FTP(S)

RustFS enthält ein FTP-Gateway, das Buckets und Objekte für Standard-FTP-Clients bereitstellt. Sie können es als unverschlüsseltes FTP für isolierte lokale Tests oder als explizites FTP über TLS (FTPS) für verschlüsselte Verbindungen betreiben. RustFS authentifiziert jede Sitzung gegen Identity and Access Management (IAM) und wendet die S3-Richtlinien des Benutzers auf Speicheroperationen an.

Die Unterstützung für FTP und FTPS ist im Standard-Binary von RustFS enthalten, beide Listener sind zur Laufzeit jedoch standardmäßig deaktiviert. Aktivieren Sie nur den Listener, den Sie verwenden möchten.

ÜberblickCopy Anchor Link

Das Gateway bildet FTP-Pfade auf RustFS-Ressourcen ab:

Die folgenden FTP-Operationen werden unterstützt:

RustFS unterstützt derzeit keine FTP-Umbenennungen und keine Uploads, die an ein vorhandenes Objekt angefügt werden. Weil der S3-Speicher kein natives Arbeitsverzeichnis und kein POSIX-Verzeichnismodell hat, verhalten sich manche clientspezifischen Dateisystemoperationen anders als bei einem herkömmlichen FTP-Server.

Geben Sie einen RustFS-Zugriffsschlüssel als FTP-Benutzernamen und den zugehörigen geheimen Zugriffsschlüssel als Passwort ein. Ungültige Benutzernamen und Passwörter geben beide 530 Not logged in zurück. Nach der Anmeldung prüft RustFS die S3-Berechtigungen des IAM-Benutzers für jede Operation.

KonfigurationCopy Anchor Link

FTP und FTPS verwenden getrennte Listener und Umgebungsvariablen.

FTP-VariablenCopy Anchor Link

FTPS-VariablenCopy Anchor Link

Der Standard-Build von RustFS aktiviert das Feature ftps zur Build-Zeit, das sowohl FTP als auch FTPS bereitstellt. Wenn Sie RustFS mit --no-default-features bauen, nehmen Sie das Feature ausdrücklich auf:

cargo build --release --features ftps

Lokale Tests mit FTPCopy Anchor Link

Starten Sie einen unverschlüsselten FTP-Listener auf der Loopback-Schnittstelle:

export RUSTFS_FTP_ENABLE=true
export RUSTFS_FTP_ADDRESS=127.0.0.1:8021
export RUSTFS_FTP_PASSIVE_PORTS=40000-40010
export RUSTFS_ACCESS_KEY=<your-access-key>
export RUSTFS_SECRET_KEY=<your-secret-key>

rustfs /path/to/data

Die Bindung an 127.0.0.1 verhindert, dass entfernte Hosts eine Verbindung zum unverschlüsselten Listener aufbauen.

Testzertifikat vorbereitenCopy Anchor Link

FTPS erwartet rustfs_cert.pem und rustfs_key.pem im Zertifikatsverzeichnis. Erstellen Sie für lokale Tests ein kurzlebiges selbstsigniertes Zertifikat:

mkdir -p /path/to/ftps-certs

openssl req -x509 -newkey rsa:2048 -nodes \
	-keyout /path/to/ftps-certs/rustfs_key.pem \
	-out /path/to/ftps-certs/rustfs_cert.pem \
	-days 7 \
	-subj "/CN=localhost" \
	-addext "subjectAltName=DNS:localhost,IP:127.0.0.1"

Verwenden Sie in der Produktion ein Zertifikat einer vertrauenswürdigen Zertifizierungsstelle. Schützen Sie rustfs_key.pem vor unberechtigtem Zugriff und stellen Sie sicher, dass die Subject Alternative Names des Zertifikats zum Host passen, den Clients verwenden.

FTPS startenCopy Anchor Link

Konfigurieren Sie einen Listener für explizites FTPS:

export RUSTFS_FTPS_ENABLE=true
export RUSTFS_FTPS_ADDRESS=0.0.0.0:8022
export RUSTFS_FTPS_TLS_ENABLED=true
export RUSTFS_FTPS_CERTS_DIR=/path/to/ftps-certs
export RUSTFS_FTPS_PASSIVE_PORTS=40000-50000

rustfs /path/to/data

RustFS verlangt TLS sowohl auf dem FTPS-Steuerkanal als auch auf dem Datenkanal. Konfigurieren Sie Clients für explicit FTP over TLS (explizites FTP über TLS), manchmal bezeichnet als FTPES oder Require explicit FTP over TLS. Implizites FTPS ist nicht der Modus, den dieser Listener implementiert.

