es wird oft benutzt in Verbindung mit System basierten IP Aliasing oder Dummy Netzwerk Schnittstellen, um einen oder mehrere "virtuelle" Server auf einem Server laufen zu lassen. Mittels der "Port" Anweisung innerhalb eines "VirtualHost" Blockes kann man mehrere virtuelle Server unter einer IP auf einem Server laufen lassen, die durch verschiedene Ports angesprochen werden. Dieses ist jedoch nur im Standalone Modus möglich ! Ein "VirtualHost" Block beginnt mit "<VirtualHost>" und wird mittels " </VirtualHost>" beendet. 06.00.2003 20:02

Name  AccessDenyMsg    Syntax AccessDenyMsg "Nachricht"  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Standard Hängt vom Login Typ ab  Ab Version 1.2.2  Beschreibung Normalerweise wird eine Antwortnachricht (Code "530") direkt nach einem fehlerhaften Versuch geschickt, mit dem Hinweis auf den Fehlergrund. Im Falle eines falschen Passwortes ist dieses üblicherweise "Login incorrect". Diese Nachricht kann mit der AccessDenyMsg Anweisen angepasst werden. In der Mitteilung ist "%u" der Platzhalter für den beim login übermittelten Usernamen.  Beispiel 1 AccessDenyMsg "Zugriff für %u ist verweigert worden" 06.00.2003 20:02

Name  AccessGrantMsg    Syntax AccessGrantMsg "Nachricht"  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Standard Hängt vom Login Typ ab  Ab Version 0.99.0pl5  Beschreibung Normalerweise, eine Bestätigungsnachricht (Code "230") wird an den FTP Client direkt nach dem einloggen geschickt, um dem Benutzer zu signalisieren, daß er entwerder eingeloggt ist oder das anonymer Zugang gewährt wurde. Diese Nachricht kann mit der AccessGrantMsg Anweisung angepaßt werden. In der Nachricht kann mit dem Platzhalter "%u" der Usernamen übergeben werden, der beim Einloggen übermittelt wurden  Beispiel 1 AccessGrantMsg "Zugriff gewährt für %u" 06.00.2003 20:02

Name  AllowAll    Syntax AllowAll  Kontext <Anonymous> <Limit> .ftpaccess <Directory>  Modul mod_core   Standard Default is to implicitly AllowAll, but not explicit  Ab Version 0.99.0  Beschreibung Die "AllowAll" Richtlinie gibt explizit (wenn alle impliziten Regeln versagen) Zugriff zu folgenden Blöcken: "<Directory>", "<Anonymous>", "<Limit>". Obwohl das Standardverhalten von proftpd der teilweise Zugriff auf Objekte durch die "Allow" Anweisung ist, ist dieses implicit. "AllowAll" erzeugt einen explizites Zugriff, der alle anderen Anweisungen überschreibt. 06.00.2003 20:02

Name  AllowFilter    Syntax AllowFilter regular-expression  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Ab Version 1.2.0pre7  Beschreibung "AllowFilter" erlaubt die erstellung regulärer Ausdrücke, die allen übermittelten Kommandos an proftpd entsprechen müssen. Dieses ist sehr sinnvoll, um zu verhindern, daß mittels übermittelter Zeichenfolgen eventuelle Angriffe gegen PROFTPD geführt werden. Der reguläre Ausdruck wird gegen dan gesamten übermittelten Befehl ausgeführt, daher sollte man bei der Erstellung des Ausdrucker sehr sorgfältig sein. Sollte der übermittelte Befehl den Test nicht bestehem, so wird dem Client ein "Forbidden Command" übersendet. Die übermittlung von Passwörtern (PASS Befehl) wird NICHT geprüft ! Sollte der reguläre Audruck Leerzeichen enthalten, so sind diese in Anführungszeichen zu setzen.  Beispiel 1 # erlaubt nur Befehle mit Alphanumerischen Zeichen und Leerzeichen  AllowFilter "^[a-zA-Z0-9 ,]*$"     06.00.2003 20:02

Name  AllowForeignAddress    Syntax AllowForeignAddress on|off  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Standard off  Ab Version 1.1.7  Beschreibung Normalerweise, erlaubt PROFTPD nicht, daß Clients in Verbindung mit dem "PORT" Befehl eine andere als deren eigene Adresse (die Source Adresse von der FTP Controll Verbindung) verwendet. Außerdem werden keine priviligierten Ports erlaubt. Dem Client ein "Invalid Port" Fehler übermittelt und eine Meldung wird mittels "syslog" protokolliert (entweder "Adress Mismatch" oder "Bounce Attack"). Wird diese Anweisung freigegeben, erlaubt PROFTPD Datenadressen, die nicht mit der Client Adresse übereinstimmt. Dieses erlaubt u.a. FXP Filetransfer, die es erlaubt zwischen zwei FTP Servern Daten zu übertragen, ohne direkt in den Transfer involviert zu sein. Aus Sicherheitsgründen ist dieses jedoch nicht zu empfehlen. 06.00.2003 20:02

Name  AllowGroup    Syntax AllowGroup group-expression  Kontext <Limit>  Modul mod_core   Standard  Ab Version 1.1.1, geändert in 1.2.10 RC1  Beschreibung "AllowGroup" gibt einen Gruppen Ausdruck an, die speziell zugelassen sind im <LIMIT> Block. Das Format ist das gleiche wie bei "DefaultRoot". Die zugelassenden Gruppen bzw. nicht zugelassenden Gruppen (durch ein vorgestelltes "!") sind durch ein Komma (",") getrennt. Der gesamte Ausdruck wird als logisches "UND" betrachtet, d.h. das alle Ausdrücke zutreffen müssen. Ab ProFTPD 1.2.10RC1 gibt es noch folgende Ergänzungen: Dem Befehl können nun noch drei Optionen hinzugefügt werden: "regex", "AND" and "OR". Je nach Option werden die Grippen dann als regulärer Ausdruck, als "UND" Verknüpfung oder als "ODER" Verknüpfung interpretiert. z.B. AllowUser regex ^ftp DenyUser AND dave,bob AllowGroup OR web,doc  Beispiel 1  Beispiel 2 05.00.2004 02:01

Name  AllowLogSymlinks    Syntax AllowLogSymlinks on|off  Kontext Server config <Global> <VirtualHost>  Modul mod_log   Standard off  Ab Version 1.2.2rc2  Beschreibung Standardmaessig ueberprueft der ProFPD Server, ob das Verzeichnis in das gelogt werden ein symbolischer Link ist. Ist das der Fall, verweigert der Server das loggen sofern dieses durch diese Direktive nicht ausdruecklich erlaubt ist. Anmerkung zur Sicherheit: Dieser Verhalten sollte aus Sicherheitsgruenden nicht erlaubt werden. Wenn man dem Server erlaubt symbolische Links mit Root Privilegien zu oeffen, risikert man ggf. symlink Attacken, wo der Server ausgetrickt wird und ggf. wichtige Systemfiles ueberschreibt. Sei also gewarnt.  Beispiel 1 AllowLogSymlinks on  Beispiel 2 01.-1.2003 22:01

Name  AllowOverwrite    Syntax AllowOverwrite on | off  Kontext Server config <Global> <VirtualHost> <Anonymous> .ftpaccess <Directory>  Modul mod_core   Standard off  Ab Version 0.99.0  Beschreibung Die AllowOverwrite Anweisung erlaubt neu übertragende Files bereits existierende zu überschreiben. Standardmäßig ist es FTP Clients nicht erlaubt existierende Dateien zu überschreiben 06.00.2003 20:02

Name  AllowRetrieveRestart    Syntax AllowRetrieveRestart on|off  Kontext Server config <Global> <VirtualHost> <Anonymous> .ftpaccess <Directory>  Modul mod_core   Standard on  Ab Version 0.99.0  Beschreibung Die "AllowRetrieveRestart" Anweisung erlaubt bzw. verbietet es FTP clients einen abgebrochenden FTP download mittels dem "FTP REST" Befehl wieder aufzunehmen. Sandardmäßig ist es den Clients erlaubt, abgebrochende Downloads wieder aufzunehmen. 06.00.2003 20:02

Name  AllowStoreRestart    Syntax AllowStoreRestart on | off  Kontext Server config <Global> <VirtualHost> <Anonymous> .ftpaccess <Directory>  Modul mod_core   Standard off  Ab Version 0.99.0  Beschreibung Die "AllowStoreRestart" Anweisung erlaubt bzw. verneint das wieder aufnehmen von abgebrochenen Uploads (mittels der "REST" Anweidung. Standardmäßig ist dieses nicht erlaubt. Speziell bei anonymen FTP muß man aufpassen, da hier ggf. Clients erlaubt wird, bestehende Files zu vergrössern und sie somit zu zerstören. 06.00.2003 20:02

Name  AllowUser    Syntax AllowUser user-expression  Kontext <Limit>  Modul mod_core   Standard  Ab Version 1.1.7, geändert in 1.2.10RC1  Beschreibung "AllowUser" gibt einen User Ausdruck an, die speziell zugelassen sind im <LIMIT> Block. Das Format ist das gleiche wie bei "AllowGroup". Die zugelassenden User bzw. nicht zugelassenden User (durch ein vorgestelltes "!") sind durch ein Komma (",") getrennt. Der gesamte Ausdruck wird als logisches "UND" betrachtet, d.h. das alle Ausdrücke zutreffen müssen. Ab ProFTPD 1.2.10RC1 gibt es noch folgende Ergänzungen: Dem Befehl können nun noch drei Optionen hinzugefügt werden: "regex", "AND" and "OR". Je nach Option werden die User dann als regulärer Ausdruck, als "UND" Verknüpfung oder als "ODER" Verknüpfung interpretiert. z.B. AllowUser regex ^ftp DenyUser AND dave,bob AllowGroup OR web,doc  Beispiel 1  Beispiel 2 05.00.2004 02:01

Name  AnonRatio    Syntax AnonRatio foo1 foo2 foo3  Kontext <Anonymous> <Limit> .ftpaccess <Directory>  Modul mod_ratio   Standard None  Ab Version 1.2.0  Beschreibung The AnonRatio directive .... INCOMPLETE Sorry, aber die englische Original Anleitung ist hier nicht vollständig  Beispiel 1 AnonRatio  06.00.2003 20:02

Name  AnonRequirePassword    Syntax AnonRequirePassword on|off  Kontext <Anonymous>  Modul mod_core   Standard off  Ab Version 0.99.0  Beschreibung Normalerweise ist bei anonymen Zugriff keine Authenfizierung durch den Client notwendig. Stattdessen wird bei anonymen Zugang erwartet, daß der User seine Email Adresse als Passwort eingibt. Mit dieser Anweisung hingegen, wird auch bei anonymen FTP ein gültiges Passwort erwartet, was dem Passwort des User entspricht, unter dem der FTP Server läuft. Jedoch mit der "AuthUsingAlias" Authenfizierung kann das Passwort gegen den Login Usernamen überprüft werden. Dieses kann man benutzen, um "Gast" Zugänge zu erzeugen, die sich wie ein funktionierender anonymer Zugang verhalten (und so ein "chrooted" geschütztes File System), jedoch Passwort geschützt sind.  Beispiel 1 <Anonymous ~roger>    User    roger    Group  other    UserAlias proftpd roger    AnonRequirePassword on  # Deny write operations to all directories, underneath root-dir  # Default is to allow, so we don't need a <Limit> for read operations.   <Directory *>    <Limit WRITE>      DenyAll    </Limit>   </Directory>  # Deny all read/write operations in incoming. Because these are command-group  # limits, we can explicitly permit certain operations which will take precedence  # over our group limit.   <Directory incoming>    <Limit READ WRITE>      DenyAll    </Limit>  # The only command allowed in incoming is STOR  # (transfer file from client to server)    <Limit STOR>      AllowAll    </Limit>   </Directory>  </Anonymous> 06.00.2003 20:02

Name  AnonymousGroup    Syntax AnonymousGroup group-expression  Kontext Server config <Global> <VirtualHost>  Modul mod_core   Ab Version 1.1.3  Beschreibung Die "AnonymousGroup" gibt einen Gruppen Ausdruck an, in denen alle betreffenden User anonymer Zugang gewährt wird. Der Gruppenausdruck wird als logisches "UND" betrachtet, in denen der User Mitglied sein muss (oder eben kein Mitglied, wenn die Gruppe eine vorgestelltes "!" hat). Wenn der User dem Ausdruck entspricht, ist kein gültiges Passwort notwenig und eine spezielle anonyme configuration wird erstellt, mit dem Heimatverzeichnis der Users als standard Root Verzeichnis. Sollte zusätzlich eine "DefaultRoot" Anweisung für den User vorhanden sein, wird dieses Verzeichnis stattdessen genommen. ACHTUNG: eine falsche Configuration kann alle Heimatverzeichnisse für die Welt da draussen bereitstellen !!! 06.00.2003 20:02

