Встановіть FTP-сервер Cerberus за 5 хвилин

Перед тим, як почати — визначте роботу

FTP-сервер Cerberus — це сервер передачі файлів Windows, який може обслуговувати FTP, FTPS, SFTP і веб-клієнт з однієї програми. Коротке налаштування залежить від трьох рішень, прийнятих ще до запуску програми встановлення.

Надайте ПК-серверу фіксовану локальну IP-адресу — приклад відео: 192.168.1.100. Зміна адреси DHCP мовчки порушує клієнти та правила брандмауера. Спершу створіть кореневу папку файлу на диску з даними, а не в папці Windows — приклад кореневої папки відео:

D:\CerberusFiles

Finally, decide who connects and from where — the office LAN only, or from outside as well. That one decision controls almost every security step that follows.

Установіть Cerberus і запустіть майстер початку роботи

Запустіть програму встановлення від імені адміністратора та прийміть стандартні налаштування. Потім Cerberus відкриває диспетчер серверів із майстром «Початок роботи» — ця частина інсталяції є швидкою частиною, на яку посилається назва відео.

У майстрі встановіть ім’я сервера та підтвердьте потрібні слухачі. Для першого тесту у вашій локальній мережі достатньо FTP на порту 21. Якщо майстер запропонує створити або вибрати сертифікат, залиште це — ви зможете замінити його пізніше. Виберіть запуск Cerberus як служби Windows, якщо цей ПК має продовжувати обслуговувати файли після виходу з системи; сервер, який зупиняється, коли ви виходите, не є сервером. Щоб завершити, натисніть Налаштувати сервер. Тепер сервер готовий для свого першого облікового запису користувача.

Створіть один обліковий запис користувача для кожної особи

Відкрийте Менеджер користувачів у Менеджері серверів і створіть по одному обліковому запису для кожної особи, кожен із яких має надійний унікальний пароль. Cerberus має власну систему користувачів, окрему від облікових записів Windows. Ніколи не використовуйте єдиний логін для всього офісу та ніколи не вмикайте анонімний доступ для запису.

Налаштуйте домашню папку кожного користувача на кореневу папку, яку ви підготували, і надайте кожній особі доступ лише до тих папок, які їй дійсно потрібні — користувачеві доставки не потрібна папка облікових записів. Встановіть дозволи для кожної папки (лише завантаження, лише завантаження або обидва) замість повного контролю всюди. Один обліковий запис на особу – це те, що згодом робить журнал значущим: кожне підключення прив’язане до імені.

Увімкніть шифрування — FTPS і SFTP

Для FTPS використовуйте прослуховувач FTPS на порту 990 (неявний TLS) або вимагайте TLS на прослухувачі порту 21 (явний FTPS) — і встановіть прослухувачу або користувачу вимагати безпечне з’єднання, щоб звичайні входи були відхилені. Для SFTP увімкніть SSH-прослуховувач SFTP на порту 22. Незважаючи на подібну назву, протокол SFTP відрізняється від протоколу FTP: він працює через SSH, шифрує все та потребує лише одного порту.

Перевірте за допомогою FileZilla або WinSCP і переконайтеся, що з’єднання справді зашифровано — у FileZilla FTPS показує блокування та запит на сертифікат уперше. І чітко скажіть користувачам, який протокол використовувати: якщо звичайний FTP залишається відкритим поруч із FTPS, люди продовжуватимуть використовувати незахищений.

Установіть діапазон пасивних портів і брандмауер разом

Вхід у FTP передається через контрольний порт, але списки папок і файли переміщуються через окремі порти даних, які сервер вибирає зі свого пасивного діапазону. Стандартний пасивний діапазон Cerberus — той, який використовується у відео — становить:

11000-13000

You can narrow the range in Server Manager, but keep at least a few hundred ports — each listing or transfer uses one, and a used port cannot be reused for several minutes. Whatever range is set in Cerberus is the range every other step must match exactly.

In Windows Defender Firewall, allow the Cerberus program, or create inbound rules for the control ports you actually use (21, 22, 990 or 443) plus the full passive range. Scope the rules to your LAN subnet on a LAN-only server — do not open ports to Any if the server never serves the internet. If outside access is genuinely needed, forward the same ports on the router to the server's fixed IP, and only with FTPS or SFTP from Step 4 switched on.

Тестуйте локально, а потім з другого ПК

Випробуйте в розширених колах, щоб помилка підказала вам, який шар зламався. Спочатку на самому сервері відкрийте командний рядок і підключіться до localhost за допомогою FTP-клієнта Windows:

ftp 127.0.0.1

A 230 reply after you enter a user's name and password means the service and that account both work. Then, from a second PC on the LAN, connect to the server's fixed IP the same way — using the secure protocol for the real test:

ftp 192.168.1.100

Upload a test file, download it back, and also try to open a folder that user should not be able to see. All three results matter — a login that works but shows the wrong folders is not a pass.

Прочитайте журнал, перш ніж називати це готовим

Відкрийте журнал Cerberus і переконайтеся, що ваші тести відображаються з потрібним користувачем, правильною IP-адресою та правильним результатом. Оскільки кожен обліковий запис належить одній особі, журнал може відповісти на запитання «хто підключився, хто завантажив, а хто не вдалося» — якщо це не вдається, виправте журнал зараз, а не після інциденту.

Одне щире зауваження на завершення: сама інсталяція швидка — саме звідси походить «5-хвилинне» обрамлення відео — але кроки захисту на цій сторінці тривають довше, і це справжня робота. Один обліковий запис на особу, увімкнене шифрування, узгоджені пасивні порти на сервері, брандмауері та маршрутизаторі та звичайний FTP, який не доступний в Інтернеті. Пропустіть їх, і час не збережено — його позичили.