FTP 安全性 <安全性> 區段群組;

發行項
04/12/2024

概觀

區<security>段群組位於 <system.ftpServer> 區段中，並包含在網際網路資訊服務（IIS） 7 伺服器上設定安全性設定的專案。其中包括授權規則設定、IP 安全性和要求篩選組態設定。

注意

為了增強安全性，Windows 7 和 Windows Server 2008 R2 預設都不會安裝 FTP 7。當您安裝 FTP 7 時，不會建立預設月臺;您必須手動建立任何 FTP 網站。此策略可大幅減少 IIS 7 攻擊面。

相容性

版本	備註
IIS 10.0	未 `<authentication>` 在 IIS 10.0 中修改專案。
IIS 8.5	專案 `<security>` 未在 IIS 8.5 中修改。
IIS 8.0	元素 `<authentication>` 的 `<security>` 元素會隨附為 IIS 8.0 的功能。
IIS 7.5	元素 `<security>` 的 `<system.ftpServer>` 元素會隨附為 IIS 7.5 的功能。
IIS 7.0	元素 `<security>` 的 `<system.ftpServer>` 元素是在 FTP 7.0 中引進的，這是 IIS 7.0 的個別下載專案。
IIS 6.0	N/A

注意

FTP 7.0 和 FTP 7.5 服務針對 IIS 7.0 隨附頻外，需要從下列 URL 下載並安裝模組：

https://www.iis.net/expand/FTP

使用 Windows 7 和 Windows Server 2008 R2 時，FTP 7.5 服務會隨附為 IIS 7.5 的功能，因此不再需要下載 FTP 服務。

設定

若要支援 Web 伺服器的 FTP 發佈，您必須安裝 FTP 服務。若要這樣做，請使用下列步驟。

Windows Server 2012 或 Windows Server 2012 R2

在工作列上，按一下 [伺服器管理員] 。
在 伺服器管理員 中，按兩下 [管理] 功能表，然後按下 [新增角色和功能]。
在 [ 新增角色和功能 精靈] 中，按 [ 下一步]。選取安裝類型，然後按 [ 下一步]。選取目的地伺服器，然後按 [下一步]。
在 [ 伺服器角色] 頁面上，展開 [Web 伺服器 ][IIS]，然後選取 [ FTP 伺服器]。

注意

支援 ASP。FTP 服務的成員資格驗證或 IIS 管理員驗證，除了 FTP 服務之外，您還需要選取 FTP 擴充性。
.
按 [下一步]，然後在 [ 選取功能 ] 頁面上，再次按 [下一步 ]。
在 [確認安裝選項] 頁面上，按一下 [安裝] 。
在 [結果] 頁面上，按一下 [關閉] 。

Windows 8 或 Windows 8.1

在 [開始] 畫面上，將指標一路移至左下角，以滑鼠右鍵按兩下 [開始] 按鈕，然後按兩下 [控制台]。
在 控制台 中，按兩下 [程式和功能]，然後按兩下 [開啟或關閉 Windows 功能]。
展開 [網際網路資訊服務]，然後選取 [FTP 伺服器]。

注意

支援 ASP。FTP 服務的成員資格驗證或 IIS 管理員驗證，您也必須選取 [FTP 擴充性]。
按一下 [確定]。
按一下 [關閉] 。

Windows Server 2008 R2

在任務欄上，按兩下 [開始]，指向 [管理員工具]，然後按兩下 [伺服器管理員]。
在 [伺服器管理員 階層] 窗格中，展開 [角色]，然後按兩下 [網頁伺服器] [IIS]。
在 [Web 伺服器（IIS）] 窗格中，捲動至 [角色服務] 區段，然後按兩下 [新增角色服務]。
在 [新增角色服務精靈] 的 [選取角色服務] 頁面上，展開 [FTP 伺服器]。
選取 [ FTP 服務]。

注意

支援 ASP。FTP 服務的成員資格驗證或 IIS 管理員驗證，您也必須選取 [FTP 擴充性]。
按一下 [下一步] 。
在 [確認安裝選項] 頁面上，按一下 [安裝] 。
在 [結果] 頁面上，按一下 [關閉] 。

Windows 7

在任務欄上，按兩下 [開始]，然後按兩下 [控制台]。
在 控制台 中，按兩下 [程式和功能]，然後按兩下 [開啟或關閉 Windows 功能]。
展開 [網際網路資訊服務]，然後展開 [FTP 伺服器]。
選取 [ FTP 服務]。