Name  AuthAliasOnly    Syntax AuthAliasOnly on|off  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Standard off  Ab Version 1.1.3  Beschreibung Die Anweisung "AuthAliasOnly" beschränkt den Zugang auf mit einem Alias versehende User. Das bedeutet, daß der Usernamen mein Login ist auf einen realen Usernamen gemappt. Dieses geschieht durch die "UserAlias" Anweisungen. Alle nicht zugewiesenden User werden abgelehnt ! 06.00.2003 20:02

Name  AuthGroupFile    Syntax AuthGroupFile path  Kontext Server config <Global> <VirtualHost>  Modul mod_unixpw   Ab Version 1.1.1  Beschreibung Die "AuthGroupFile" gibt eine alternative "Group" Datei an, die das gleiche Format wie die Standard "/etc/group" Datei hat. Diese Datei wird zur Authentisierung und Gruppenabfrage für Verzeichniss- und Zugangskontrolle verwendet. Die Pfad Angabe sollte den kompletten Pfad enthalten. Die "AuthGroupFile" kann auch in pro VirtualHost angegeben werden, so daß jeder virtueller FTP Server seine eigene Benutzerdatenbank hat (in Verbindung mit "AuthUserFile". Die Datei muss NICHT innerhalb eines chroot(ed) Verzeichnisse liegem, da die Datei bereits beim Verbindungsaufbau geöffnet wird. 06.00.2003 20:02

Name  AuthPAM    Syntax AuthPAM on|off  Kontext Server config <Global> <VirtualHost>  Modul mod_pam   Standard on  Ab Version 1.2.0rc1  Beschreibung Diese Richtlinie stellt fest, ob PAM als Authentisierungsmethode von ProFTPD verwendet wird. Die Authorisierung durch PAM ist bei proftpd standard als primärer Authentisierungs Mechanismus. PAM ist unter Linux die Standard Authentisierung 06.00.2003 20:02

Name  AuthPAMConfig    Syntax AuthPAMConfig service  Kontext Server config <Global> <VirtualHost>  Modul mod_pam   Standard ftp  Ab Version 0.99.0  Beschreibung his directive allows you to specify the PAM service name used in authentication. PAM allows you to specify a service name to use when authenticating. This allows you to configure different PAM service names to be used for different virtual hosts. The directive was renamed from PAMConfig post 1.2.0 pre10  Beispiel 1 # Virtual host foobar authenticates differently than the rest AuthPAMConfig foobar # This assumes, that you have a PAM service named foobar # configured in your /etc/pam.conf file or /etc/pam.d directory.  06.00.2003 20:02

Name  AuthUserFile    Syntax AuthUserFile path  Kontext Server config <Global> <VirtualHost>  Modul mod_unixpw   Standard  Ab Version 1.1.1  Beschreibung "AuthUserFile" definiert eine alternatives "passwd" Datei, die das gleiche Format wie das normale "/etc/passwd" file hat. Diese Datei kann dann zur Authentifizierung der User herangezogeb werden. "AuthUserFile" kann pe virtuellen Host angegeben werden, so dass fuer jeden viruellen Host eine Users Verwaltung moeglich ist. Ausserdem kann so die Userverwaltung fuer FTP relativ einfach von den normalen Systemusern getrennt werden. Das File muss NICHT innerhalb der chroot()ed directory Verzeichnisstruktur liegen, da es waehrend der gesamten Verbindungszeit offen bliebt.  Beispiel 1  Beispiel 2 02.00.2004 03:01

Name  AuthUsingAlias    Syntax AuthUsingAlias on|off  Kontext <Anonymous>  Modul mod_core   Standard off  Ab Version 1.2.0pre9  Beschreibung Normalerweise wird, wenn die "AnonRequirePassword" Anweisung verwendet wird, wird die Authentisierung mit dem Passwort vollzogen, unter dem der Server läuft. Unter gewissen umständen kann es jedoch notwendig sein, die Authentisierung mit dem Login Usernamen und Passwort durchzuführen.  Beispiel 1 Ein Beispiel für einen anonymen Zugang mit AuthUsingAlias  # Standard "NUR LESEN" Konfiguration  <Anonymous /home/ftp>    UserAlias anonymous nobody    UserAlias ftp nobody    AuthAliasOnly on    <Limit WRITE>     DenyAll    </Limit>  </Anonymous>  # Voller "Lesen/Schreiben" Zugriff für bestimte User  <Anonymous /home/ftp>    AnonRequirePassword on    AuthAliasOnly on    AuthUsingAlias on  # Die Liste aller authentisierten Benutzer  # User/Passwort Abfrage ist für jeden User, nicht für die Passwort der Uid,  # unter dem der Server läuft ('nobody' in diesem Beispiel)    UserAlias fred nobody    UserAlias joe nobody    <Limit ALL>     AllowAll    </Limit>  </Anonymous> 06.00.2003 20:02

Name  Bind    Syntax Bind address  Kontext Server config <VirtualHost>  Modul mod_core   Ab Version 1.1.6  Beschreibung Mit der "Bind" Anweisung können zusätzliche IP Adressen an einem Haupt- oder Virtuellen Server angebunden werden. Bei mehreren IP Adressen können auch mehrere "Bind" Anweisungen verwendet werden. Die Adresse muss entweder ein vollständiger DNS Name oder eine gültige IP4 Adresse sein. Eingehende Verbindung werden dann von dem Server, in dessen Abschnitt die Bind Anweisung verwendet wurde, beantwortet. Außerdem, wenn "SocketBindTight" ist auf "on", dann wird eine zusätzliche "Listening" Verbindung für jede Adresse erstellt 06.00.2003 20:02

Name  ByteRatioErrMsg    Syntax ByteRatioErrMsg foo1 foo2 foo3  Kontext <Anonymous> <Limit> .ftpaccess <Directory>  Modul mod_ratio   Ab Version 1.2.0  Beschreibung The ByteRatioErrMsg directive .... INCOMPLETE Sorry, aber die englische Original Anleitung ist hier nicht vollständig  Beispiel 1 ByteRatioErrMsg  06.00.2003 20:02

Name  CDPath    Syntax CDPath directory  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Ab Version 1.2.0pre2  Beschreibung Hiermit werden Such-Verzeichnisse bestimmt, in denen proftpd nachschaut, wenn man Verzeichnisse wechselt.  Beispiel 1 CDPath /net/mp3/musik  CDPath /var/  # Angenommen in /net/mp3/musik liegt ein Verzeichnis "/U2",  # dann kann der User mittels "cd U2" direkt in das Verzeichnis  # wechseln  (vorausgesetzt die Rechte stimmen), egal wo im  # Verzeichnisbaum er sich gerade befindet. Quasi als Abkürzung... 06.00.2003 20:02

Name  Class    Syntax Class "name" limit|regex|ip value  Kontext Server config <VirtualHost>  Modul mod_core   Ab Version 1.2.0pre9  Beschreibung Hiermit werden die sogeannten Klassen kontrolliert. Dieses erlaubt IP Adressen einer bestimmte Klasse zuzuweisen. Jede Klasse hat eine maximale Anzahl von Verbindungen. Die Angabe "limit" setzt die maximale Anzahl von Verbindungen für eine Klasse. Mit der Angabe "regex" kann ein Domain angegeben werden, mit der Angabe IP kann eine IP/Netmaske angegeben werden. Die Standard Klasse ist als "default" bezeichnet.  Beispiel 1 Classes on  Class local limit 100  Class default limit 10  Class local regex .*foo.com  Class local ip 172.16.1.0/24  # Dieses erstellt zwei Klassen (local & default), wobei "local" die IP's # von  #"*.foo.com" und "172.16.1.*" beinhaltet. Für "default" stehen maximal  #10 gleichzeitige Verbingen bereit, für "local" 100. 06.00.2003 20:02

Name  Classes    Syntax Classes on | off  Kontext Server config <VirtualHost>  Modul mod_core   Standard off  Ab Version 1.2.0pre9  Beschreibung Aktiviert den Klassen basierten Zugang 06.00.2003 20:02

Name  CommandBufferSize    Syntax CommandBufferSize size  Kontext Server config <Global> <VirtualHost>  Modul mod_core   Ab Version 1.2.0pre7  Beschreibung Die "CommandBufferSize" Anweisung kontrolliert die maximale Befehlslänge, die zum Server gesendet werde kann. Durch diese Kontrolle können u.a. verschiede Denial of Service (DOS) Attacken verhindert werden Anmerkung: in den 1.2.x Versionen ist außerdem die maximale Befehlslänge im Quellcode auf 1 KB limitiert. Dieses entspricht nicht den RFC's, wirft jedoch im normalen Gebrauch kein Problem auf. Dieses wird erst in der 1.3.x Reihe beseitigt. 06.00.2003 20:02

Name  CwdRatioMsg    Syntax CwdRatioMsg foo1 foo2 foo3  Kontext <Anonymous> <Limit> .ftpaccess <Directory>  Modul mod_ratio   Ab Version 1.2.0  Beschreibung The CwdRatioMsg directive .... INCOMPLETE Sorry, aber die englische Original Anleitung ist hier nicht vollständig  Beispiel 1 CwdRatioMsg  06.00.2003 20:02

Name  DefaultChdir    Syntax DefaultChdir directory [group-expression]  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_auth   Standard ~  Ab Version 1.2.0pre2  Beschreibung Gibt an, in welchem Verzeichnis sich der User nach dem Login befindet. Standardmäßig ist es das Heimatverzeichnis des Users. Das angebene Verhältnis kann relativ zum Userverzeichnis angegeben werden. Anmerkung: Wenn das angebene Verzeichnis nicht verfügbar ist, kann der User sich nicht einloggen. 06.00.2003 20:02

Name  DefaultRoot    Syntax DefaultRoot directory [group-expression]  Kontext Server config <Global> <VirtualHost>  Modul mod_auth   Standard /  Ab Version 0.99.0pl7  Beschreibung Die "DefaultRoot" Anweisung bestimmt das standard Root Verzeichnis für einen User bei dem Login. Wenn "Default Root" auf ein anderes Verzeichnis als "/" verweist, wird unmittelbar nach dem erfolgten Einloogen ein "chroot" durchgeführt. So kann ein Benutzer vom übrigen Dateisystem isoliert werden. Das genannte Verzeichnis muß mit "/" beginnen oder kann den Platzhalter "~" enthalten, der für das Heimatverzeichnis des Users steht. Dieses kann auch ein weiteres Unterverzeichnis enthalten, wie z.B. "~/html". Sollte das "DefaultRoot" Verzeichnis auf ein Verzeichnis verweisen, daß für den User nicht zugänglich ist, wird er auf das aktuelle Arbeitsverzeichnis gesetzt und nicht auf das normale Homeverzeichnis. "DefaultRoot" kann nicht im Anonymen Anweisungsblock verwendet werden, da er hierfür eine spezielle Anweisung gibt. Die optionale Gruppenangabe kann dazu benutzt werden, "DefaultRoot" auf eine oder mehrere Gruppen zu beschränken. Der Ausdruck hat folgendes Format: [!]group-name1[,[!]group- name2[,...]]. Der Ausdruck wird als logische "UND"-Verknüpfung abgearbeitet, so jeder Ausdruck muss WAHR ergeben, um die "DefaultRoot" Anweisung zu gestatten. Die Vorzeichen "!" negiert die Gruppenzugehörigkeit. Achtung: Grundsätzlich ist dieses keine 100% Sicherheit, da es Wege geben kann, als User aus diesem "root" auszubrechen.  Beispiel 1 ServerName "A test ProFTPD Server"  ServerType inetd  User ftp  Group ftp  # Hiermit wird nun der User direkt in sein Heimatverzeichnis "gesperrt"  # Anschliessend kann der User keine höheren Verzeichnisse sehen  # Aufgrund der Gruppenangabe, nur Benutzer der Gruppe "user", jedoch  # nicht User der Gruppe "staff" werden in das Heimatverzeichnis gesperrt  DefaultRoot ~ users,!staff 06.00.2003 20:02

Name  DefaultServer    Syntax DefaultServer on|off  Kontext Server config <VirtualHost>  Modul mod_core   Standard off  Ab Version 0.99.0pl6  Beschreibung Die "DefaultServer" Anweisung gibt an, welche Server Konfiguration verwendet wird, wenn eine ankommende Verbindung für eine IP Adresse bestimmt ist, die weder die Primäre IP Adresse vom Rechner ist, noch in einem <VirtualHost> Block angegeben ist. Normalerweise wird solchen unbekannten Verbindungen eine "no server available to service your request" Nachricht geschickt und die Verbindung unterbrochen. Wenn "DefaultServer" gesetzt ist (sei es in der normalen Server konfiguration oder in einem virtuellen Server), so werden alle unbekannten Verbindung von diesem Standard Server bearbeitet. Es kann nur ein Server als Default gesetzt werden 06.00.2003 20:02

