怎样让Ubuntu FTP更安全

Ubuntu FTP安全加固实操指南

一 基础加固与最小暴露

• 保持系统与软件更新：执行sudo apt update && sudo apt upgrade，及时修补漏洞。
• 安装并启用vsftpd：sudo apt install vsftpd。
• 核心配置 /etc/vsftpd.conf（示例为最小安全基线）：
  • 禁用匿名与危险功能：anonymous_enable=NO，local_enable=YES，write_enable=YES（按需），chroot_local_user=YES。
  • 日志与审计：xferlog_enable=YES，xferlog_std_format=YES，并保留**/var/log/vsftpd.log**用于安全审计。
  • 监听与IPv6：按需设置listen=YES，listen_ipv6=NO（如无需IPv6）。
  • 可选性能与隐私：reverse_lookup_enable=NO（减少DNS反向解析延迟与信息泄露）。
• 权限最小化：为用户主目录设置chown ftpuser:ftpuser /home/ftpuser与chmod 755 /home/ftpuser；如需上传，优先使用子目录并单独赋权，避免主目录可写。
• 重启生效：sudo systemctl restart vsftpd。

二 加密传输与端口管理

• 生成证书（自签或CA签发）：
  • 自签示例：sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem。
• 启用FTPS（FTP over SSL/TLS）：/etc/vsftpd.conf 中加入或修改
  • 基础：ssl_enable=YES，rsa_cert_file=/etc/ssl/private/vsftpd.pem，rsa_private_key_file=/etc/ssl/private/vsftpd.pem。
  • 强制加密：force_local_logins_ssl=YES，force_local_data_ssl=YES。
  • 协议与套件：禁用不安全协议（ssl_sslv2=NO，ssl_sslv3=NO），启用ssl_tlsv1=YES或更高；可按需设置ssl_ciphers=HIGH。
• 被动模式端口范围：设置pasv_enable=YES，pasv_min_port=40000，pasv_max_port=50000（范围可自定义，便于防火墙放行）。
• 防火墙放行（UFW示例）：
  • 控制与数据：sudo ufw allow 20/tcp，sudo ufw allow 21/tcp。
  • 隐式FTPS端口：sudo ufw allow 990/tcp（如使用隐式FTPS）。
  • 被动端口范围：sudo ufw allow 40000:50000/tcp。
• 重启服务：sudo systemctl restart vsftpd。

三 用户与访问控制

• 禁用匿名访问：anonymous_enable=NO。
• 仅允许特定用户：启用userlist_enable=YES与userlist_deny=NO，在**/etc/vsftpd.user_list中白名单化账户；必要时使用tcp_wrappers**进行访问控制。
• 目录隔离与写入策略：
  • 推荐将用户chroot到其主目录；若必须允许在chroot内写入，谨慎使用allow_writeable_chroot=YES，更安全的做法是仅对特定子目录赋权。
  • 使用专用FTP用户组，通过chown/chmod限制目录可见性与可写范围。
• 系统加固：为FTP用户设置强密码策略并定期更换；按需启用SELinux/AppArmor对vsftpd进行强制访问控制。

四 监控 备份与替代方案

• 持续监控与审计：
  • 实时连接检查：sudo ss -tulpen | grep :21 或 sudo netstat -tuln | grep ftp。
  • 日志分析：定期审阅**/var/log/vsftpd.log与/var/log/xferlog**，关注失败登录、异常IP与大量传输。
• 备份与恢复：对**/etc/vsftpd.conf**、用户主目录与证书实施定期备份与异地存放，确保可快速恢复。
• 更安全的替代方案（推荐优先）：使用**SFTP（基于SSH）**替代明文/仅FTPS方案。示例要点：
  • 安装OpenSSH：sudo apt install openssh-server。
  • 配置 /etc/ssh/sshd_config：
    • Subsystem sftp internal-sftp
    • Match Group sftp
      • ChrootDirectory %h
      • ForceCommand internal-sftp
      • AllowTcpForwarding no，X11Forwarding no
  • 创建SFTP用户与目录：
    • sudo adduser sftpuser，加入sftp组；
    • 家目录属主设为root:root且权限755，可写目录放在子目录并单独赋权给sftpuser。
  • 重启SSH：sudo systemctl restart sshd。