注意

支援 ASP。FTP 服務的成員資格驗證或 IIS 管理員驗證，您也必須選取 [FTP 擴充性]。
按一下 [確定]。

Windows Server 2008 或 Windows Vista

從下列 URL 下載安裝套件：
- https://www.iis.net/expand/FTP
請遵循下列逐步解說中的指示來安裝 FTP 服務：
- 安裝和疑難解答 FTP 7

作法

如何新增 FTP 授權規則

開啟 網際網路資訊服務（IIS）管理員：
- 如果您使用 Windows Server 2012 或 Windows Server 2012 R2：
  - 在任務欄上，按兩下 [伺服器管理員]，按兩下 [工具]，然後按兩下 [網際網路資訊服務 [IIS] 管理員。
- 如果您使用 Windows 8 或 Windows 8.1：
  - 按住 Windows 鍵，按字母 X，然後按兩下 [控制台]。
  - 單擊 [管理員工具]，然後按兩下 [網際網路資訊服務 [IIS] 管理員。
- 如果您使用 Windows Server 2008 或 Windows Server 2008 R2：
  - 在任務欄上，按兩下 [開始]，指向 [管理員工具]，然後按兩下 [網際網路資訊服務 [IIS] 管理員。
- 如果您使用 Windows Vista 或 Windows 7：
  - 在任務欄上，按兩下 [開始]，然後按兩下 [控制台]。
  - 按兩下 [管理員工具]，然後按兩下 [網際網路資訊服務 [IIS] 管理員。
在 [連線 ions] 窗格中，展開伺服器名稱、展開 [月臺]，然後流覽至您要設定授權的網站或 URL。
在 [ 首頁 ] 窗格中，按兩下 [ 授權規則]。
若要新增授權規則，請按兩下 [動作] 窗格中的 [新增允許規則...] 或 [新增拒絕規則...]。
套用網站或應用程式所需的授權設定。需要考慮兩個區段：
- 允許存取此內容：使用單選按鈕來指定存取規則將套用至：
  - 所有使用者
  - 所有匿名使用者
  - 指定的角色或使用者群組 （多個群組/角色可以以逗號分隔）
  - 指定的使用者 （多個使用者可以以逗號分隔）
- 許可權：使用複選框來指定 規則的讀取 或寫入許可權。
按一下 [確定]。

組態

元素 <security> 的 <system.ftpServer> 元素是在伺服器、月臺或資料夾層級設定。

屬性

無。

子元素

元素	描述
`authentication`	選擇性項目。指定驗證相關的設定。
`authorization`	選擇性項目。指定授權相關的設定。
`ipSecurity`	選擇性項目。根據IP第4版位址或 DNS 功能變數名稱指定存取限制。
`requestFiltering`	選擇性項目。指定要求篩選的組態設定。

組態範例

下列範例說明 FTP 月臺元素中的 <system.ftpServer> 數個安全性相關組態設定。更具體來說， <location> 此範例中的設定會示範如何：

為系統管理員群組指定讀取和寫入許可權的 FTP 授權規則。
指定拒絕 *.exe、*.bat 和 *.cmd 檔案的 FTP 要求篩選選項。
指定最大內容長度為 1000000 位元組的 FTP 要求限制，以及 URL 長度上限為 1024 個字節。
封鎖對 _vti_bin 虛擬目錄的 FTP 存取，此目錄與 FrontPage 伺服器延伸模組搭配使用。
指定 FTP IP 篩選選項，允許從 127.0.0.1 存取，並拒絕從 169.254.0.0/255.255.0.0 範圍存取 IP 位址。

<location path="ftp.example.com">
  <system.ftpServer>
    <security>
      <authorization>
        <add accessType="Allow" roles="administrators" permissions="Read, Write" />
      </authorization>
      <requestFiltering>
        <fileExtensions allowUnlisted="true">
          <add fileExtension=".exe" allowed="false" />
          <add fileExtension=".bat" allowed="false" />
          <add fileExtension=".cmd" allowed="false" />
        </fileExtensions>
        <requestLimits maxAllowedContentLength="1000000" maxUrl="1024" />
        <hiddenSegments>
          <add segment="_vti_bin" />
        </hiddenSegments>
      </requestFiltering>
      <ipSecurity enableReverseDns="false" allowUnlisted="true">
        <add ipAddress="127.0.0.1" allowed="true" />
        <add ipAddress="169.254.0.0" subnetMask="255.255.0.0" allowed="false" />
      </ipSecurity>
    </security>
  </system.ftpServer>
</location>