Name  DefaultTransferMode    Syntax DefaultTransferMode ascii|binary  Kontext Server config <Global> <VirtualHost>  Modul mod_core   Standard ascii  Ab Version 1.2.0pre9  Beschreibung Die "DefaultTransferMode" Anweisung stellt die Art des Standardübertragung vom Server ein. Standardmäßig wid CR/LF (also ASCII) benutzt. 06.00.2003 20:02

Name  DeferWelcome    Syntax DeferWelcome on|off  Kontext Server config <Global> <VirtualHost>  Modul mod_core   Standard off  Ab Version 0.99.0  Beschreibung Die "DeferWelcome" Direktive verzögert für einen Master oder Virtuellen Server die Übermittlung vom Server Namen und Adressen, bis der Client sich erfolgreich angemeldet hat. Ist diese Direktive aktiv, wird die anfämgliche Willkommensnachricht keine Informationen über Server etc. preisgeben.  Beispiel 1  Beispiel 2 01.00.2004 23:01

Name  DeleteAbortedStores    Syntax DeleteAbortedStores on|off  Kontext Server config <Global> <VirtualHost> <Anonymous> .ftpaccess <Directory>  Modul mod_core   Standard off  Ab Version 1.2.0rc3  Beschreibung Die "DeleteAbortedStores" Anweisung stellt ein, ob PROFTPD abgebrochende Uploads wieder löschen soll 06.00.2003 20:02

Name  Deny    Syntax Deny [ Deny ["from"] "all"|"none"|host|network[,host|network[,...]]]  Kontext <Limit>  Modul mod_core   Standard  Ab Version 0.99.0pl6  Beschreibung Die "DENY" Anweidung wird benutzt, um Server bzw. Netzwerke ausdruecklich den Zugang innerhalb einem bestimmten <LIMIT> Block zu verweigern. Ausserdem gibt es die Schlüsselwörter "all" oder "none", die entweder ALLE oder KEINE Hosts sperren. Für mehr Informationen über die Syntax, siehe bitte "Allow" und "Order". Durch Angabe von "!" kann die Angabe negiert werden, so kann man z.B. einen grossen Bereich von IPs sperren, einen einzelnen Host z.B. erlauben.  Beispiel 1 Zugang nur von gewissen IPs erlauben <Limit LOGIN> Order allow,deny Allow from 128.44.26.,128.44.26.,myhost.mydomain.edu,.trusted-domain.org Deny from all </Limit>  Beispiel 2 02.00.2004 04:01

Name  DenyAll    Syntax DenyAll  Kontext <Anonymous> <Limit> .ftpaccess <Directory>  Modul mod_core   Standard  Ab Version 0.99.0  Beschreibung Die "DenyAll" Anweisung ist analog zu der Kombination: order deny,allow deny from all mit der Ausnahme, das "DenyAll" eine höhere Prioriät besitzt. "DenyAll" bietet eine einfache und zuverlässige Methode den gesamten Zugang zu einem bestimmten Verzeichnis, anonymen FTP oder einem LIMIT Block zu verweigern. Aufgrund der unterschiedlichen Prioritäten sollte diese Anweisung jedoch nicht mit den normalen "Order"/"Deny" Befehlen verwendet werden. Die "DenyAll" Anweisung kann jedoch zu einem nachgeordneten Verzeichnis durch "AllowAll" wieder aufgehoben werden.  Beispiel 1  Beispiel 2 02.00.2004 04:01

Name  DenyFilter    Syntax DenyFilter regular-expression  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Ab Version 1.2.0pre7  Beschreibung Ähnlich wie die Anweisung "AllowFilter", gibt "DenyFiler" eine regulären Ausdruck an, der nicht als Kommando gesendet werden darf. Wird der reguläre Ausdruck gefunden, so wird ein "Forbidden Command" an den Client gesendet. Dieses ist u.a. sinnvoll um gewisse Befehlskombinationen zu verbieten.  Beispiel 1 # keine Befehle mit % erlauben  DenyFilter "%" 06.00.2003 20:02

Name  DenyGroup    Syntax DenyGroup group-expression  Kontext <Limit>  Modul mod_core   Standard  Ab Version 1.1.1, geändert in 1.2.10 RC1  Beschreibung Die "DenyGroup" Anweisung definiert einen Gruppen Ausdruck, dessen Gruppe innerhalb einer <LIMIT> Anweisung die Ausfuehrung gewisser FTP Befehle verboten wird. Der Gruppen Ausdruck hat das gleiche Format wie in der DefaultRoot Anweisung, d.h. das eine Liste von Gruppen per KOMMA getrennt uebergeben werden kann (bzw. mit vorangestellten "!" das diese Gruppe nicht enthalten sein darf). Diese Liste wird als logisches UND betrachtet, das heisst ALLE Gruppenangaben muessen erfuellt sein. Um eine "ODER " Funktion zu erreichen koennen einfach mehrere "DenyGroup" Anweisungen uebergeben werden. See Also: AllowGroup, AllowUser, DenyUser Ab ProFTPD 1.2.10RC1 gibt es noch folgende Ergänzungen: Dem Befehl können nun noch drei Optionen hinzugefügt werden: "regex", "AND" and "OR". Je nach Option werden die Gruppen dann als regulärer Ausdruck, als "UND" Verknüpfung oder als "ODER" Verknüpfung interpretiert. z.B. AllowUser regex ^ftp DenyUser AND dave,bob AllowGroup OR web,doc  Beispiel 1  Beispiel 2 05.00.2004 02:01

Name  DenyUser    Syntax DenyUser user-expression  Kontext <Limit>  Modul mod_core   Standard  Ab Version 1.1.7a, geändert in 1.2.10 RC1  Beschreibung Die "DenyUser Anweisung definiert einen User Ausdruck, dessen User innerhalb einer <LIMIT> Anweisung die Ausfuehrung gewisser FTP Befehle verboten wird. Es koennen mehrer User per Komma getrennt übergeben werden. Diese Liste wird als logisches ODER betrachtet, das heisst das jeder Username dieser Liste reicht zum verneinen. See Also: AllowUser, DenyGroup, AllowGroup Ab ProFTPD 1.2.10RC1 gibt es noch folgende Ergänzungen: Dem Befehl können nun noch drei Optionen hinzugefügt werden: "regex", "AND" and "OR". Je nach Option werden die User dann als regulärer Ausdruck, als "UND" Verknüpfung oder als "ODER" Verknüpfung interpretiert. z.B. AllowUser regex ^ftp DenyUser AND dave,bob AllowGroup OR web,doc  Beispiel 1  Beispiel 2 05.00.2004 02:01

Name  DirFakeGroup    Syntax DirFakeGroup On|Off [groupname]  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_ls   Standard off  Ab Version 1.1.5  Beschreibung "DirFakeGroup" und die dazugehörene Anweisung "DirFakeUser" können dazu benutzt werden, die waren Owner (Benutzer und Grupper) einer Datei zu verstecken. Wenn kein weiteres Parameter übergeben wird, dann ist die Gruppe bzw. der Benutzer "ftp". Alternativ kann ein Gruppenname bzw. Benutzername übergeben werden. Dieser ist rein kosmetisch und muss nicht im System existieren. Die wahren Zugriffsrechte im System werden nicht nicht beeinflusst. 06.00.2003 20:02

Name  DirFakeMode    Syntax DirFakeMode octal-mode  Kontext Server config <Global> <VirtualHost> <Anonymous> <Directory>  Modul mod_ls   Ab Version 1.1.6  Beschreibung Die "DirFakeMode" Anweisung bestimmt, mit welchen Rechte alle Dateien und Verzeichnisse angezeigt werden. Für jeden Teil der Zugriffsreche (Benutzer, Gruppe, Andere) kann ein Dummy angeben werden. Die Ausführungsberechtigung für Verzeichnisse wird gesetzt, sofern die Leseberechtigung mit dieser Anweisung übergeben wird. Auch diese Anweisung ist wie die anderen Fake Anweisungen rein kosmetisch. Die wahren Zugangsbeschränkungen werden hiervon nicht berührt.  Beispiel 1  DirFakeMode 0640 Will result in:   -rw-r----- ... arbitrary.file   drwxr-x--- ... arbitrary.directory 06.00.2003 20:02

Name  DirFakeUser    Syntax DirFakeUser On|Off [username]  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_ls   Standard off  Ab Version 1.1.5  Beschreibung "DirFakeGroup" und die dazugehörene Anweisung "DirFakeUser" können dazu benutzt werden, die waren Owner (Benutzer und Grupper) einer Datei zu verstecken. Wenn kein weiteres Parameter übergeben wird, dann ist die Gruppe bzw. der Benutzer "ftp". Alternativ kann ein Gruppenname bzw. Benutzername übergeben werden. Dieser ist rein kosmetisch und muss nicht im System existieren. Die wahren Zugriffsrechte im System werden nicht nicht beeinflusst. 06.00.2003 20:02

Name  DisplayConnect    Syntax DisplayConnect filename  Kontext Server config <Global> <VirtualHost>  Modul mod_core   Ab Version 1.2.0pre2  Beschreibung Die "DisplayConnect" Anweisung bestimmt ein ASCII Text File, daß dem User angzeigt wird, nachdem er zum Server connected hat, jedoch bevor er einloggt. Der Filenamen kann entweder relativ oder absolut angeben werden. Im Falle einer relativen Angabe, wird die Datei zuerst im Homeverzeichnis der Benutzer gesucht, der der Owner vom PROFTPD Server ist. Da dieses zu Unklarheiten führen kann, wird empfohlen mit absoluten Pfadangaben zu arbeiten. Sollte das File nicht gefunden wird, wird kein Fehler angezeigt und auch kein Fehler protokolliert ! 06.00.2003 20:02

Name  DisplayFirstChdir    Syntax DisplayFirstChdir filename  Kontext Server config <Global> <VirtualHost> <Anonymous> <Directory>  Modul mod_core   Ab Version 0.99.0pl10  Beschreibung Die "DisplayFirstChdir" Anweisung gibt eine ASCII Text Datei an, die dem User beim ersten Wechsel in ein Verzeichnis (mit CDW) per FTP Verbindung angezeigt wird. Die Datei wird außerdem angezeigt, wenn PROFTPD erkennt, daß das Verzeichnis seit dem letzten Besuch geändert wurde. Wenn der Filenamen relativ angeben wurde, wird zuerst das Verzeichnis durchsucht, in das der User wechselt. Bei anonymen Zugang, muß das Text File innerhalb der chroot(ed) Umgebung sein. Wenn das File nicht gefunden wird, wird keine Fehlermeldung ausgeben bzw. protokolliert. "DisplayFirstChdir", "DisplayConnect", "DisplayLogin", "DisplayQuit" unterstützen folgende Platzhalter ("Magic cookies"), die während der Anzeige angepaßt werden: %T aktuelle Zeit %F verfügbarer Platz auf dem Dateisystem %C aktuelles Verzeichnis %R Remote Rechner Name %L Lokaler Rechner Name %u Benutzername, der vom ident Protokoll übergeben wurde %U Benutzername, der beim Login übergeben wurde %M maximale Anzahl von Verbindungen %N aktuelle Anzahl von Verbindungen %E Email Adresse vom Admin %x der Name der Benutzer Klasse %y aktuelle Anzahl der Verbindung in der Klasse des Users %z maximale Anzahl der Verbindung in der Klasse des Users Nicht alle Platzhalter sind unbedingt sinnvoll. Z.B. %u, wenn ident Auflösungen ausgeschaltet sind 06.00.2003 20:02

Name  DisplayGoAway    Syntax DisplayGoAway filename  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Ab Version 1.2.0pre8  Beschreibung Die "DisplayGoAway" Anweisung gibt eine ASCII Text Datei an, die dem User angezeigt wird, wenn von seiner Klasse zu viele Benutzer eingeloggt sind und sein Login abgelehnt wird. "DisplayGoAway" unterstützt die gleichen Platzhalter ("Magic Cookies") wie die "DisplayFirstChdir" Anweisung. %T aktuelle Zeit %F verfügbarer Platz auf dem Dateisystem %C aktuelles Verzeichnis %R Remote Rechner Name %L Lokaler Rechner Name %u Benutzername, der vom ident Protokoll übergeben wurde %U Benutzername, der beim Login übergeben wurde %M maximale Anzahl von Verbindungen %N aktuelle Anzahl von Verbindungen %E Email Adresse vom Admin %x der Name der Benutzer Klasse %y aktuelle Anzahl der Verbindung in der Klasse des Users %z maximale Anzahl der Verbindung in der Klasse des Users Nicht alle Platzhalter sind unbedingt sinnvoll. Z.B. %u, wenn ident Auflösungen ausgeschaltet sind 06.00.2003 20:02

