Plusieurs versions de serveurs TFTP ¹⁾ sont disponibles sur la majorité des distributions GNU/Linux :

• tftpd – Trivial file transfer protocol server ;
• atftpd – Advanced TFTP server ;
• tftpd-hpa – HPA’s tftp server ;
• dnsmasq – Lightweight DNS, TFTP and DHCP server.

Le service TFTP est largement utilisé par PXE pour charger des images via le réseau et démarrer des systèmes sans disques, automatiser des installations, charger des programmes de diagnostic etc.

De nombreux matériels réseau permettent de charger/exporter leurs configurations via TFTP.

Via le gestionnaire de paquetage, installer le paquet tftp-hpa :

sudo apt-get install tftpd-hpa

Pour vérifier l'état du service :

systemctl status tftpd-hpa.service
 
netstat -anpe | grep :69

Le fichier de configuration par défaut est minimaliste :

tftpd-hpa

# /etc/default/tftpd-hpa
 
TFTP_USERNAME="tftp"
TFTP_DIRECTORY="/srv/tftp"
TFTP_ADDRESS=":69"
TFTP_OPTIONS="--secure"

L'installateur crée un dossier /srv/tftp c'est le dossier racine du serveur (l'option --secure active un chroot). Le dossier appartient à root, l'utilisateur tftp qui exécute le service n'a qu'un accès en lecture.

Avec la configuration par défaut, l'utilisateur pourra downloader les fichiers disponibles sur le serveur mais ne pourra pas uploader des fichiers.

# Désactive le démarrage automatique du service
systemctl disable tftpd-hpa.service 

Pour limiter l'accès au service TFTP, selon le mode de compilation du programme, il faudra utiliser :

• soit les règles appropriées du pare-feu ;
• soit s'appuyer sur la base host_access (confère man tftpd section SECURITY).

hosts.deny

# /etc/hosts.deny: list of hosts that are _not_ allowed to access the system.
#                  See the manual pages hosts_access(5) and hosts_options(5).
#
# Example:    ALL: some.host.name, .some.domain
#             ALL EXCEPT in.fingerd: other.host.name, .other.domain
#
# If you're going to protect the portmapper use the name "rpcbind" for the
# daemon name. See rpcbind(8) and rpc.mountd(8) for further information.
#
# The PARANOID wildcard matches any host whose name does not match its
# address.
#
# You may wish to enable this to ensure any programs that don't
# validate looked up hostnames still leave understandable logs. In past
# versions of Debian this has been the default.
# ALL: PARANOID
 
# Tout service non explicitement autorisé est bloqué
ALL: ALL

hosts.allow

# /etc/hosts.allow: list of hosts that are allowed to access the system.
#                   See the manual pages hosts_access(5) and hosts_options(5).
#
# Example:    ALL: LOCAL @some_netgroup
#             ALL: .foobar.edu EXCEPT terminalserver.foobar.edu
#
# If you're going to protect the portmapper use the name "rpcbind" for the
# daemon name. See rpcbind(8) and rpc.mountd(8) for further information.
#
in.tftpd: LOCAL 192.168.1.0/24

• Voir pourquoi le service est accessible alors que le pare-feu est paramétré pour interdire l’accès ;
• Voir désactivation du service.

Par défaut le serveur TFTP rend accessible ses fichiers aux clients mais ne permet pas la création de nouveau contenu/l'écriture de fichiers. Il est cependant possible d'autoriser l'upload de fichiers sur le serveur TFTP.

Si le serveur n'est pas paramétré pour accepter la création de nouveaux fichiers, lors de l'utilisation de la commande put une erreur avec le message File not found est retournée:

tftp> put prise-A10.txt
Error code 1: File not found

Modifier le fichier de configuration :

Modifier les droits sur le dossier racine du serveur TFTP, l'utilisateur tftp doit avoir les droits d'écriture. Si les droit ne sont pas correctment positionnés, on obtient un message 'Error code 0: Permission denied'' :

sudo chown tftp:tftp /srv/tftp/

Relancer le service

systemctl restart tftpd-hpa.service

Modifier le masque associé à l'utilisateur tftp pour que les fichiers créés ne soient accessibles qu'en lecture aux utilisateurs du système (other).

• Configurer un serveur TFTP sous Debian (cyberciti.biz)
• Configurer un serveur TFTP sous Ubuntu Server (it-connect.fr)
• Configurer un serveur TFTP sous Ubuntu pour maintenir et mettre à jour un switch Cisco
• Installer un serveur TFTP sous Debian 11
• Documentation Ubuntu : TFTP
• man tftpd