vsftp在debian上如何进行安全加固

vsftp在Debian上的安全加固清单

一 基础安全配置

• 安装与备份
  • 安装：sudo apt update && sudo apt install vsftpd
  • 备份：sudo cp /etc/vsftpd.conf /etc/vsftpd.conf.bak-$(date +%F)
• 核心参数（/etc/vsftpd.conf）
  • 禁用匿名：anonymous_enable=NO
  • 仅本地用户：local_enable=YES
  • 写权限按需：write_enable=YES/NO
  • 锁定用户家目录：chroot_local_user=YES
  • 如必须可写（存在风险）：allow_writeable_chroot=YES
  • 日志与识别：xferlog_enable=YES、xferlog_std_format=YES、ftpd_banner=Authorized access only
  • 访问控制：userlist_enable=YES、userlist_deny=NO、userlist_file=/etc/vsftpd.user_list
  • 说明：chroot_list_enable 与 chroot_local_user 的组合决定“哪些用户被锁定/豁免”，请按策略选择并保持一致。

二 加密传输与证书配置

• 启用 TLS/SSL
  • 生成自签证书（示例，生产建议用受信任 CA）：
    • sudo mkdir -p /etc/ssl/private && sudo chmod 700 /etc/ssl/private
    • sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem
  • 配置 vsftpd
    • ssl_enable=YES
    • allow_anon_ssl=NO
    • force_local_data_ssl=YES
    • force_local_logins_ssl=YES
    • ssl_tlsv1_2=YES
    • ssl_sslv3=NO、ssl_sslv2=NO
    • rsa_cert_file=/etc/ssl/private/vsftpd.pem
    • rsa_private_key_file=/etc/ssl/private/vsftpd.pem
  • 客户端连接：使用 FTP over TLS/SSL（显式，端口 21） 或 FTPS（隐式，端口 990）。

三 被动模式端口与防火墙

• vsftpd 被动端口范围（示例开放 40000–50000）
  • pasv_enable=YES
  • pasv_min_port=40000
  • pasv_max_port=50000
• 防火墙放行（UFW）
  • 显式 FTP：sudo ufw allow 21/tcp
  • FTPS（如启用）：sudo ufw allow 990/tcp
  • 被动端口范围：sudo ufw allow 40000:50000/tcp
• 云厂商安全组：同样放行上述端口范围。

四 用户与权限管理

• 专用 FTP 用户
  • 创建系统用户并限制 shell：sudo adduser --shell /usr/sbin/nologin ftpuser
  • 家目录与属主：sudo chown ftpuser:ftpuser /home/ftpuser && sudo chmod 755 /home/ftpuser
  • 如需写入，确保目录可写且理解 chroot 风险；必要时再启用 allow_writeable_chroot=YES
• 登录白名单
  • 在 /etc/vsftpd.user_list 中仅保留允许登录的用户名（每行一个）
  • 配置：userlist_enable=YES、userlist_deny=NO
• 禁止登录的系统账号
  • 确保 /etc/ftpusers 包含 root、daemon、bin 等不应登录的系统账户。

五 资源限制与日志审计

• 传输与连接限制
  • 带宽限制（单位：字节/秒）：local_max_rate=307200（约 300 KB/s）、anon_max_rate=307200
  • 并发限制：max_clients=100、max_per_ip=5
• 日志与监控
  • 传输日志：xferlog_enable=YES、xferlog_std_format=YES
  • 建议启用系统日志（rsyslog）集中审计，并定期查看 /var/log/xferlog 与 /var/log/vsftpd.log
• 服务与应用安全
  • 保持更新：sudo apt update && sudo apt upgrade vsftpd
  • 仅开放必要端口与功能，最小化权限与可写范围
  • 变更后重启：sudo systemctl restart vsftpd 并做连通性与功能回归测试（含 TLS/被动端口）。