Name  DisplayLogin    Syntax DisplayLogin filename  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Ab Version 0.99.0  Beschreibung Die "DisplayLogin" Richtlinie benennt ein ASCII-Text File, das der Benutzer sofort nach seinem Login angezeigt bekommt. Der Filenamen kann entwerder absolut oder relativ angegeben werden. Im Falle eines relativen Filenamen wird das erste Verzeichnis durchsucht, in dem sich der Benutzer nach dem Login befindet. Dieses ist überlicherweise das Home Verzeichnis für User oder das Anonyme Root für anonymen Login. ACHTUNG: bei chroot(ed) Verzeichnissen, bei denen also der User in ein Verzeichnis eingesperrt ist, muss das Textfile innerhalb dieses Verzeichnis erreichbar sein. Bei unterschiedlichen Verzeichnisse (z.B. User in /home, Gast in /net) muß man ggf. mit Links arbeiten. Wenn das File nicht gefunden wird, dann wird nichts anzeigt, auch keine Fehlermeldung wird geloggt. "DisplayLogin" unterstützt die gleichen Platzhalter ("magic cookies") wie die "DisplayFirstChDir" Anweisung. %F verfügbarer Platz auf dem Dateisystem %C aktuelles Verzeichnis %R Remote Rechner Name %L Lokaler Rechner Name %u Benutzername, der vom ident Protokoll übergeben wurde %U Benutzername, der beim Login übergeben wurde %M maximale Anzahl von Verbindungen %N aktuelle Anzahl von Verbindungen %E Email Adresse vom Admin %x der Name der Benutzer Klasse %y aktuelle Anzahl der Verbindung in der Klasse des Users %z maximale Anzahl der Verbindung in der Klasse des Users Nicht alle Platzhalter sind unbedingt sinnvoll. Z.B. %u, wenn ident Auflösungen ausgeschaltet sind 06.00.2003 20:02

Name  DisplayQuit    Syntax DisplayQuit filename  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Ab Version 1.2.0pre8  Beschreibung Die "DisplayQuitConfigures" gibt ein ASCII Text File an, das dem Benutzer angezeigt wird, wenn sie die Verbindung beenden. Die Angabe kann wie immer relativ oder absolut erfolgen. Bei relativer Angabe wird die Datei im Verzeichnis gesucht, in dem sich der User gerade befindet. Daher sind absolute Pfadangaben im Normalfall zu bevorzugen. Für Chroot(ed) Systeme, muß eine absolute Pfadanangabe innerhalb der erreichbaren Systems sein. Sollte die Datei nicht zugegriffen werden können, wird keine Fehlermeldung angezeigt oder Protokolliert. %T aktuelle Zeit %F verfügbarer Platz auf dem Dateisystem %C aktuelles Verzeichnis %R Remote Rechner Name %L Lokaler Rechner Name %u Benutzername, der vom ident Protokoll übergeben wurde %U Benutzername, der beim Login übergeben wurde %M maximale Anzahl von Verbindungen %N aktuelle Anzahl von Verbindungen %E Email Adresse vom Admin %x der Name der Benutzer Klasse %y aktuelle Anzahl der Verbindung in der Klasse des Users %z maximale Anzahl der Verbindung in der Klasse des Users nicht alle Platzhalter sind unbedingt sinnvoll. Z.B. %u, wenn ident Auflösungen ausgeschaltet sind 06.00.2003 20:02

Name  DisplayReadme    Syntax DisplayReadme filename or pattern  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_readme   Standard  Ab Version 1.2.0pre8  Beschreibung Die "DisplayReadme" Anweisung unterrichtet den User von der letzten Änderung einer (oder mehrerer) Dateien. Pro Konfiguration darf nur eine "DisplayReadme" Anweisung benutzt werden.  Beispiel 1 DisplayReadme README  ergibt:  Please read the File README it was kast modified on SUN Oct 17 10:36:14 1999 - 0 days ago   Beispiel 2 DisplayReadmePattern README*  ergibt:  Please read the file README it was last modified on Tue Jan 25 04:47:48 2000 - 0 days ago  Please read the file README.first it was last modified on Tue Jan 25 04:48:04 2000 - 0 days ago 07.00.2003 19:02

Name  ExtendedLog    Syntax ExtendedLog [ filename [[command-classes] format-nickname]]  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_log   Ab Version 1.1.6pl1  Beschreibung Die "ExtendedLog" Anweisung erlaubt die Erstellung von individuellen Logfiles, entweder Global oder per Virtuellen Host. Der Dateiname muss einen absoluten Pfad enthalten, an dem proftpd die Logs anhängt bzw. erstellt. Es können mehrere Logfiles (sinnvollerweise mit anderen Anweisungen) erstellt werden. Außerdem, kann mittels des "command-classes" Arguments angegeben werden, welche Art von Befehlen mit geloggt werden. Wenn keine Befehls Klasse angegeben ist, werden standardmäßig alle Befehle geloggt (Passwörter sind versteckt). Die Befehls Klassen werden durch Komma (kein (!!) Leerzeichen) getrennt. Folgende Befehls Klassen sind zulässig: NONE - keine Befehle AUTH - Authenfizierungs Befehle (USER, PASS) INFO - Informelle Befehle (PWD, SYST, usw.) DIRS - Verzeichnis Befehle (LIST, CWD, MKD, usw.) READ - Lesen (RETR) WRITE - Schreiben (erstellen,löschen,schreiben von Verzeichnisse und Dateien) MISC - Verschiedene Befehle (SITE, usw) ALL - Alle Befehle (STANDARD !) Wenn eine Format Beschreibung übergeben wird, wird dieses vordefiniertes Format übernommen (erstellt durch LogFormat). Ansonsten wird das Standard Format von "%h %l %u %t %r %s %b" benutzt. siehe Außerdem: LogFormat, TransferLog  Beispiel 1 # alle Lesende und Schreibende Zugriffe zu /var/log/ftp.log ExtendedLog /var/log/ftp.log read,write  06.00.2003 20:02

Name  FileRatioErrMsg    Syntax FileRatioErrMsg foo1 foo2 foo3  Kontext <Anonymous> <Limit> .ftpaccess <Directory>  Modul mod_ratio   Ab Version 1.2.0  Beschreibung The FileRatioErrMsg directive .... INCOMPLETE  Beispiel 1 FileRatioErrMsg 06.00.2003 20:02

Name  FooBarDirective    Syntax FooBarDirective thingy  Kontext Server config <Anonymous> <Limit>  Modul mod_sample   Ab Version 1.2.0  Beschreibung Die "FooBarDirective" hat keine Aufgabe und ist nur als Programmierbeispiel gedacht 06.00.2003 20:02

Name  Group    Syntax Group groupid  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Ab Version 0.99.0  Beschreibung Die "Group" Anweisung gibt an, in welcher gruppe der "PROFTPD" Server läuft. Siehe USER für mehr Details 06.00.2003 20:02

Name  GroupOwner    Syntax GroupOwner groupname  Kontext <Anonymous> .ftpaccess <Directory>  Modul mod_core   Ab Version 0.99.0  Beschreibung The GroupOwner directive configures which group all newly created directories and files will be owned by, within the context that GroupOwner is applied to. The group ID of groupname cannot be 0. Note that GroupOwner cannot be used to override the host OS/file system user/group paradigm. If the current user is not a member of the specified group, new files and directories will not be able to be chown()ed to the GroupOwner group. If this happens, file STOR (send file from client to server) and MKD (mkdir) operations will succeed normally, however the new directory entries will be owned by the current user's default group (a warning message is also logged) instead of by the desired group. If you also use UserOwner in the same context, this restriction is lifted. 06.00.2003 20:02

Name  GroupPassword    Syntax GroupPassword groupid hashed-password  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Ab Version 0.99.0pl5  Beschreibung The GroupPassword directive creates a special "group" password which allows all users in the specified group to authenticate using a single password. The group/password supplied is only effective inside the context to which GroupPassword is applied. The hashed-password argument is a standard cleartext password which has been passed through the standard unix crypt() library function. Extreme care should be taken when using GroupPassword, as serious security problems may arise if group membership is not carefully controlled. See Also: UserPassword 06.00.2003 20:02

Name  GroupRatio    Syntax GroupRatio foo1 foo2 foo3  Kontext <Anonymous> <Limit> .ftpaccess <Directory>  Modul mod_ratio   Ab Version 1.2.0  Beschreibung The GroupRatio directive .... INCOMPLETE 06.00.2003 20:02

Name  HideGroup    Syntax HideGroup groupid  Kontext <Anonymous> <Directory>  Modul mod_core   Ab Version 0.99.0  Beschreibung Die "HideGroup" Anweisung gibt innerhalb eines <Directory> oder <Anonymous> Block an, daß alle Verzeichnis Einträge der angegebenen Gruppe versteckt werden sollen, außer daß der aktuell einloggte User selbst zu der Gruppe gehört. Außerdem: Es werden zwar versteckte Dateien per "List" oder "Nlst" nicht angezeigt, können jedoch mittels anderer FTP Befehle (CWD, DELE, RETR, usw.) bearbeitet werden. Dieses Verhalten kann mittels der "IgnoreHidden" Anweisung geändert werden. Siehe: HideGroup, HideNoAccess, IgnoreHidden 06.00.2003 20:02

Name  HideNoAccess    Syntax HideNoAccess on|off  Kontext <Anonymous> <Directory>  Modul mod_core   Ab Version 0.99.0  Beschreibung Die "HideNoAccess" Anweisung stellt innerhalb eines <Directory> oder <Anonymous> Blocks ein, daß alle eine Einträge in einem Verzeichnis nicht gelistet werden (per LIST oder NLST FTP Befehl), zu denen der aktuell eingeloggte User keinen Zugang hat. Die normalen Unix Zugangsbeschränkungen greifen weiterhin, sollte der User auf eine nicht angezeigten Eintrag blind zugreifen, würde er eine "Permission Denied" Fehlermeldung erhallten. In Verbindung mit der "IgnoreHidden" Anweisung können die Einträge vollständig unsichtbar für alle FTP Befehle gemacht werden. Außerdem: HideUser, HideGroup, IgnoreHidden 06.00.2003 20:02

Name  HideUser    Syntax HideUser userid  Kontext <Anonymous> <Directory>  Modul mod_core   Ab Version 0.99.0  Beschreibung Die "HideUser" Anweisung gibt innerhalb eines <Directory> oder <Anonymous> Block an, daß alle Verzeichnis Einträge des angegebenen Users versteckt werden sollen, außer daß der User selbst eingeloggt ist. Außerdem: Es werden zwar versteckte Dateien per "List" oder "Nlst" nicht angezeigt, können jedoch mittels anderer FTP Befehle (CWD, DELE, RETR, usw.) bearbeitet werden. Dieses Verhalten kann mittels der "IgnoreHidden" Anweisung geändert werden. Siehe: HideGroup, HideNoAccess, IgnoreHidden 06.00.2003 20:02

Name  HostRatio    Syntax HostRatio foo1 foo2 foo3  Kontext <Anonymous> <Limit> .ftpaccess <Directory>  Modul mod_ratio   Ab Version 0.99.0  Beschreibung The HostRatio directive .... INCOMPLETE 06.00.2003 20:02

Name  HostsAllowSyslogLevel    Syntax HostsAllowSyslogLevel facility-level  Kontext Server config <VirtualHost> <Anonymous>  Modul mod_wrap   Ab Version 1.2.0  Beschreibung Proftpd can log when a connection is allowed as the result of a rule in the file specified in UseHostsAllowFile to the Unix syslog mechanism. A discussion on the facility levels which can be used is given in the SyslogFacility directive. See Also: HostsDenySyslogLevel  Beispiel 1 HostsAllowSyslogLevel local3 06.00.2003 20:02

Name  HostsDenySyslogLevel    Syntax HostsDenySyslogLevel facility-level  Kontext Server config <VirtualHost> <Anonymous>  Modul mod_wrap   Ab Version 1.2.0  Beschreibung Proftpd can log when a connection is rejected as the result of a rule in the file specified in UseHostsAllowFile to the Unix syslog mechanism. A discussion on the facility levels which can be used is given in the SyslogFacility directive 06.00.2003 20:02

Name  IdentLookups    Syntax IdentLookups on|off  Kontext Server config <Global> <VirtualHost>  Modul mod_core   Standard on  Ab Version 1.1.5  Beschreibung Normally, when a client initially connects to proftpd, the ident protocol (RFC1413) is used to attempt to identify the remote username. This can be controlled via the IdentLookups directive. 06.00.2003 20:02

Name  IgnoreHidden    Syntax IgnoreHidden on|off  Kontext <Limit>  Modul mod_core   Standard off  Ab Version 0.99.0  Beschreibung Normalerweise, können mittels den Anweisungen "HideNoAccess", "HideUser" oder "HideGroup" versteckte Dateien durch alle FTP Befehle angesprochen werden. Auch wenn auf die Dateien nicht zugegriffen werden kann, so erhält der Benutzer doch eine "Permission Denied" Meldung, die anzeigt, daß die Datei tatsächlich existiert. Gibt man nun die "IgnoreHidden" Anweisung in einem <Limit> Block an, so werden versteckte Dateien (und Verzeichnisse) komplett für FTP Befehle ignoriert. Greift man nun auf eine versteckte Datei zu, so bekommt man die Fehlermeldung "No Such File Or Directory". 06.00.2003 20:02

