tftpd-hpaを使用してUbuntuサーバーにTFTPサーバーをセットアップする方法

Ubuntuのtftpd-hpaサーバーとtftp-hpaクライアントをインストールしてください。この設定では、ファイルを別のディレクトリから配信し、アップロードされたファイルは別のディレクトリに保存します。Ubuntuのサーバーパッケージとクライアントパッケージの/srv/tftp一覧を確認してください。

セキュリティ： TFTPにはログイン機能や暗号化機能はありません。信頼できるLANへのアクセスのみに限定してください。アクセス可能なクライアントは、利用可能なファイルを読み取ることができ、権限が許せばアップロードも可能です。機密情報は転送しないでください。TFTPの仕様には、そのセキュリティ上の制限事項が記載されています。

TFTPサーバーをセットアップする

1. サーバーとクライアントをインストールする

APTメタデータを更新してから、両方のパッケージをインストールしてください。

sudo apt update
sudo apt install tftpd-hpa tftp-hpa

2. TFTPルートを設定する

パッケージ設定ファイルを編集します。

sudo nano /etc/default/tftpd-hpa

これらの値を設定してください

TFTP_USERNAME="tftp"
TFTP_DIRECTORY="/srv/tftp"
TFTP_ADDRESS=":69"
TFTP_OPTIONS="--secure --create --umask 027"

--secureデーモンを設定されたルートディレクトリに限定し、--createアップロードを許可し、--umask 027新しいアップロードファイルをモードに制限します0640。これらのオプションについては、 Ubuntu tftpd のマニュアルを参照してください。Ctrl+O で保存し、Enter キーを押してから Ctrl+X を押します。

はクライアントから見えるルート--secureとなるため、ファイル名はそれを基準とした相対パスになります。 を使用し、 は使用しないでください。TFTPクライアントはディレクトリを参照しないため、公開するファイル名とそのパスのリストを保持してください。/srv/tftphello.txt/srv/tftp/hello.txt

3. ルートディレクトリとアップロードディレクトリを作成します。

メインルートの所有権はrootに保持し、アップロードフォルダへの書き込みアクセスのみを許可します。

sudo install -d -o root -g root -m 0755 /srv/tftp
sudo install -d -o tftp -g tftp -m 0750 /srv/tftp/upload

デーモンはルートを読み取ることができますが、tftp書き込みができるのはアカウントのみです/srv/tftp/upload。 などの権限を使用してツリー全体をワールド書き込み可能にすることは避けてください777。

パブリックルートにあるファイルは、許可されたすべてのクライアントから読み取り可能であるとみなしてください。そのルートには、ブートイメージ、ファームウェア、または当該ネットワーク向けのその他のデータのみを保存してください。プライベートなデータ転送には、認証と暗号化を備えたプロトコルを選択してください。

4. 提供するファイルを追加する

ルートに既知のファイルを作成します。TFTP のデフォルトの読み取りチェックでは、提供されるファイルがパブリックに読み取り可能である必要があるため、モードを設定します0644。

echo 'TFTP test file' | sudo tee /srv/tftp/hello.txt
sudo chmod 0644 /srv/tftp/hello.txt

5. サービスを有効にして再起動します

起動時にユニットを有効にし、再起動して設定を適用し、ステータスを確認してください。

sudo systemctl enable tftpd-hpa
sudo systemctl restart tftpd-hpa
sudo systemctl status tftpd-hpa --no-pager

起動に失敗した場合は、サービスログを確認してくださいsudo journalctl -u tftpd-hpa -b --no-pager。

6. ファイアウォールのアクセスを制限する

UFWが有効になっている場合、最初の要求はクライアントサブネットからのみ許可します。例のネットワークを、信頼できるLAN範囲に置き換えてください。

sudo ufw allow from 192.168.1.0/24 to any port 69 proto udp
sudo ufw status

ソースネットワークルールについては、Ubuntu のUFW ガイドを参照してください。TFTP は UDP ポート 69 で開始し、プロトコル仕様に記載されているように、ファイルデータにはサーバーが選択した UDP ポートを使用します。厳格なファイアウォール、ルーター、または NAT デバイスは、要求を許可しても転送をブロックする場合があります。クライアントがタイムアウトする場合は、TFTP 対応の接続追跡または適切なファイアウォール ポリシーを使用してください。すべての UDP ポートを開いたり、TFTP をインターネットに公開したりしないでください。このコマンドはルールを追加するものであり、UFW を有効にするものではありません。SSH 経由でサーバーを管理していて、非アクティブなファイアウォールを有効にする予定がある場合は、リモート アクセスを維持するために、まず SSH を許可してください。

ダウンロードとアップロードのテスト

7. Ubuntuクライアントからダウンロードする

サーバー上で、コマンドを実行しip -brief address、到達可能なLANアドレスをメモしてください。Ubuntuクライアント上で、必要に応じてクライアントをインストールしてください。192.0.2.10以下の部分を実際のサーバーアドレスに置き換えてください。

sudo apt install tftp-hpa
tftp 192.0.2.10
tftp> binary
tftp> get hello.txt
tftp> quit

ファイルはクライアントの現在のディレクトリに保存されます。Ubuntu tftp クライアントのマニュアルにはbinary、および がget記載されています。ファームウェア、ブートイメージ、およびバイト列を変更せずに保存する必要のあるファイルには、バイナリモードの使用をお勧めします。Linux のファイル名は大文字と小文字を区別するため、各リモート名を正確に入力してください。

8. 制限付きフォルダにアップロードする

クライアント側でテストファイルを作成し、サーバーのアップロードディレクトリ内のパスに送信します。

printf 'Upload test' > upload-check.txt
tftp 192.0.2.10
tftp> binary
tftp> put upload-check.txt upload/upload-check.txt
tftp> quit

サーバーの実際のアドレスを使用してください。リモートパスは からの相対パスです/srv/tftp。サーバー上で を使ってアップロードを確認してくださいsudo ls -l /srv/tftp/upload/。TFTPクライアントはディレクトリ一覧を参照するのではなく、既知のファイル名を使用します。

よくあるエラーのトラブルシューティング

• ファイルが見つかりません。ファイル名を相対パスで確認し/srv/tftp、ファイルが存在することを確認してください。
• アクセス違反:配信されるファイルを公開読み取り可能にする。アップロードの場合は、tftp宛先の所有権を確認し、--create設定されていることを確認する。
• タイムアウト：クライアントがサーバーの到達可能なアドレスを使用していること、サービスがアクティブであること、およびファイアウォールがネゴシエートされたUDPデータフローを許可していることを確認します。

ネットワークの問題を特定するには、まず同じLAN上のクライアントからテストしてください。それが正常に動作するのに、ルーティングされたクライアントでタイムアウトが発生する場合は、ルーターまたはファイアウォールが、ネゴシエートされたデータポートのTFTP対応処理を行っているかどうかを確認してください。

読み取り専用サービスの場合は、--createから削除しTFTP_OPTIONSて再起動してくださいtftpd-hpa。