範例程式碼

下列範例會新增預設網站的兩個 FTP 授權規則。第一個規則允許系統管理員群組的讀取和寫入存取權，而第二個規則會拒絕來賓帳戶的讀取和寫入存取權。

AppCmd.exe

appcmd.exe set config "Default Web Site" -section:system.ftpServer/security/authorization /+"[accessType='Allow',roles='administrators',permissions='Read, Write']" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.ftpServer/security/authorization /+"[accessType='Deny',users='guest',permissions='Read, Write']" /commit:apphost

注意

當您使用 AppCmd.exe 來設定這些設定時，請務必將認可參數apphost設定為。這會將組態設定認可到 ApplicationHost.config 檔案中的適當位置區段。

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetApplicationHostConfiguration();
         ConfigurationSection authorizationSection = config.GetSection("system.ftpServer/security/authorization", "Default Web Site");
         ConfigurationElementCollection authorizationCollection = authorizationSection.GetCollection();

         ConfigurationElement addElement = authorizationCollection.CreateElement("add");
         addElement["accessType"] = @"Allow";
         addElement["roles"] = @"administrators";
         addElement["permissions"] = @"Read, Write";
         authorizationCollection.Add(addElement);

         ConfigurationElement addElement1 = authorizationCollection.CreateElement("add");
         addElement1["accessType"] = @"Deny";
         addElement1["users"] = @"guest";
         addElement1["permissions"] = @"Read, Write";
         authorizationCollection.Add(addElement1);

         serverManager.CommitChanges();
      }
   }
}

VB.NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration

Module Sample
   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetApplicationHostConfiguration
      Dim authorizationSection As ConfigurationSection = config.GetSection("system.ftpServer/security/authorization", "Default Web Site")
      Dim authorizationCollection As ConfigurationElementCollection = authorizationSection.GetCollection

      Dim addElement As ConfigurationElement = authorizationCollection.CreateElement("add")
      addElement("accessType") = "Allow"
      addElement("roles") = "administrators"
      addElement("permissions") = "Read, Write"
      authorizationCollection.Add(addElement)

      Dim addElement1 As ConfigurationElement = authorizationCollection.CreateElement("add")
      addElement1("accessType") = "Deny"
      addElement1("users") = "guest"
      addElement1("permissions") = "Read, Write"
      authorizationCollection.Add(addElement1)

      serverManager.CommitChanges()
   End Sub
End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST";
var authorizationSection = adminManager.GetAdminSection("system.ftpServer/security/authorization", "MACHINE/WEBROOT/APPHOST/Default Web Site");
var authorizationCollection = authorizationSection.Collection;

var addElement = authorizationCollection.CreateNewElement("add");
addElement.Properties.Item("accessType").Value = "Allow";
addElement.Properties.Item("roles").Value = "administrators";
addElement.Properties.Item("permissions").Value = "Read, Write";
authorizationCollection.AddElement(addElement);

var addElement1 = authorizationCollection.CreateNewElement("add");
addElement1.Properties.Item("accessType").Value = "Deny";
addElement1.Properties.Item("users").Value = "guest";
addElement1.Properties.Item("permissions").Value = "Read, Write";
authorizationCollection.AddElement(addElement1);

adminManager.CommitChanges();

VBScript

Set adminManager = createObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST"

Set authorizationSection = adminManager.GetAdminSection("system.ftpServer/security/authorization", "MACHINE/WEBROOT/APPHOST/Default Web Site")
Set authorizationCollection = authorizationSection.Collection

Set addElement = authorizationCollection.CreateNewElement("add")
addElement.Properties.Item("accessType").Value = "Allow"
addElement.Properties.Item("roles").Value = "administrators"
addElement.Properties.Item("permissions").Value = "Read, Write"
authorizationCollection.AddElement(addElement)

Set addElement1 = authorizationCollection.CreateNewElement("add")
addElement1.Properties.Item("accessType").Value = "Deny"
addElement1.Properties.Item("users").Value = "guest"
addElement1.Properties.Item("permissions").Value = "Read, Write"
authorizationCollection.AddElement(addElement1)

adminManager.CommitChanges()

下列範例會將 FTP IP 安全性設定為允許未列出的 IP 位址，然後指定允許從 127.0.0.1 存取的 IP 限制，並拒絕來自 169.254.0.0/255.255.0.0 範圍的 IP 位址存取。