Name  Include    Syntax Include file  Kontext Server config <Global> <VirtualHost> <Anonymous> <Limit> <Directory>  Modul mod_core   Ab Version 1.2.0  Beschreibung Diese Anweisung erlaubt das Einbinden anderer Konfigurations Dateien in die eigentliche Config Datei 06.00.2003 20:02

Name  LDAPAuthBinds    Syntax LDAPAuthBinds on|off  Kontext Server config <Global> <VirtualHost>  Modul mod_ldap   Standard LDAPAuthBinds off in mod_ldap <= 2.7.6, LDAPAuthBinds on in mod_ldap >= 2.8  Ab Version mod_ldap v2.5  Beschreibung Specifies whether to use authenticated binds. Normally, a privileged LDAP DN will be used to bind to the LDAP server to obtain user information, including the userPassword attribute. If LDAPAuthBinds is set to on, the DN specified by LDAPDNInfo will be used to fetch all user information except the userPassword attribute. Then, mod_ldap will bind to the LDAP server as the user who is logging in via FTP with the user-supplied password. If this bind succeeds, the user is considered authenticated and is allowed to log in. This method of LDAP authentication has the added benefit of supporting any password encryption scheme that your LDAP server supports 06.00.2003 20:02

Name  LDAPDefaultAuthScheme    Syntax LDAPDefaultAuthScheme crypt|clear  Kontext Server config <Global> <VirtualHost>  Modul mod_ldap   Standard crypt  Ab Version mod_ldap v2.0  Beschreibung Specifies the authentication scheme used for passwords with no in the LDAP database. For example, if you are using something like userPassword: mypass in your LDAP database, you would want to set LDAPDefaultAuthScheme to clear 06.00.2003 20:02

Name  LDAPDefaultGID    Syntax LDAPDefaultGID default-gid  Kontext Server config <Global> <VirtualHost>  Modul mod_ldap   Ab Version mod_ldap v2.0  Beschreibung This directive is useful primarily in virtual-user environments common in large-scale ISPs and hosting organizations. If a user does not have a LDAP gidNumber attribute, the LDAPDefaultGID is used. This allows one to have a large number of users in an LDAP database without gidNumber attributes; setting this configuration directive will automatically assign those users a single GID. 06.00.2003 20:02

Name  LDAPDefaultUID    Syntax LDAPDefaultUID default-uid  Kontext Server config <Global> <VirtualHost>  Modul mod_ldap   Ab Version mod_ldap v2.0  Beschreibung This directive is useful primarily in virtual-user environments common in large-scale ISPs and hosting organizations. If a user does not have a LDAP uidNumber attribute, the LDAPDefaultUID is used. This allows one to have a large number of users in an LDAP database without uidNumber attributes; setting this configuration directive will automatically assign those users a single UID. 06.00.2003 20:02

Name  LDAPDNInfo    Syntax LDAPDNInfo "ldap-dn" "dn-password"  Kontext Server config <Global> <VirtualHost>  Modul mod_ldap   Standard " " (anonymous bind)  Ab Version mod_ldap v2.0  Beschreibung This directive specifies the LDAP DN and password to use when binding to the LDAP server. If this configuration directive is not specified, anonymous binds are used. 06.00.2003 20:02

Name  LDAPDoAuth    Syntax ?  Kontext  Modul  Ab Version 0.99.0  Beschreibung Noch kein Eintrag 06.00.2003 20:02

Name  LDAPDoGIDLookups    Syntax ?  Kontext  Modul  Ab Version 0.99.0  Beschreibung Noch kein Eintrag 06.00.2003 20:02

Name  LDAPDoUIDLookups    Syntax ?  Kontext  Modul  Ab Version 0.99.0  Beschreibung Noch kein Eintrag 06.00.2003 20:02

Name  LDAPForceDefaultGID    Syntax ?  Kontext  Modul  Ab Version 0.99.0  Beschreibung Noch kein Eintrag 06.00.2003 20:02

Name  LDAPForceDefaultUID    Syntax ?  Kontext  Modul  Ab Version 0.99.0  Beschreibung Noch kein Eintrag 06.00.2003 20:02

Name  LDAPHomedirOnDemand    Syntax LDAPHomedirOnDemand on|off directory-mode  Kontext Server config <Global> <VirtualHost>  Modul mod_ldap   Standard  Ab Version mod_ldap v2.0  Beschreibung LDAPHomedirOnDemand activates on-demand home directory creation. If a user logs in and does not yet have a home directory, a home directory is created automatically. The home directory will be owned by the same user and group that ProFTPD is running as (see the User and Group configuration directives). The second argument allows you to specify the mode (default permissions) to use when creating home directories on demand. If no directory mode is specified, the default of 0755 is used. Directory mode setting is only supported in mod_ldap v2.7 or later. 06.00.2003 20:02

Name  LDAPHomedirOnDemandPrefix    Syntax ??  Kontext  Modul  Standard ??  Ab Version 0.99.0  Beschreibung Noch kein Eintrag  Beispiel 1  Beispiel 2 06.00.2003 20:02

Name  LDAPHomedirOnDemandPrefixNoUsername    Syntax ?  Kontext  Modul  Ab Version 0.99.0  Beschreibung Noch kein Eintrag 06.00.2003 20:02

Name  LDAPHomedirOnDemandSuffix    Syntax LDAPHomedirOnDemandSuffix "additional-directory"  Kontext Server config <Global> <VirtualHost>  Modul mod_ldap   Standard ""  Ab Version mod_ldap v2.6  Beschreibung LDAPHomedirOnDemandSuffix allows you to specify an additional directory to be created within a user's home directory when it is created on demand. For example, if a user's home directory is "/home/user", setting this configuration directive to "public_html" will also create "/home/user/public_html" on demand. To use this feature, you must also activate LDAPHomedirOnDemand in your configuration. 06.00.2003 20:02

Name  LDAPNegativeCache    Syntax LDAPNegativeCache on|off  Kontext Server config <Global> <VirtualHost>  Modul mod_ldap   Standard off  Ab Version mod_ldap v1.1  Beschreibung LDAPNegativeCache specifies whether or not to cache negative responses from the LDAP server when using LDAP for UID/GID lookups. This option is useful if you also use/are in transition from another authentication system; if there are many users in your old authentication system that aren't in the LDAP database, there can be a significant delay when a directory listing is performed as the UIDs not in the LDAP database are repeatedly looked up in an attempt to present usernames instead of UIDs in directory listings. With LDAPNegativeCache set to on, negative ("not found") responses from the LDAP server will be cached and speed will improve on directory listings that contain many users not present in the LDAP database. 06.00.2003 20:02

Name  LDAPQueryTimeout    Syntax LDAPQueryTimeout timeout-seconds  Kontext Server config <Global> <VirtualHost>  Modul mod_ldap   Standard default-api-timeout  Ab Version mod_ldap v2.0  Beschreibung Sets the timeout used for LDAP directory queries. The default is the default timeout used by your LDAP API 06.00.2003 20:02

Name  LDAPSearchScope    Syntax LDAPSearchScope onelevel|subtree  Kontext Server config <Global> <VirtualHost>  Modul mod_ldap   Standard subtree  Ab Version mod_ldap v2.6  Beschreibung Set the scope used for LDAP searches. The default setting, subtree, searches for all entries in the tree from the current level down. Setting this directive to onelevel searches only one level deep in the LDAP tree. 06.00.2003 20:02

Name  LDAPServer    Syntax LDAPServer "hostname1:port hostname2:port ..."  Kontext Server config <Global> <VirtualHost>  Modul mod_ldap   Standard localhost  Ab Version mod_ldap v1.0  Beschreibung LDAPServer allows you to to specify the hostname(s) and port(s) of the LDAP server(s) to use for LDAP authentication. If no LDAPServer configuration directive is present, the default LDAP servers specified by your LDAP API will be used 06.00.2003 20:02

Name  LeechRatioMsg    Syntax LeechRatioMsg foo1 foo2 foo3  Kontext <Anonymous> <Limit> .ftpaccess <Directory>  Modul mod_ratio   Ab Version 1.2.0  Beschreibung Diese Anweisung ist verhaltet, bitte benutzt "SQLConnectInfo" stattdessen Hiermit wird der mySQL Datenbanktreiber konfiguriert. Eine Verbindung zur Datenbank wird erst dann aufgebaut, wenn ein SQL Kommando es verlangt. Danach kann sie während der FTP Session aktiv sein, falls es das SQL Kommando verlant. Soll kein Passwort verwenden werden, so ist "" zu übergeben 06.00.2003 20:02

Name  LogFormat    Syntax LogFormat nickname "format-string"  Kontext Server config  Modul mod_log   Standard default "%h %l %u %t %r %s %b"  Ab Version 1.1.6pl1  Beschreibung Die "LogFormat" Anweisung kann benutzt werden, um spezielle Logs zu erstellen. Jedes definierte Log kann einen Namen erhalten, welcher dann spaeter dazu benutzt werden kann, welches dann später in Verbindung mit "Extended" Log fas eigentlich Loggen durchführt. Im "Logformat" sind die einzelnen Werte durch Platzhalter anzugeben: %A : Anonymous username (password given), or UNKNOWN if non- anonymous %b : Bytes sent for request %f : Filename stored or retrieved, absolute path (not chrooted) %F : Filename stored or retrieved, as the client sees it %e : Contents of environment variable FOOBAR. Note that the server does not set any environment variables itself. %h : Remote host name %a : Remote IP address %l : Remote username (from ident), or UNKNOWN if ident lookup failed %m : Command (method) name received from client, e.g., RETR %p : Local server port number %v : Local server name %P : Local server process id (pid) %r : Full command line received from client %t : Current local time %t : Current local time formatted (strftime(3) format) %T : Time taken to transmit/ receive file, in seconds %s : Numeric FTP response code (status) %u : Local authenticated userid Aussserdem: http://www.proftpd.de/26.0.html, ExtendedLog, TransferLog  Beispiel 1 # Some logging formats LogFormat default "%h %l %u %t \"%r\" %s %b" LogFormat auth "%v [%P] %h %t \"%r\" %s" LogFormat write "%h %l %u %t \"%r\" %s %b" # Log file/dir access ExtendedLog /var/log/proftpd.access_log WRITE,READ write # Record all logins ExtendedLog /var/log/proftpd.auth_log AUTH auth # Paranoia logging level.... ExtendedLog /var/log/proftpd.paranoid_log ALL default   Beispiel 2 02.00.2004 05:01

Name  LoginPasswordPrompt    Syntax LoginPasswordPrompt on|off  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_auth   Standard on  Ab Version 1.2.0pre1  Beschreibung Wenn auf "off" gesetzt überspringt ProFTPD die Password Abfrage, falls der Login sowieso (auch bei richtigem Password) verweigert wird. Dieses kann z.B. passieren, wenn durch <Limit Login> die Anmeldung untersagt ist.  Beispiel 1  Beispiel 2 02.00.2004 04:01

Name  MasqueradeAddress    Syntax MasqueradeAddress ip-address|dns-hostname  Kontext Server config <VirtualHost>  Modul mod_core   Standard  Ab Version 1.2.2  Beschreibung Die "MasqueradeAddress" Anweisung ist sehr wichtig, wenn man seinen FTP Server hinter einem Router betreibt. Die bei passiven Transfer erzeugten Port Kommandos werden naemlich aufgrund der IP des Rechners erzeugt. Befindet sich der FTP Server nun nur im lokalen Netz, werden die PORT Befehle eine IP ala "192.168.43.44" enthalten, die natuerlich vom Client Rechner nicht verstanden werden kann. Mit "MasqueradeAddress" kann man nun eine alternative Adresse angeben, die stattdessen benutzt wird. Die Angabe kann auch als FQDN angegeben werden, dann ist jedoch zu beachten, dass diese nur einmal beim start von ProFTPD aufgeschluesselt wird. Bei dynamischen IPs kann man den Server per INETD betreiben, so dass beim jedem Start einer Verbindung die IP aufgeloest wird.  Beispiel 1 MasqueradeAddress natbox.example.com  Beispiel 2 MasqueradeAddress 213.133.103.252 02.00.2004 03:01

