Installieren Sie den Cerberus FTP-Server in 5 Minuten

Bevor Sie beginnen – entscheiden Sie sich für den Job

Cerberus FTP Server ist ein Windows-Dateiübertragungsserver, der FTP, FTPS, SFTP und einen Web-Client von einem Programm aus bedienen kann. Ein kurzes Setup steht und fällt mit drei Entscheidungen, die getroffen werden, bevor das Installationsprogramm überhaupt ausgeführt wird.

Geben Sie dem Server-PC eine feste lokale IP-Adresse – das Beispiel des Videos ist 192.168.1.100. Eine sich ändernde DHCP-Adresse verstößt stillschweigend gegen Client- und Firewall-Regeln. Erstellen Sie zunächst den Stammordner der Datei, auf einem Datenlaufwerk und nicht im Windows-Ordner – der Stammordner des Videos lautet beispielsweise:

D:\CerberusFiles

Finally, decide who connects and from where — the office LAN only, or from outside as well. That one decision controls almost every security step that follows.

Installieren Sie Cerberus und führen Sie den Erste-Schritte-Assistenten aus

Führen Sie das Installationsprogramm als Administrator aus und akzeptieren Sie die Standardeinstellungen. Cerberus öffnet dann seinen Server-Manager mit einem „Erste Schritte“-Assistenten – dieser Installationsteil ist der schnelle Teil, auf den sich der Titel des Videos bezieht.

Legen Sie im Assistenten den Servernamen fest und bestätigen Sie die benötigten Listener. Für einen ersten Test im eigenen LAN reicht FTP auf Port 21. Wenn der Assistent anbietet, ein Zertifikat zu erstellen oder auszuwählen, lassen Sie es zu – Sie können es später ersetzen. Wählen Sie die Ausführung von Cerberus als Windows-Dienst, wenn dieser PC nach dem Abmelden weiterhin Dateien bereitstellen muss; Ein Server, der stoppt, wenn Sie sich abmelden, ist kein Server. Klicken Sie zum Abschluss auf Server einrichten. Der Server ist jetzt für sein erstes Benutzerkonto bereit.

Erstellen Sie ein Benutzerkonto pro Person

Öffnen Sie den Benutzermanager im Server-Manager und erstellen Sie ein Konto pro Person, jeweils mit einem starken, eindeutigen Passwort. Cerberus verfügt über ein eigenes Benutzersystem, getrennt von Windows-Konten. Geben Sie niemals ein gemeinsames Login für das gesamte Büro frei und aktivieren Sie niemals anonymen Schreibzugriff.

Legen Sie den Stammordner jedes Benutzers auf den von Ihnen vorbereiteten Stammordner fest und gewähren Sie jeder Person nur Zugriff auf die Ordner, die sie tatsächlich benötigt – ein Bereitstellungsbenutzer benötigt den Kontenordner nicht. Legen Sie Berechtigungen pro Ordner fest (nur Download, nur Upload oder beides), anstatt überall die volle Kontrolle zu haben. Ein Konto pro Person macht das Protokoll später aussagekräftig: Jede Verbindung ist an einen Namen gebunden.

Verschlüsselung einschalten – FTPS und SFTP

Für FTPS verwenden Sie den FTPS-Listener auf Port 990 (implizites TLS) oder erfordern TLS auf dem Port 21-Listener (explizites FTPS) – und stellen Sie den Listener oder Benutzer so ein, dass eine sichere Verbindung erforderlich ist, sodass einfache Anmeldungen abgelehnt werden. Aktivieren Sie für SFTP den SSH-SFTP-Listener auf Port 22. Trotz des ähnlichen Namens ist SFTP ein anderes Protokoll als FTP: Es läuft über SSH, verschlüsselt alles und benötigt nur diesen einen Port.

Testen Sie mit FileZilla oder WinSCP und bestätigen Sie, dass die Verbindung wirklich verschlüsselt ist – in FileZilla zeigt FTPS beim ersten Mal eine Sperre und eine Zertifikatsaufforderung an. Und teilen Sie den Benutzern deutlich mit, welches Protokoll sie verwenden sollen: Wenn einfaches FTP neben FTPS offen bleibt, werden die Benutzer weiterhin das unsichere Protokoll verwenden.

Legen Sie den passiven Portbereich und die Firewall gemeinsam fest

Eine FTP-Anmeldung wird über den Kontrollport übertragen, Ordnerlisten und Dateien werden jedoch über separate Datenports übertragen, die der Server aus seinem passiven Bereich auswählt. Der standardmäßige passive Bereich von Cerberus – der im Video verwendete – ist:

11000-13000

You can narrow the range in Server Manager, but keep at least a few hundred ports — each listing or transfer uses one, and a used port cannot be reused for several minutes. Whatever range is set in Cerberus is the range every other step must match exactly.

In Windows Defender Firewall, allow the Cerberus program, or create inbound rules for the control ports you actually use (21, 22, 990 or 443) plus the full passive range. Scope the rules to your LAN subnet on a LAN-only server — do not open ports to Any if the server never serves the internet. If outside access is genuinely needed, forward the same ports on the router to the server's fixed IP, and only with FTPS or SFTP from Step 4 switched on.

Lokal testen, dann von einem zweiten PC aus

Testen Sie in sich erweiternden Kreisen, sodass Sie bei einem Fehler erkennen können, welche Schicht kaputt gegangen ist. Öffnen Sie zunächst auf dem Server selbst die Eingabeaufforderung und stellen Sie mit dem Windows-FTP-Client eine Verbindung zu localhost her:

ftp 127.0.0.1

A 230 reply after you enter a user's name and password means the service and that account both work. Then, from a second PC on the LAN, connect to the server's fixed IP the same way — using the secure protocol for the real test:

ftp 192.168.1.100

Upload a test file, download it back, and also try to open a folder that user should not be able to see. All three results matter — a login that works but shows the wrong folders is not a pass.

Lesen Sie das Protokoll, bevor Sie es erledigen

Öffnen Sie das Protokoll von Cerberus und bestätigen Sie, dass Ihre Tests mit dem richtigen Benutzer, der richtigen IP-Adresse und dem richtigen Ergebnis angezeigt werden. Da jedes Konto einer Person gehört, kann das Protokoll beantworten, wer sich verbunden hat, wer hochgeladen hat und wer fehlgeschlagen ist. Wenn dies nicht möglich ist, korrigieren Sie die Protokollierung jetzt und nicht nach einem Vorfall.

Eine ehrliche Schlussbemerkung: Die Installation selbst geht schnell – daher kommt auch der „5-Minuten“-Rahmen des Videos – aber die Sicherungsschritte auf dieser Seite dauern länger und sind die eigentliche Aufgabe. Ein Konto pro Person, Verschlüsselung aktiviert, passive Ports auf dem Server, der Firewall und dem Router abgestimmt und einfaches FTP vom Internet ferngehalten. Überspringen Sie diese, und die Zeit wurde nicht gespart – sie wurde geliehen.