AppCmd.exe

appcmd.exe set config "Default Web Site" -section:system.ftpServer/security/ipSecurity /allowUnlisted:"True" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.ftpServer/security/ipSecurity /+"[ipAddress='127.0.0.1',allowed='True']" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.ftpServer/security/ipSecurity /+"[ipAddress='169.254.0.0',subnetMask='255.255.0.0']" /commit:apphost

注意

當您使用 AppCmd.exe 來設定這些設定時，請務必將認可參數apphost設定為。這會將組態設定認可到 ApplicationHost.config 檔案中的適當位置區段。

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetApplicationHostConfiguration();
         ConfigurationSection ipSecuritySection = config.GetSection("system.ftpServer/security/ipSecurity", "Default Web Site");
         ConfigurationElementCollection ipSecurityCollection = ipSecuritySection.GetCollection();

         ipSecuritySection["allowUnlisted"] = true;

         ConfigurationElement addElement = ipSecurityCollection.CreateElement("add");
         addElement["ipAddress"] = @"127.0.0.1";
         addElement["allowed"] = true;
         ipSecurityCollection.Add(addElement);

         ConfigurationElement addElement1 = ipSecurityCollection.CreateElement("add");
         addElement1["ipAddress"] = @"169.254.0.0";
         addElement1["subnetMask"] = @"255.255.0.0";
         ipSecurityCollection.Add(addElement1);

         serverManager.CommitChanges();
      }
   }
}

VB.NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration


Module Sample
   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetApplicationHostConfiguration
      Dim ipSecuritySection As ConfigurationSection = config.GetSection("system.ftpServer/security/ipSecurity", "Default Web Site")
      Dim ipSecurityCollection As ConfigurationElementCollection = ipSecuritySection.GetCollection

      ipSecuritySection("allowUnlisted") = True

      Dim addElement As ConfigurationElement = ipSecurityCollection.CreateElement("add")
      addElement("ipAddress") = "127.0.0.1"
      addElement("allowed") = True
      ipSecurityCollection.Add(addElement)

      Dim addElement1 As ConfigurationElement = ipSecurityCollection.CreateElement("add")
      addElement1("ipAddress") = "169.254.0.0"
      addElement1("subnetMask") = "255.255.0.0"
      ipSecurityCollection.Add(addElement1)

      serverManager.CommitChanges()
   End Sub
End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST";
var ipSecuritySection = adminManager.GetAdminSection("system.ftpServer/security/ipSecurity", "MACHINE/WEBROOT/APPHOST/Default Web Site");
var ipSecurityCollection = ipSecuritySection.Collection;

ipSecuritySection.Properties.Item("allowUnlisted").Value = true;

var addElement = ipSecurityCollection.CreateNewElement("add");
addElement.Properties.Item("ipAddress").Value = "127.0.0.1";
addElement.Properties.Item("allowed").Value = true;
ipSecurityCollection.AddElement(addElement);

var addElement1 = ipSecurityCollection.CreateNewElement("add");
addElement1.Properties.Item("ipAddress").Value = "169.254.0.0";
addElement1.Properties.Item("subnetMask").Value = "255.255.0.0";
ipSecurityCollection.AddElement(addElement1);

adminManager.CommitChanges();

VBScript

Set adminManager = createObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST"
Set ipSecuritySection = adminManager.GetAdminSection("system.ftpServer/security/ipSecurity", "MACHINE/WEBROOT/APPHOST/Default Web Site")
Set ipSecurityCollection = ipSecuritySection.Collection

ipSecuritySection.Properties.Item("allowUnlisted").Value = True

Set addElement = ipSecurityCollection.CreateNewElement("add")
addElement.Properties.Item("ipAddress").Value = "127.0.0.1"
addElement.Properties.Item("allowed").Value = True
ipSecurityCollection.AddElement(addElement)

Set addElement1 = ipSecurityCollection.CreateNewElement("add")
addElement1.Properties.Item("ipAddress").Value = "169.254.0.0"
addElement1.Properties.Item("subnetMask").Value = "255.255.0.0"
ipSecurityCollection.AddElement(addElement1)

adminManager.CommitChanges()

共用方式為

FTP 安全性 <安全性> 區段群組;

概觀

相容性

設定

Windows Server 2012 或 Windows Server 2012 R2

Windows 8 或 Windows 8.1

Windows Server 2008 R2

Windows 7

Windows Server 2008 或 Windows Vista

作法

如何新增 FTP 授權規則

組態

屬性

子元素

組態範例

範例程式碼

AppCmd.exe

C#

VB.NET

JavaScript

VBScript

AppCmd.exe

C#

VB.NET

JavaScript

VBScript

意見反應

其他資源