Name  MaxClients    Syntax MaxClients number | none [message]  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Ab Version 0.99.0  Beschreibung Mit der "MaxClients" Anweiseung wird die maximale Anzahl der angemeldeten Clients (inklusive anonymen Zugang) beim Server angegeben. Ist dieses Limit erreicht, werden neuen Verbindungen beim Anmelden unterbrochen. Die spezielle Angabe "none" entfernt alle Verbindungsbeschränkungen. Es kann eine optionale Nachricht übergeben werden, die dem Client unmittelbar vor dem Abbruch der Verbindung angezeigt wird, falls der Maximalwert erreicht wird. Als Platzhalter kann "%m" in der Nachricht übergeben werden, die die maximale Anzahl enthält. Wirdd keine Nachricht übergeben, so wird die Standard Meldung benutzt. Beispiel: MaxClients 5 "Sorry, es sind bereits %m User Verbunden" Results in: 530 Sorry, es sind bereits 5 User Verbunden 06.00.2003 20:02

Name  MaxClientsPerHost    Syntax MaxClientsPerHost number|none [message]  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Standard  Ab Version 1.1.7  Beschreibung Die "MaxClientsPerHost" Anweisung konfiguriert die Maximale Anzahl von Clients, die sich von einem Rechner einloggen können. Optional kann angegeben werden, welche Nachricht dem Client geschickt werden soll, falls die maximale Anzahl erreicht ist. Wenn keine Nachricht angegeben wird, wird die Systemweite Standardnachricht benutzt.  Beispiel 1 Beispiel:  MaxClientsPerHost 1 "Bitte nicht öfters als 1x verbinden"  Ergebnis: 530 Bitte nicht öfters als 1x verbinden  Beispiel 2 02.00.2004 05:01

Name  MaxHostsPerUser    Syntax MaxHostsPerUser number|none [message]  Kontext <Global> <VirtualHost> <Anonymous>  Modul mod_core   Standard  Ab Version 1.2.4  Beschreibung Durch die "MaxHostsPerUser" kann man angeben, von wie vielen unterschiedlichen Rechnern sind ein Username gleichzeitig einloggen kann. Optional kann noch eine Fehlermeldung angegeben werden, die der Client im Fehlerfall angezeigt bekommst. Wird diese nicht angegeben, dann wird die Standard Meldung angeziegt: "Sorry, the maximum number of hosts (%m) for this user already connected."  Beispiel 1  Beispiel 2 02.00.2004 05:01

Name  MaxInstances    Syntax MaxInstances number  Kontext Server config  Modul mod_core   Ab Version 1.1.6pl1  Beschreibung Die "MaxInstances" Anrweisung gibt an, wie viele Child Prozesse vom Haupt PROFTPD Prozess im Standalone Modus erzeugt werden können. Diese Anweisen hat keine Auswirkung, wenn man den Server im Inetd Modus betreibt. Da jeder Tochterprozess auch eine einzelne Verbindung mit einem Client darstellt, kontrolliert diese Anweisung auch die maximale Anzahl gleichzeitiger Verbindungen. Über diese Anzahl hinausgehende Verbindungen werden mit syslogd protokolliert und ohne Meldung beendet. Diese Anweisung kann dazu verwendet werden, Denial-Of-Service Attacken zu verhindern, die durch unmengen von Verbindungsaufrufen eine "Fork-Bomb" erzeugen wollen. 06.00.2003 20:02

Name  MaxLoginAttempts    Syntax MaxLoginAttempts number  Kontext Server config <Global> <VirtualHost>  Modul mod_core   Standard 3  Ab Version 0.99.0  Beschreibung Die "MaxLoginAttempts" Anweisen gibt an, wie ein Benutzer versuchen kann sich anzumelden. Nachdem die Anzahl (erfolglos) erreicht ist, wird der Benutzer getreennt und eine Mitteilung wird mittels syslog protokolliert. 06.00.2003 20:02

Name  MultilineRFC2228    Syntax MultilineRFC2228 on|off  Kontext Server config  Modul mod_core   Standard off  Ab Version 1.2.0pre3  Beschreibung Normalerweise, sendet PROFTPD mehrzeilige Antworten im per RFC 959 festgelegten Format. Beispiel: 200-erste Zeile weitere Zeilen 200-letzte Zeile In der RFC 2228 wird festgelegt, daß "6xx" Antworten wie folgt gesendet werden: Beispiel: 600-erste Zeile 600-weitere Zeilen 600-letzte Zeile Die RFC 2228 legt normalerweise nur fest, daß nur Antworten beginnend mit "6" so abgewickelt werden. Ist diese Anweisung aktiv, werden alle Antworten in diesem Format gesendet, was kompatibler mit einigen Browsern und FTP Clients ist. Diese Anweisung entspricht NICHT den wu-ftpd's mehrzeiligen Antworten, die keiner RFC entsprechen. Diese Methode von PROFTPD scheint mit allen Clients zu funktionieren, da sie jedoch nicht 100% RFC konform ist, ist die per Standard nicht aktiviert. 06.00.2003 20:02

Name  Order    Syntax Order allow,deny|deny,allow  Kontext <Limit>  Modul mod_core   Standard allow,deny  Ab Version 0.99.0pl6  Beschreibung The Order directive configures the order in which Allow and Deny directives are checked inside of a <Limit> block. Because Allow directives are permissive, and Deny directives restrictive, the order in which they are examined cans ignificantly alter the way security functions. If the default setting of allow,deny is used, "allowed" access permissions are checked first. If an Allow directive explicitly allows access to the <Limit> context, access is granted and any Deny directives are never checked. If Allow did not explicitly permit access, Deny directives are checked. If any Deny directive applies, access is explicitlyd enied. Otherwise, access is granted. When deny,allow is used, "deny" access restrictions are checked first. If any restriction applies, access is denied immediately. If nothing is denied, Allow permissions are checked. If an Allow explicitly permits access, access to the entire context is permitted; otherwise access is implicitly denied. For clarification, the following illustrates the steps used when checking Allow/Deny access: Order allow,deny Check Allow directives. If one or more apply, exit with result: ALLOW Check Deny directives. If one or more apply, exit with result: DENY Exit with default implicit ALLOW Order deny,allow Check Deny directives. If one or more apply, exit with result: DENY Check Allow directives. If one or more apply, exit with result: ALLOW Exit with default implicit: DENY 06.00.2003 20:02

Name  PassivePorts    Syntax PassivePorts min-pasv-port max-pasv-port  Kontext Server config <Global> <VirtualHost>  Modul mod_core   Ab Version 1.2.0rc3  Beschreibung PassivePorts restricts the range of ports from which the server will select when sent the PASV command from a client. The server will randomly choose a number from within the specified range until an open port is found. Should no open ports be found within the given range, the server will default to a normal kernel-assigned port, and a message logged. The port range selected must be in the non-privileged range (eg greater than or equal to 1024); it is STRONGLY RECOMMENDED that the chosen range be large enough to handle many simultaneous passive connections (for example, 49152-65534, the IANA- registered ephemeral port range). 06.00.2003 20:02

Name  PathAllowFilter    Syntax PathAllowFilter regular-expression  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Standard  Ab Version 1.1.7  Beschreibung Die "PathAllowFilter" Anweisung erlaubt das Überprüfen des Namen vor dem uploaden mit Hilfe regulärer Ausdrücke. Der reguläre Ausdruck wird gegen der gesamten, vom Client übermittelten Angabe geprüft. Angaben die dem regulären Ausdruck NICHT entsprechen werden durch "Forbidden filename" an den Client angelehnt. Sollte der reguläre Ausdruck SPACE " " enthalten, so muss dieses in Anführungszeichen gesetzt werden.  Beispiel 1 # Only allow filenames containing alphanumeric characters  PathAllowFilter ".*/[a-zA-Z0-9]+$"  Beispiel 2 02.00.2004 03:01

Name  PathDenyFilter    Syntax PathDenyFilter regular-expression  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Standard  Ab Version 1.1.7  Beschreibung Ähnlich der "PathAllowFilter" Anweisung, verbietet die "PathDenyFilter" Anweisung einen Namen. Sollte der reguläre Ausdruck zutreffen, so wird "Forbidden filename" an den Client gesendet. Dieses kann z.B. genutzt werden, um .ftpaccess oder .htaccess Files zu verhindern.  Beispiel 1 # Verhindert Files mit ausfuehrbaren Dateiendungen PathDenyFilter "\.(js|vbs|shs|scr|exe)$"  # Verhindert alle Files mit führendem Punkt oder Strich PathDenyFilter "(^|/)[-.]"  # Verhindert alle beiden Möglichkeiten PathDenyFilter "((^|/)[-.])| (\.(js|vbs|shs|scr|exe)$)"   Beispiel 2 02.00.2004 03:01

Name  PersistentPasswd    Syntax PersistentPasswd on|off  Kontext Server config  Modul mod_unixpw   Standard Platform dependent  Ab Version 1.1.5  Beschreibung The PersistentPasswd directive controls how proftpd handles authentication, user/group lookups, and user/group to name mapping. If set to On, proftpd will attempt to open the system-wide /etc/passwd, /etc/group (and /etc/shadow, potentially) files itself, holding them open even during a chroot()ed login (note that /etc/shadow is never held open, for security reasons). On some platforms, you must turn this option on, as the libc functions are incapable of accessing these databases from inside of a chroot(). At configure- time, the configuration script will attempt to detect whether or not you need this support, and make it the default. However, such "guessing" may fail, and you will have to manually enable or disable the feature. If you cannot see user or group names when performing a directory listing inside an anonymous chrooted login, this indicates you must enable the directive. Use of the AuthUserFile or AuthGroupFile directives will force partial support for persistent user or group database files; regardless of PersistentPasswd's setting. Note: NIS or NIS+ users will most likely want to disable this feature, regardless of proftpd's detected configuration defaults. Failure to disable this will make your NIS/NIS+ maps not work! 06.00.2003 20:02

Name  PidFile    Syntax PidFile filename  Kontext Server config <Global>  Modul mod_core   Ab Version 1.2.0rc2  Beschreibung Die "PidFile" Anweisung übergibt die Datei, in die der Server die Prozess ID vom PROFTPD Dämon schreibt. Der Filenamen muss relativ zum Root Verzeichnis angegeben werden, z.B: /var/log/proftpd/pidfile. Das PidFile Wird nur im Standalone Modus verwendet. Machmal ist es sinnvoll, dem Server eine Nachricht zu senden, daß er die Logs schliessen und wieder öffnen soll, bzw. die Konfigurationsdatei neu einzulesen. Dieses wird durch ein SIGHUP (kill -1) Signal an die Prozess ID vom Master Dämon in dem PidFile bewerkstelligt. 06.00.2003 20:02

Name  Port    Syntax Port port-number  Kontext Server config <VirtualHost>  Modul mod_core   Standard 21  Ab Version 0.99.0  Beschreibung Die "Port"-Anweisung gibt an, auf welchen Port der Server im Standalone auf ankommende Verbindung lauscht. Die Anweisung hat keine Funktion im inetd Modus. Diese Anweisung kann auch in Verbindung mit <VirtualHost> benutzt werden, um verschiedene FTP Server auf einer IP, jedoch auf verschiedene Ports, zu betreiben. 06.00.2003 20:02

Name  RatioFile    Syntax RatioFile foo1 foo2 foo3  Kontext <Anonymous> <Limit> .ftpaccess <Directory>  Modul mod_ratio   Ab Version 1.2.0  Beschreibung The RatioFile directive .... INCOMPLETE 06.00.2003 20:02

Name  Ratios    Syntax Ratios foo1 foo2 foo3  Kontext <Anonymous> <Limit> .ftpaccess <Directory>  Modul mod_ratio   Ab Version 1.2.0  Beschreibung The Ratios directive .... INCOMPLETE 06.00.2003 20:02

Name  RatioTempFile    Syntax RatioTempFile foo1 foo2 foo3  Kontext <Anonymous> <Limit> .ftpaccess <Directory>  Modul mod_ratio   Ab Version 1.2.0  Beschreibung INCOMPLETE 06.00.2003 20:02

Name  RequireValidShell    Syntax RequireValidShell on|off  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Standard on  Ab Version 0.99.0  Beschreibung The RequireValidShell directive configures the server, virtual host or anonymous login to allow or deny logins which do not have a shell binary listed in /etc/shells. By default, proftpd disallows logins if the user's default shell is not listed in /etc/shells. If /etc/shells cannot be found, all default shells are assumed to be valid. 06.00.2003 20:02

Name  RLimitCPU    Syntax RLimitCPU soft-limit|"max" [hard-limit|"max"]  Kontext Server config  Modul mod_core   Ab Version 1.2.2  Beschreibung RLimitCPU takes 1 or 2 parameters. The first parameter sets the soft resource limit for all proftpd processes. The optional second parameter sets the maximum resource limit. Either parameter can be a number, or max to indicate to the server that the limit should be set to the maximum allowed by the operating system configuration. 06.00.2003 20:02