Wenn das Zertifikatsverzeichnis fehlt, nicht vorhanden ist oder kein verwendbares Zertifikat und keinen verwendbaren Schlüssel enthält, schlägt die FTPS-Initialisierung fehl. Allgemeine Hinweise zu Zertifikaten stehen unter TLS konfigurieren.

Passive Verbindungen konfigurierenCopy Anchor Link

FTP verwendet den Steuerport für Befehle und eine separate Datenverbindung für Auflistungen und Dateiübertragungen. Für den passiven Modus:

1. Lassen Sie eingehenden TCP-Verkehr zum konfigurierten Steuerport zu.
2. Lassen Sie eingehenden TCP-Verkehr zu jedem Port im konfigurierten passiven Bereich zu.
3. Setzen Sie RUSTFS_FTP_EXTERNAL_IP oder RUSTFS_FTPS_EXTERNAL_IP, wenn Clients über NAT oder einen Load Balancer verbinden.

Ein FTPS-Server hinter NAT kann beispielsweise seinen öffentlichen Hostnamen bekannt geben:

export RUSTFS_FTPS_EXTERNAL_IP=storage.example.com
export RUSTFS_FTPS_PASSIVE_PORTS=40000-40100

Verwenden Sie die entsprechenden Variablen mit FTP-Präfix für den unverschlüsselten FTP-Listener. RustFS unterstützt den aktiven und den passiven Übertragungsmodus. Der passive Modus lässt sich durch Client-Firewalls in der Regel leichter betreiben.

VerwendungCopy Anchor Link

Die Beispiele verwenden lftp sowie die kanonischen Namen my-bucket und hello.txt. Der IAM-Benutzer muss die S3-Berechtigungen besitzen, die jede Operation erfordert.

Mit FTP verbindenCopy Anchor Link

Verwenden Sie unverschlüsseltes FTP nur mit dem Loopback-Testlistener:

lftp -u <your-access-key> ftp://127.0.0.1:8021

Geben Sie den geheimen Zugriffsschlüssel ein, wenn lftp nach einem Passwort fragt.

Mit FTPS verbindenCopy Anchor Link

Verbinden Sie sich mit dem Listener für explizites FTPS und verlangen Sie Verschlüsselung für Steuer- und Datenverbindungen:

lftp -u <your-access-key> -e '
	set ftp:ssl-force true;
	set ftp:ssl-protect-data true;
	open ftp://storage.example.com:8022
'

Geben Sie den geheimen Zugriffsschlüssel ein, wenn Sie dazu aufgefordert werden. Lassen Sie die Zertifikatsprüfung in der Produktion aktiviert.

Nur für das selbstsignierte lokale Testzertifikat verbinden Sie sich mit localhost und deaktivieren Sie die Zertifikatsprüfung für diese Sitzung:

lftp -u <your-access-key> -e '
	set ftp:ssl-force true;
	set ftp:ssl-protect-data true;
	set ssl:verify-certificate no;
	open ftp://localhost:8022
'

Buckets auflisten und einen Bucket erstellenCopy Anchor Link

Listen Sie an der lftp-Eingabeaufforderung die sichtbaren Buckets auf und erstellen Sie my-bucket:

lftp> cls -1 /
lftp> mkdir my-bucket
lftp> cd my-bucket

Bucket-Namen müssen denselben Namensregeln folgen wie Buckets, die über die S3-API erstellt werden.

Objekt hochladen und herunterladenCopy Anchor Link

Laden Sie /path/to/hello.txt hoch, listen Sie den Bucket auf und laden Sie das Objekt herunter:

lftp> put /path/to/hello.txt -o hello.txt
lftp> ls
lftp> get hello.txt -o hello.txt

Der Upload ersetzt ein Objekt mit demselben Objektschlüssel. Das Anfügen an ein vorhandenes Objekt wird nicht unterstützt.

Objekt und Bucket löschenCopy Anchor Link

Löschen Sie das Objekt, kehren Sie zum Wurzelverzeichnis zurück und löschen Sie den Bucket:

lftp> rm hello.txt
lftp> cd /
lftp> rmdir my-bucket

Denken Sie daran, dass rmdir verbleibende Objekte rekursiv aus dem Bucket entfernt, bevor es ihn löscht.

Andere Clients verbindenCopy Anchor Link

Verwenden Sie diese Einstellungen in grafischen FTP-Clients wie FileZilla oder Cyberduck:

Wenn die Anmeldung gelingt, Verzeichnisauflistungen oder Übertragungen aber in ein Zeitlimit laufen, prüfen Sie zuerst die Firewall-Regeln der passiven Ports und die Einstellung der externen IP.

Nächste SchritteCopy Anchor Link

• Zugangsdaten verwalten
• TLS konfigurieren
• Dienststatus prüfen