Настройка FTP-сервера на Windows Server (IIS FTP)

В офисе скопились десятки гигабайт рабочих документов, дистрибутивов и резервных копий. Обмениваться файлами через общие папки SMB удобно внутри сети, но как быть с удалёнными сотрудниками или филиалами? Открывать SMB (порты 445, 139) в интернет смертельный номер: протокол небезопасен, его постоянно атакуют шифровальщики. Нужен простой, стандартизированный и относительно безопасный способ передачи файлов через интернет или внутри корпоративной сети без риска подхватить вирус.

Многие вспоминают про FTP. Но старый добрый FTP передаёт логин и пароль в открытом виде, что тоже небезопасно. Однако современные версии FTP-сервера на Windows поддерживают FTP over SSL (FTPS), который шифрует канал и делает передачу данных защищённой.

В Windows Server встроен компонент FTP-сервера как часть роли IIS (Internet Information Services). Он позволяет быстро развернуть FTP-сервер с поддержкой виртуальных хостов, изоляции пользователей, SSL/TLS шифрованием и интеграцией с Active Directory. Настроив FTPS, вы получите безопасный доступ к файлам из любой точки мира, используя любой FTP-клиент.

Мы пройдём путь от установки роли до создания защищённого FTP-сайта с пользователями из AD (или локальными учётками) и настроим брандмауэр, чтобы сервер был доступен извне.

Шаг 1. Установка роли FTP-сервера

1. Откройте Диспетчер серверов (Server Manager).
2. Нажмите Управление, Добавить роли и компоненты.
3. Выберите тип установки: Установка ролей или компонентов.
4. Выберите целевой сервер.
5. В списке ролей разверните Веб-сервер (IIS), FTP-сервер. Отметьте:
   • Служба FTP (FTP Service)
   • Расширяемость FTP (FTP Extensibility) если планируете использовать нестандартные возможности.
6. При необходимости мастер предложит добавить компоненты .NET соглашайтесь.
7. Нажмите Далее и установите.

После установки перезагрузка не требуется, но лучше перезапустить службы IIS.

Шаг 2. Создание FTP-сайта

1. Откройте Диспетчер служб IIS (inetmgr).
2. В левом дереве выберите узел Сайты (Sites).
3. Нажмите правой кнопкой → Добавить FTP-сайт….
4. Укажите Имя FTP-сайта (например, «Corporate FTP») и Физический путь к папке, которая будет корнем FTP (например, D:\FTPRoot). Папка должна существовать.
5. Нажмите Далее.
6. Настройка привязки и SSL:
   • IP-адрес: выберите конкретный IP или «Все свободные».
   • Порт: 21 (стандартный).
   • Включить виртуальные имена хостов: можно оставить пустым, если FTP работает по IP.
   • SSL: выберите Разрешить SSL или Требовать SSL (если у вас есть сертификат). Для теста можно выбрать Без SSL, но для продакшена обязательно используйте SSL. Если сертификата нет, выберите «Разрешить SSL», потом настроите.
   • Сертификат SSL: если есть готовый (например, самоподписанный или от центра сертификации), выберите его. Можно создать самоподписанный позже в IIS.
7. Нажмите Далее.
8. Настройка проверки подлинности и авторизации:
   • Анонимная проверка подлинности: снимите, если не нужен гостевой доступ.
   • Обычная проверка подлинности: включите (это передача логина/пароля в открытом виде, но при SSL шифруется).
   • Авторизация: выберите, кому разрешено. Например, «Указанные роли или группы пользователей» и введите «Администраторы», или «Все пользователи», или конкретных пользователей через «Указанные пользователи».
   • Разрешения: чтение и запись.
9. Нажмите Готово.

FTP-сайт создан и запущен.

Шаг 3. Настройка SSL для FTPS

Чтобы шифровать канал, нужен SSL-сертификат. Можно использовать самоподписанный (для внутреннего использования) или приобретённый (для внешнего доступа).

Создание самоподписанного сертификата в IIS:

1. В диспетчере IIS выберите узел сервера (верхний уровень).
2. Дважды щёлкните Сертификаты сервера (Server Certificates).
3. В правой панели нажмите Создать самозаверяющий сертификат….
4. Задайте понятное имя, например «FTP Self-Signed».
5. Нажмите ОК.