Name  RLimitMemory    Syntax RLimitMemory [ RLimitMemory ["daemon"|"session"|"none"] soft-limit[units]|"max" [hard-limit[units]|"max"]]  Kontext Server config  Modul mod_core   Ab Version 1.2.2  Beschreibung RLimitMemory takes 1 or 2 parameters. The first parameter sets the soft resource limit for all proftpd processes. The optional second parameter sets the maximum resource limit. Either parameter can be a number, or max to indicate to the server that the limit should be set to the maximum allowed by the operating system configuration. Memory resource limits are expressed in bytes per process. An optional case-insensitive units specifier may follow the number of bytes given: G (Gigabytes), M (Megabytes), K (Kilobytes), or B (bytes). If the units specifier is used, the given number of bytes is multiplied by the appropriate factor. 06.00.2003 20:02

Name  RLimitOpenFiles    Syntax RLimitOpenFiles soft-limit|"max"  Kontext Server config  Modul mod_core   Ab Version 1.2.2  Beschreibung RLimitOpenFiles takes 1 or 2 parameters. The first parameter sets the soft resource limit for all proftpd processes. The optional second parameter sets the maximum resource limit. Either parameter can be a number, or max to indicate to the server that the limit should be set to the maximum allowed by the operating system configuration. 06.00.2003 20:02

Name  RootLogin    Syntax RootLogin on|off  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_auth   Standard off  Ab Version 1.1.5  Beschreibung Normalerweise erlaubt ProFTPD keine Anmeldung als Root. Sollte ein Client dieses Versuchen und dabei das richtige Password benutzen, wird per syslog eine Meldung verschickt, die Anmeldung aber (natuerlich) verweigert. Mit dieser Anweisung kann man nun root erlauben, sich ebenfalls per FTP anzumelden. Anmerkung: Bei FTP wird das Passwort unverschluesselt uebertragen. Wer dieses ernsthaft bei einem Server erlaubt, kann genauso gut wieder auf Windows 98 umsteigen und alle Verzeichnisse freigeben.  Beispiel 1  Beispiel 2 01.-1.2003 22:01

Name  SaveRatios    Syntax SaveRatios foo1 foo2 foo3  Kontext <Anonymous> <Limit> .ftpaccess <Directory>  Modul mod_ratio   Ab Version 1.2.0  Beschreibung INCOMPLETE 06.00.2003 20:02

Name  ServerAdmin    Syntax ServerAdmin "admin-email-address"  Kontext Server config <VirtualHost>  Modul mod_core   Standard root@[ServerName]  Ab Version 0.99.0pl10  Beschreibung The ServerAdmin directive sets the email address of the administrator for the server or virtualhost. This address is displayed in magic cookie replacements (see DisplayLogin and DisplayFirstChdir). 06.00.2003 20:02

Name  ServerIdent    Syntax ServerIdent off|on [identification string]  Kontext Server config <Global> <VirtualHost>  Modul mod_core   Standard ProFTPD [version] Server (server name) [hostname]  Ab Version 1.2.0pre2  Beschreibung The ServerIdent directive sets the default message displayed when a new client connects. Setting this to off displays "[hostname] FTP server ready." If set to on, the directive can take an optional string argument, which will be displayed instead of the default text. Sites desiring to give out minimal information will probably want a setting like ServerIdent on "FTP Server ready.", which won't even reveal the hostname. 06.00.2003 20:02

Name  ServerName    Syntax ServerName "name"  Kontext Server config <VirtualHost>  Modul mod_core   Standard ProFTPD Server [version]  Ab Version 0.99.0  Beschreibung The ServerName directive configures the string that will be displayed to a user connecting to the server (or virtual server if the directive is located in a <VirtualHost> block). See Also: <VirtualHost> 06.00.2003 20:02

Name  ServerType    Syntax ServerType type-identifier  Kontext Server config  Modul mod_core   Standard standalone  Ab Version 0.99.0  Beschreibung The ServerType directive configures the server daemon's operating mode. The type-identifier can be one of two values: inetd The daemon will expect to be run from the inetd "super server." New connections are passed from inetd to proftpd and serviced immediately. standalone The daemon starts and begins listening to the configured port for incoming connections. New connections result in spawned child processes dedicated to servicing all requests from the newly connected client. 06.00.2003 20:02

Name  ShowSymlinks    Syntax ShowSymlinks on|off  Kontext Server config <Global> <VirtualHost> <Anonymous>  Modul mod_core   Standard on  Ab Version 0.99.0pl6  Beschreibung Symbolic links (if supported on the host OS and filesystem) can be either shown in directory listings (including the target of the link) or can be "hidden" (proftpd dereferences symlinks and reports the target's permissions and ownership). The default behavior is to show all symbolic links when normal users are logged in, and hide them for anonymous sessions. If a symbolic link cannot be dereferenced for any reason (permissions, target does not exist, etc) and ShowSymlinks is off, proftpd displays the link as a directory entry of type 'l' (link) with the ownership and permissions of the actual link. Under ProFTPD versions 1.1.5 and higher, the default behavior in regard to ShowSymlinks has been changed so that symbolic links are always displayed as such (in all cases), unless ShowSymlinks off is explicitly set. 06.00.2003 20:02

Name  SocketBindTight    Syntax SocketBindTight on|off  Kontext Server config  Modul mod_core   Standard off  Ab Version 0.99.0pl6  Beschreibung The SocketBindTight directive controls how proftpd creates and binds its initial tcp listen sockets in standalone mode (see ServerType). The directive has no effect upon servers running in inetd mode, because listen sockets are not needed or created. When SocketBindTight is set to off (the default), a single listening socket is created for each port that the server must listen on, regardless of the number of IP addresses being used by <VirtualHost> configurations. This has the benefit of typically requiring a relatively small number of file descriptors for the master daemon process, even if a large number of virtual servers are configured. If SocketBindTight is set to on, a listen socket is created and bound to a specific IP address for the master server and all configured virtual servers. This allows for situations where an administrator may wish to have a particular port be used by both proftpd (on one IP address) and another daemon (on a different IP address). The drawback is that considerably more file descriptors will be required if a large number of virtual servers must be supported.  Beispiel 1 #Two servers have been configured (one master and one virtual),  #with the IP addresses 10.0.0.1 and 10.0.0.2, respectively.  #The 10.0.0.1 server runs on port 21, while 10.0.0.2 runs on port 2001.  SocketBindTight off # default proftpd creates two sockets, both bound to ALL available addresses.  # one socket listens on port 21, the other on 2001.  # Because each socket is bound to all available addresses,  #no other daemon or user process will be   # allowed to bind to ports 21 or 2001.  SocketBindTight on  # proftpd creates two sockets again, however one is bound to 10.0.0.1, port 21  # and the other to 10.0.0.2, port 2001. Because these sockets are "tightly"  # bound to IP addresses, port 21 can be reused on any address OTHER than  # 10.0.0.1, and visa-versa with 10.0.0.2, port 2001.  #One side-effect of setting SocketBindTight to on is that connections to  # non-bound addresses will result in a "connection refused" message #rather than the typical  # "500 Sorry, no server available to handle request on xxx.xxx.xxx.xxx.",  #due to the fact that no listen socket has been bound to the particular  # address/port pair. This may or may not be aesthetically desirable,  # depending on your circumstances. 06.00.2003 20:02

Name  SQLAuthenticate    Syntax SQLAuthenticate on|off oder SQLAuthenticate [ users [*] ] [ group [*] ] [ userset [fast] ] [ groupset [fast] ]  Kontext Server config <Global> <VirtualHost>  Modul mod_sql   Standard on  Ab Version mod_sql 4.x  Beschreibung SQLAuthenticate" kontrolliert das Verhalten von mod_sql. Die Anweisunggibt an, was authentifiziert werden soll (User und/oder Gruppen) und wie diese authentifiziert werden soll. Die Argumente können in jeder Reihenfolge übergeben werden. Folgende Möglichkeiten: on: Kurzfassung für 'SQLAuthenticate users groups userset groupset' off: Schaltet die mod_sql Abfragen aus. users[*]: Wenn angegeben, wird mod_sql User Abfragen durchführungen. Wenn ein Sternchen "*" [Users*] angehängt wird, dann wird mod_sql die exklusiveBenutzer Abfrage. Keine andere Authentifizierungs Maánahme (z.B. PAM) wird durchgeführt.Falls nicht vorhanden, wird mod_sql überhaupt keine User Abfragendurchführen, inklusive den "pwent" Aufrufen (siehe unten). groups[*]: Wenn angegeben, wird mod_sql Gruppen durchführen. Wenn einSternchen "*" angehängt wird, dann wird mod_sql die exklusive GruppenAbfrage.Falls nicht vorhanden, wird mod_sql überhaupt keine Gruppen Abfragedurchführen, inklusive den "grent" Aufrufen (siehe unten) userset[fast]: Wenn angegeben, mod_sql wird den eventuell aufwendigen "pwent" Aufruf durchführen. Falls nicht vorhanden, wird mod_sql dieseAbfragen nicht durchführen. Wird der Suffix "fast" angegeben, wird die Abfrage einmal für alle User durchgeführt, anstatt eine Abfrage pro User.Dieses verringert sie Anzahl der Abfragen deutlich, kostet jedoch Speicher. Dieses Argument hat keine Auswirkung, falls "users" nichtdefiniert wurde. groupset[fast] : Wenn angegeben, mod_sql wird den eventuell aufwendigen "grent" Aufruf durchführen. Falls nicht vorhanden, wird mod_sql dieseAbfragen nicht durchführen. Wird der Suffix "fast" angegeben, wird die Abfrage einmal für alle Gruppen durchgeführt, anstatt eine Abfrage pro Gruppe. Dieses verringert sie Anzahl der Abfragen deutlich, kostet jedoch Speicher. Dieses Argument hat keine Auswirkung, falls "groups" nicht definiert wurde. Anmerkung: Die 'SQLLog' und 'SQLShowInfo' Anweisungen werden immer von mod_sql abgearbeitet. Die 'SQLAuthenticate' Anweisung betrifft nur die Abfragen von "User" und "Group" durch das Modul. Durch abstellen (bzw. nicht einbinden) der User oder Gruppen abfragen, wird die Funktionalität von mod_sql beeinträchtigt. Hierdurch wird ggf. dieMöglichkeit der Zugriffskontrolle aufgrund von Gruppenzugehörigkeitverhindert. Dies ist jedoch Abhängig von anderen Möglichkeiten derAuthentifizierung. Jedoch nimmt die Geschwindigkeit der Authentifizerung deutlich zu, diese Abfragen nicht durchführt. Die "fast" Option ist nicht für jede Seite angebracht. Normalerweise, mod_sql empfängt eine Liste von Usern und Gruppen und bekommt die Informationen aus der Datenbank pro User oder pro Gruppe. Diese ist sehr Abfragen aufwendig - es benötigt (n+1) Abfragen, wobei "n" die Anzahlder User oder Gruppen ist. Wenn man die "Fast" Abfragen wählt, wird miteiner einzelnen SELECT Anfrage die Informationen aus der Datenbank geholt. Man erreicht zwar so eine dramatische Reduzierung der Abfragen, jedoch einendeutlich erhöhten Speicherbedarf, da alle User und Gruppen informationen aufeinmal gelesen werden, statt in kleinen Portionen. GROUP TABLE STRUKTUR Normalerweise mod_sql erlaubt mehrere Gruppen per Zeile undmehrere Zeilen pro Gruppe. Bei Verwendung der Fast Option fürGroupset, DARF es nur eine Zeile pro Gruppe geben.  Beispiel 1 Normalerweise behandelt mod_sql alle drei Tabellenxakt gleich.  |-----------------------------------------------|  | GROUPNAME | GID  | MEMBERS                    |  |-----------------------------------------------|  | Gruppe1   | 1000 | Stonki                     |  | Gruppe2   | 1000 | Paul                       |  | Gruppe3   | 1000 | Weller                     |  |-----------------------------------------------|  |-----------------------------------------------|  | GROUPNAME | GID  | MEMBERS                    |  |-----------------------------------------------|  | Gruppe1   | 1000 | Stonki, Paul               |  | Gruppe2   | 1000 | Weller                     |  |-----------------------------------------------|  |-----------------------------------------------|  | GROUPNAME | GID  | MEMBERS                    |  |-----------------------------------------------|  | Gruppe1   | 1000 | Stonki, Paul, Weller       |  |-----------------------------------------------|  Falls Du die "fast" Option benutzt, geht mod_sql davon aus,  dass alle Einträge wie im letzten Bespiel strukturiert sind. 06.00.2003 20:02

