Linux vsftp如何防止DDoS攻击

Linux vsftpd 防 DDoS 实用方案

一 核心思路

• 降低可被放大与占用的资源：限制并发会话、限制每 IP 会话、限制带宽、缩短超时，减少异常连接堆积与资源耗尽风险。
• 阻断恶意来源与异常行为：用防火墙/连接限制与自动化封禁工具（如 Fail2Ban）快速处置暴力与扫描。
• 减少攻击面与暴露：禁用匿名、强制 TLS/SSL、仅开放必要端口、必要时变更默认端口、启用 PASV 并收敛数据端口范围。
• 可观测与响应：开启日志、实时监控连接与速率、结合 IDS/IPS 与专业 DDoS 防护服务提升对抗能力。

二 vsftpd 服务侧关键配置

• 并发与会话控制
  • 设置总并发与每 IP 并发：例如 max_clients=100、max_per_ip=2（仅在 standalone 模式生效）。
  • 缩短空闲超时：例如 idle_session_timeout=300（默认 300 秒），尽快回收空连接。
• 带宽限速
  • 限制匿名与本地用户速率：例如 anon_max_rate=51200（约 50 KB/s）、local_max_rate=512000（约 500 KB/s），抑制大流量滥用。
• 访问与命令安全
  • 禁用匿名：anonymous_enable=NO；启用本地用户：local_enable=YES。
  • 禁耗资源命令：ls_recurse_enable=NO；禁用 ASCII 传输：ascii_download_enable=NO、ascii_upload_enable=NO（ASCII 易引发 DoS 与数据损坏）。
• 传输与加密
  • 启用日志：xferlog_enable=YES；必要时开启 log_ftp_protocol=YES 便于审计。
  • 强制加密传输（推荐）：配置 SSL/TLS，保护凭据与数据，降低被滥用风险。

三 防火墙与系统层加固

• 端口收敛与放行
  • 仅放行 21/TCP（控制）与被动端口段（如 30000:31000/TCP）；示例（UFW）：ufw allow 20/tcp；ufw allow 21/tcp；ufw allow 30000:31000/tcp。
  • 被动模式（PASV）下由客户端发起数据连接，更利于穿越 NAT/防火墙，同时便于收敛数据端口范围与做精确放行。
• 连接数限制与速率限制
  • 使用 iptables connlimit 限制 21 端口并发连接数，例如：iptables -A INPUT -p tcp --dport 21 -m connlimit --connlimit-above 10 -j REJECT（阈值按业务评估设置）。
  • 结合 Fail2Ban 监控 vsftpd 日志，自动封禁反复失败的来源 IP。
• 访问控制
  • 通过 /etc/hosts.allow 与 /etc/hosts.deny 做来源 IP 白/黑名单（如仅允许内网网段）：vsftpd:192.168.0.0/24:allow；all:all:deny。

四 监控 响应与架构优化

• 实时监控与告警
  • 使用 netstat/ss/lsof 观察连接数、半开连接与异常端口占用；结合 ELK 等日志平台做可视化与阈值告警。
• 纵深防护
  • 部署 IDS/IPS 识别异常 FTP 行为；在面临大流量时联动上游 DDoS 防护服务进行清洗与缓解。
• 高可用与分散
  • 通过 负载均衡 与多实例分散流量，单点受损不影响整体服务连续性。

五 快速配置示例

• 目标：最多 100 并发连接、每 IP 最多 2 个连接；匿名限速 50 KB/s、本地用户 500 KB/s；仅放通 21 与控制端口及 30000:31000 数据端口；缩短空闲超时；禁用匿名与危险命令；启用日志与被动模式。
• /etc/vsftpd/vsftpd.conf 关键项
  • anonymous_enable=NO
  • local_enable=YES
  • write_enable=YES
  • chroot_local_user=YES
  • xferlog_enable=YES
  • log_ftp_protocol=YES
  • idle_session_timeout=300
  • max_clients=100
  • max_per_ip=2
  • anon_max_rate=51200
  • local_max_rate=512000
  • ls_recurse_enable=NO
  • ascii_download_enable=NO
  • ascii_upload_enable=NO
  • pasv_enable=YES
  • pasv_min_port=30000
  • pasv_max_port=31000
  • ssl_enable=YES（并配置证书）
• 防火墙（UFW 示例）
  • ufw allow 20/tcp
  • ufw allow 21/tcp
  • ufw allow 30000:31000/tcp
• 验证与运维
  • 重载服务：systemctl reload vsftpd
  • 观察日志：tail -f /var/log/vsftpd.log
  • 按需调整阈值并观察连接与带宽指标，确保业务不受限。