Linux下vsftp安全设置：如何防范风险

Linux 下 vsftpd 安全设置与风险防范

一 基础加固与访问控制

• 禁用匿名访问：设置 anonymous_enable=NO，仅允许可信账号登录。
• 启用本地用户与必要写权限：设置 local_enable=YES；是否开启 write_enable=YES 取决于业务需求（只读场景建议关闭）。
• 限制用户目录：启用 chroot_local_user=YES 将用户囚禁在其家目录；若需允许写入，使用 allow_writeable_chroot=YES（注意某些发行版/版本对可写 chroot 有安全限制，必要时改为不可写 chroot + 可写子目录）。
• 精细化用户列表：启用 userlist_enable=YES，结合 userlist_deny=NO 与 /etc/vsftpd.user_list 实现“白名单”；同时利用 /etc/vsftpd.ftpusers 明确禁止高危系统账号（如 root、daemon 等）登录。
• 传输日志与审计：开启 xferlog_enable=YES 与 xferlog_std_format=YES，便于追踪上传下载与异常行为。

二 加密传输与端口策略

• 启用 TLS/SSL 加密：配置 ssl_enable=YES，并强制关键通道加密（建议至少启用）
  • force_local_logins_ssl=YES、force_local_data_ssl=YES
  • 如存在匿名，按需设置 allow_anon_ssl=NO/YES、force_anon_logins_ssl、force_anon_data_ssl
  • 证书建议使用受信任 CA 或企业 CA 签发的证书，妥善保护私钥。
• 主动/被动模式端口：
  • 主动模式数据端口固定为 20/tcp（控制端口 21/tcp）；
  • 被动模式需开放一段高位端口范围（如 30000–31000/tcp），并在防火墙放行对应区间，避免随机端口带来的暴露与运维困难。
• 端口与连接管控：不建议仅依赖“改端口”提升安全，但如确需变更，可设置 listen_port=2123 与 ftp_data_port=2020 并同步防火墙策略；同时可限制并发与速率：max_clients=100、max_per_ip=5、local_max_rate=307200（约 300 KB/s）。

三 用户与系统层防护

• 禁止 FTP 账号通过 SSH 登录：为 FTP 专用账号设置受限 shell（如 /usr/sbin/nologin），并确保 /etc/shells 包含该 shell，避免被滥用为系统登录入口。
• 目录与权限最小化：家目录属主属组设为该 FTP 用户，权限 750/755；上传目录单独设置可写，避免全局可写；必要时使用 chroot 隔离。
• 系统更新与补丁：保持 vsftpd 与操作系统组件及时更新，修复已知漏洞。

四 防火墙与访问控制示例

• UFW 示例（开放控制与被动端口区间）：
  • 命令：sudo ufw allow 20/tcp、sudo ufw allow 21/tcp、sudo ufw allow 30000:31000/tcp、sudo ufw reload
• 按需限制来源 IP：仅允许办公网段或跳板机访问 FTP 控制端口，减少暴露面。
• 主机访问控制：如需更细粒度控制，可结合 tcp_wrappers（/etc/hosts.allow、/etc/hosts.deny）限制来源主机访问；注意部分发行版构建 vsftpd 时需显式支持 tcp_wrappers。

五 最小化配置示例与验证

• 示例 /etc/vsftpd.conf（按需裁剪）：
  • 基础与日志：anonymous_enable=NO、local_enable=YES、write_enable=NO、xferlog_enable=YES、xferlog_std_format=YES
  • 隔离与名单：chroot_local_user=YES、allow_writeable_chroot=YES、userlist_enable=YES、userlist_deny=NO、userlist_file=/etc/vsftpd.user_list
  • 加密（示例）：ssl_enable=YES、force_local_logins_ssl=YES、force_local_data_ssl=YES
  • 被动端口（示例）：pasv_min_port=30000、pasv_max_port=31000
• 生效与验证：
  • 重启服务：sudo systemctl restart vsftpd
  • 客户端验证：使用 FileZilla 等支持 FTPS 的客户端，确认能登录、列目录与（在允许时）上传下载；检查日志是否产生 xferlog 记录。