Name  SQLAuthTypes    Syntax SQLAuthTypes OpenSSL|Crypt|Backend|Plaintext|Empty  Kontext Server config <Global> <VirtualHost>  Modul mod_sql   Ab Version 1.2.0, mod_sql 3.x und 4.x  Beschreibung Diese Anweisung ersetzt: 'SQLEmptyPasswords', 'SQLScrambledPasswords', 'SQLSSLHashedPasswords', 'SQLPlaintextPasswords', 'SQLEncryptedPasswords'. Gibt die erlaubten Authentisierung Typen an und die Reihenfolge der überprüfung. Beachte: DU MUSST MINDESTENS EINE AUTHENTISIERUNGS METHODE ANGEBEN ! Falls keine Methode angegeben wird, werden mod_sql keine User authentisiert. Zum Beispiel: SQLAuthTypes Crypt Empty Überprüfe ob das Passwort in der Datenbank im UNIX crypt() Format gültig ist; wenn diese Abfrage nicht stimmt, überprüfe ob das Passwort in der Datenbank leer ist (ALLE Passwörter sind gültig); wenn dieses auch nicht simmt lehnt mod_sql die Authentisierung ab. Aktuelle Typen: 1) Plaintext: erlaubt Passwörter in der Datenbank als Klartext 2) OpenSSH: erlaubt Passwörter in der Datenbank in der Form "hashedvalue". Dieser Art der Authentisierung ist nur verfügbar, wenn ProFTPD mit dem Parameter 'HAVE_OPENSSL' compiliert wurde und mit der OpenSSL 'crypto' library gelinkt wurde. 3) Crypt: erlaubt Passwörter in in der Datenbank im UNIX crypt() Format 4) Backend: dieses ist eine Datenbank spezifische Lösung. Nicht alle Backends unterstützen dieses. Speziell die MySQL Datenbank benutzt diesen Typ um MySQL 'PASSWORD()' verschlüsselte Passwörter zu Authentisieren. Unter Progess passiert nichts. ACHTUNG: Wenn Dein MySQL Log lesbar ist, sind User Passwörter sichtbar ! 5) Empty: dieses erlaubt leere Passwörter in der Datenbank, die mit jedem Passwort übereinstimmen. Das Feldi n der Datenbank muss wirklich einen leeren String enthalten, NULL Werte werden nicht akzeptiert. SEI HIERMIT SEHR VORSICHTIG ! 06.00.2003 20:02

Name  SQLConnectInfo    Syntax SQLConnectInfo connection-info [username] [password]  Kontext Server config <Global> <VirtualHost>  Modul mod_sql   Ab Version 1.2.0, mod_sql 4.x  Beschreibung Diese Anweisung ersetzt 'MySQLInfo', 'PostgresInfo', 'PostgresPort' Gibt die Verbindungsinformationen an. Die Verbindungsinformationen geben die Datenbank, Host, port und andere Backend-spezifische Angaben. "Username" und "Password" geben den User an, mit dem an die Datenbank angemeldet werden soll. Die Standard Werte sind NULL, die das Backend in einer Backend spezifische Weise behandeln wird. Falls Du ein Passwort angibst, MUSST Du einen Usernamen angeben. Falls keine "SQLConnectInfo" Anweisung im Konfigurationsfile definiert ist, wird mod_sql sich selbst abschalten und niemand im Weg sein. Man hat dennoch natürlich keine Datenbank Unterstützung mehr. Jedes Backend hat die Möglichkeit (aber NICHT die Verpflichtung) beim Start von ProFTPD nach Syntax Fehlern bei den Verbindungsinformationen zu suchen. Du solltest aber nicht die Erkennung logische Fehler erwarten, bis mod_sql versucht sich mit dem Server zu verbinden. Eine Datenbank Verbindung wird beherscht von einer Methode, wann die Datenbankverbindungen geöffnet und geschlossen werden soll. Es gibt drei Möglichkeiten: PERSESSION : öffne die Datenbankverbindung beim Start der Session und schliesse die Verbindung am Ende der Verbindung. PERCALL : öffne die Datenbankverbindung für jede Abfrage und schliesse sie danach wieder. # (TIMED) : Zeitabhängige Verbindung, die sich nach # Sekunden inaktivität wieder schliesst. Die MySQL und Progess Backend Verbindung Info wird im folgenden Format erwartet: database[@hostname][:port] Der Hostname ist Standardmässig abhängig vom Datenbank Backend und ist bei MySQL und Progres jeweils "localhost". Der Port ist ebenfalls Backend Abhängig und ist bei MySQL: 3306 und bei Postgres: 5432.  Beispiel 1 #Versuche mit den Datanbank "ftpuser" zu verbinden  #am server "foo.com" auf dem Standard Port.  #Benutze als Usernamen und Passwort NULL.  #Benutze die PERSESSION Methode.  SQLConnectInfo ftpusers@foo.com  # Versuche mit der Datenbank "ftpuser" am Server  #"localhost" auf dem Port 3000 zu verbinden.  #Benutze den Usernamen "admin" und  #als Passwort NULL.  #Benutze die PERSESSION Methode.  SQLConnectInfo ftpusers:3000 admin  #Versuche mit der Datenbank "ftpuser" auf dem  #Server "foo.com", Port 3000 zu verbinden.  #Benutze dafür den Usernamen "admin" und das  # Passwort "mypassword". Benutze die PERCALL Methode.  SQLConnectInfo ftpusers@foo.com:3000 admin mypassword PERCALL  #Versuche mit der Datenbank "ftpuser" auf dem  #Server "foo.com", Port 3000 zu verbinden.  #Benutze dafür den Usernamen "admin" und  #das Passwort "mypassword". Begrenze die inaktive Zeit auf 30 sekunden SQLConnectInfo ftpusers@foo.com:3000 admin mypassword 30  06.00.2003 20:02

Name  SQLDefaultGID    Syntax SQLDefaultGID number  Kontext Server config <Global> <VirtualHost>  Modul mod_sql   Standard 65533  Ab Version 1.2.0, mod_sql 3.x und 4.x  Beschreibung Setzte die Standard GID. Muss grösser sein als SQLMinID 06.00.2003 20:02

Name  SQLDefaultHomedir    Syntax SQLDefaultHomedir /pfad/zum/home/dir  Kontext Server config <Global> <VirtualHost>  Modul mod_sql   Ab Version mod_sql 4.x  Beschreibung Gibt ein Standard Heimatverzeichniss für alle Benutzer an, die mit dem mod_sql Modul authentisiert werden, hautptsächlich jede "SQLHomedirField" Anweisung. Falls kein Heimatverzeichnis mit diesen Anweisungen gesetzt wird, scheitert die Anmeldung. Diese Anweisung ändert nicht ein ggf. in der Datenbank angegebenes Heimatverzeichnis. Wenn Du ein Feld für das Heimatverzeichnis in der SQLUserInfo angibst, werden diese Daten genommen, gleichgültig ob diese Daten ein gültiges Verzeichnis, eine leeren String oder NULL enthalten. 06.00.2003 20:02

Name  SQLDefaultUID    Syntax SQLDefaultUID number  Kontext Server config <Global> <VirtualHost>  Modul mod_sql   Standard 65533  Ab Version 1.2.0, mod_sql 3.x und 4.x  Beschreibung Setzt die Standard UID für User. Muss grösser als SQLMinUserUID sein 06.00.2003 20:02

Name  SQLGroupInfo    Syntax SQLGroupInfo grouptable groupname gid members  Kontext Server config <Global> <VirtualHost>  Modul mod_sql   Standard groups groupname gid members  Ab Version mod_sql 4.x  Beschreibung Definiert die Gruppentabelle und die Feldnamen. grouptable: Gibt den Namen der Tabelle an, die die Gruppeninformatationen enthält. groupname : Gibt das Feld an, daß den Gruppennamen enthält gid : Gibt das Feld an, daß den Gruppen ID (GID) members : Gibt das Feld an, daß die Gruppenmitglieder enthält. Solltest Du ein Feld umbenennen, so musst Du ALLE Felder angegeben 06.00.2003 20:02

Name  SQLGroupWhereClause    Syntax SQLGroupWhereClause whereclause  Kontext Server config <Global> <VirtualHost>  Modul mod_sql   Ab Version mod_sql 4.x  Beschreibung Gibt eine Abfrage an, die an jede Gruppen Abfrage angehängt wird. Die Abfrage muss alle relevanten Zeichen enthalten, jedoch KEIN führendes "and". Um eine Verwendung einmal zu demonstrieren, stelle Dir eine Gruppen Tabelle mit einem "zugang_ok" Feld vor: SQLUserWhereClause "zugang_ok= 'true'" würde an jede Gruppen relevante Abfragen folgenden String anhängen: " WHERE (zugang_ok = 'true')" 06.00.2003 20:02

Name  SQLHomedirOnDemand    Syntax SQLHomedirOnDemand on|off  Kontext Server config <Global> <VirtualHost>  Modul mod_sql   Standard off  Ab Version 1.2.0, mod_sql 3.x und 4.x  Beschreibung Gibt an, ob automatisch ein Heimatverzeichnis für einen User angelegt werden soll, falls es beim Login noch nicht existiert. 06.00.2003 20:02

Name  SQLLog    Syntax SQLLog cmd-set query-name [IGNORE_ERRORS]  Kontext Server config <Global> <VirtualHost>  Modul mod_sql   Ab Version mod_sql 4.x  Beschreibung Schreibt Informationen in eine Tabelle. Mehrere SQLLog Anweisungen können für jeden Befehl zuständig sein. z.B. ein User ändert ein Verzeichnis kann mehrere Log Aktionen starten. Das erste Parameter für SQLLOG, das Befehlsset, ist eine Liste von FTP Befehlen (per Komma getrennt, keine Leerzeichen), die ein Loggen starten. Die Liste der Befehle ist zu lang, um hier komplett aufgelistet zu werden und beinhaltet u.a. die wichtigen Befehle CWD, DELE, HELP, LIST, MKD, MODE, NLST, PASS, PASV, PORT und viele andere. Für eine komplette Liste schaü bitte in der RFC von FTP. (http://www.proftpd.org/docs/rfc.html) Normalerweise wird mod_sql Aktionen loggen, nachdem sie erfolgreich beendet sind. Im Falle des "QUIT" Befehles jedoch, loggt mod_sql dieses bevor der Befehl von ProFTPD aufgeführt wird. Logeinträge werden nur ausgeführt, wenn die FTP Befehle erfolgreich beendet wurden. Ein vorgestelltes "ERR_" erlaubt das loggen, wenn der ausgeführte Befehl nicht erfolgreich beendet wurde. Um beide Möglichkeiten (also erfolgreiche und unerfolgreiche Aktion) zu loggen, müssen beide Möglichkeiten genannt werden. Die Angabe '*' bezeichnet alle FTP Befehle, während 'ERR_*' alle Fehler bezeichnet. Das zweite Argument ist der Name eine Abfrage, definiert durch die 'SQLNamedQuery' Anweisung. Die Abfrage muss vom Typ eine UPDATE, INSERT oder FREEFORM Abfrage sein - SELECT Abfragen werden nicht abgearbeitet. Das dritte Argument ist optional. Wenn man ein 'IGNORE_ERRORS' anfügt, wird SQLLOG während der Ausführung der Abfrage keine Fehlerüberprüfung vornehmen. Jedes andere Argument als 'IGNORE_ERRORS' wird ohne Fehlermeldung ignoriert. Normalerweise werden Fehler in einer SQLLOG Anweisungen sehr ernst genommen und mod_sql wird die Verbindung beenden. Verweise auf nicht existierende Abfragen werden NICHT die Verbindung beenden, können jedoch fehlende Datenbank Einträge erzeugen. Prüfe Deine Anweisungen!!  Beispiel 1 #Dieses ersetzt die alte 'SQLLoginCountField count' Anweisung und zählt bei  #jedem Einloggen den Wert des Feldes count in der Tabelle users einen höher.  #Ist der aktuelle User 'joe', so würde dieses übersetzt werden in:  #"update users set count=count+1 where userid='joe'"  #Diese Abfrage würde immer gestartet werden, wenn ein User sich angemeldet hat.  SQLLog PASS updatecount  SQLNamedQuery updatecount UPDATE "count=count+1 WHERE userid='%u'" users  #Dieses ersetzt die alte 'SQLLogDirs cwd' Anweisung und schreibt jedes  #Verzeichnis in das der User wechselt in die Datenbank, Tabelle "users".  #Ist aktuelle User 'joe' und das aktuelle Verzeichnis '/tmp',  #wird dieses übersetzt in:  #"update users set cwd='/tmp' where userid='joe'".  #Diese Anfrage wird immer gestartet, wenn ein User ein Verzeichnis wechselt.  SQLLog CWD updatedir  SQLNamedQuery updatedir UPDATE "cwd='%d' where userid='%u'" users  #Dieses schreibt bei jedem (erfolgreich) senden oder empfangen einer Datei  #den Namen, die Grösse in Bytes, den User und Host sowie die aktülle Zeit  # (zumindest unter MySQL) in die Tabelle filehistory. Dieses würde übersetzt  # werden Abfrage ähnlich:  #"insert into filehistory values # ('somefile', 12345, 'joe@joe.org', '21-05-2001 20:01:00')"  SQLLog RETR,STOR insertfileinfo  SQLNamedQuery insertfileinfo INSERT "'%f', %b, '%u@%v', now()" filehistory  06.00.2003 20:02