Привязка сертификата к FTP-сайту:

1. Выберите ваш FTP-сайт в дереве.
2. В правой панели нажмите Привязки… (Bindings).
3. Выберите привязку типа ftp и нажмите Изменить.
4. В разделе SSL-сертификат выберите созданный сертификат.
5. Установите Требовать SSL-соединение (если хотите принудительно).
6. Закройте окно.

Теперь FTP-сервер будет работать только по защищённому соединению.

Шаг 4. Настройка брандмауэра

Для доступа из внешней сети нужно открыть порты:

• TCP 21  управляющее соединение.
• TCP 1024–65535 для пассивного режима передачи данных (диапазон можно сузить, настроив IIS).

Настройка диапазона пассивных портов в IIS:

1. Откройте Диспетчер IIS, выберите узел сервера.
2. Дважды щёлкните FTP-поддержка брандмауэра (FTP Firewall Support).
3. В поле Диапазон портов для пассивного режима укажите, например, 30000-30999.
4. В поле Внешний IP-адрес укажите публичный IP-адрес сервера (если за NAT).
5. Нажмите Применить.

Теперь откройте эти порты в брандмауэре Windows:

1. Откройте Брандмауэр Защитника Windows в режиме повышенной безопасности.
2. Создайте входящие правила для портов 21 и 30000-30999 (TCP). Можно разрешить только для профиля «Частный» или «Доменный», если сервер в локальной сети, или «Общественный», если он доступен из интернета.

Если сервер стоит за NAT (роутером), настройте проброс портов на роутере.

Шаг 5. Создание пользователей и папок

Для доступа к FTP можно использовать локальные учётные записи Windows или доменные (если сервер в домене). Каждому пользователю можно назначить собственную корневую папку, чтобы он не видел чужие файлы.

Изоляция пользователей FTP:

1. В корне FTP (например, D:\FTPRoot) создайте папку LocalUser.
2. Внутри создайте папки с именами пользователей (для локальных Public, для доменных — имя_домена\имя_пользователя, но проще использовать локальных).
3. Для включения изоляции:
   • В диспетчере IIS выберите FTP-сайт.
   • Дважды щёлкните FTP-изоляция пользователей (FTP User Isolation).
   • Выберите Имя каталога пользователя (отключить глобальные виртуальные каталоги) или Имя каталога пользователя (включить глобальные виртуальные каталоги).
   • Укажите путь относительно корня FTP.
4. Примените настройки.

Теперь при входе пользователь автоматически направляется в свою папку.

Если нужно создать общего анонимного пользователя, включите анонимную аутентификацию и укажите учётную запись IUSR.

Шаг 6. Проверка работы

1. На клиентском компьютере откройте любой FTP-клиент (FileZilla, WinSCP, даже проводник Windows).
2. Введите адрес: ftp://сервер или ftps://сервер для защищённого соединения. Укажите порт 21.
3. Введите логин и пароль созданного пользователя.
4. Проверьте, что файлы загружаются и скачиваются.

В проводнике Windows можно подключить сетевой диск по FTP, но учтите, что проводник плохо поддерживает FTPS. Лучше использовать специализированные клиенты.

Шаг 7. Настройка автоматического запуска и мониторинга

Службы FTP и IIS запускаются автоматически при старте Windows. Проверьте это в оснастке services.msc (службы FTP Publishing Service и World Wide Web Publishing Service).

Для мониторинга можно просматривать логи IIS в папке %SystemDrive%\inetpub\logs\LogFiles\FTPSVC. Там записываются все подключения и ошибки.

Возможные проблемы и их решение

FTP-сервер на базе IIS это быстрое и надёжное решение для организации файлового обмена в корпоративной сети или через интернет. Главное не забыть про SSL шифрование и правильную настройку брандмауэра. В сочетании с изоляцией пользователей вы получаете безопасное хранилище, где каждый видит только свои файлы. При необходимости всегда можно расширить функционал с помощью дополнительных модулей IIS.