Ubuntu FTPServer安全设置方法

Ubuntu FTPServer 安全设置方法

一 基础安全基线

• 安装与最小配置：使用vsftpd作为示例，安装后仅开启必要功能，禁用匿名访问，限制为本地用户登录，按需开启写入权限。示例关键配置：
  • anonymous_enable=NO
  • local_enable=YES
  • write_enable=YES（仅在需要时开启）
  • chroot_local_user=YES（将用户限制在其家目录）
  • allow_writeable_chroot=YES（如确需可写，见下文注意事项）
• 用户与目录：为 FTP 创建专用系统用户，家目录仅授予必要权限；避免使用共享或系统关键目录。
• 日志与审计：启用传输与访问日志，便于追踪异常行为。
  • xferlog_enable=YES
  • xferlog_std_format=YES
• 运行与更新：保持系统与软件包及时更新，并启用服务自启与监控。
  • sudo apt update && sudo apt upgrade -y
  • sudo systemctl enable --now vsftpd
• 安全提示：chroot 目录可写存在一定风险，若不需要上传，建议保持不可写；如必须可写，确保仅授予最小必要权限并定期审计。

二 启用 TLS/SSL 加密（FTPS）

• 证书准备：使用自签名或受信任 CA 证书。自签名示例（推荐将证书与私钥分文件存放）：
  • sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048
    -keyout /etc/ssl/private/vsftpd.key -out /etc/ssl/certs/vsftpd.crt
• vsftpd 启用加密：强制本地登录与数据传输使用 TLS，禁用不安全协议，指定证书路径。
  • ssl_enable=YES
  • allow_anon_ssl=NO
  • force_local_data_ssl=YES
  • force_local_logins_ssl=YES
  • ssl_tlsv1=YES
  • ssl_sslv2=NO
  • ssl_sslv3=NO
  • rsa_cert_file=/etc/ssl/certs/vsftpd.crt
  • rsa_private_key_file=/etc/ssl/private/vsftpd.key
• 重启服务：sudo systemctl restart vsftpd
• 客户端连接：使用支持 TLS 的客户端（如 FileZilla），选择显式 FTP over TLS（FTPES）。

三 被动模式与防火墙

• 被动模式端口范围：在 vsftpd.conf 中固定端口范围，便于防火墙放行。
  • pasv_enable=YES
  • pasv_min_port=30000
  • pasv_max_port=31000
• 防火墙放行（UFW 示例）：放行控制连接与被动端口范围。
  • sudo ufw allow 20/tcp
  • sudo ufw allow 21/tcp
  • sudo ufw allow 30000:31000/tcp
• 云环境注意：如存在云安全组/NACL，需同步放行上述端口范围。

四 用户权限与访问控制

• 禁用匿名：anonymous_enable=NO
• 目录隔离：chroot_local_user=YES 将用户锁定在其家目录；如确需可写，设置 allow_writeable_chroot=YES 并严格控制目录权限。
• 专用用户与组：创建ftpusers组，仅授予上传目录的写权限，禁止执行与浏览无关目录。
• 权限最小化：家目录建议权限为750/755，上传目录750，确保仅属主可写。
• 系统加固：如需进一步限制 FTP 用户登录系统，可在系统层面设置仅 SFTP或限制 shell 访问（如 /usr/sbin/nologin）。

五 日志监控与维护

• 日志配置：启用并定期轮转日志，便于审计与故障排查。
  • xferlog_enable=YES
  • xferlog_std_format=YES
  • 检查日志：/var/log/vsftpd.log 或系统日志（journalctl -u vsftpd）
• 持续维护：
  • 定期更新系统与 vsftpd：sudo apt update && sudo apt upgrade -y
  • 定期备份用户数据与配置（/etc/vsftpd.conf、证书、用户目录）
  • 如启用 SELinux/AppArmor，加载合适策略以进一步约束 vsftpd 权限。