Linux vsftpd 与 SSL 加密的安全加固指南
一 协议与端口选择
- 明确区分两种方案：FTPS（FTP over SSL/TLS）与SFTP（SSH File Transfer Protocol）。FTPS在FTP之上叠加TLS，存在显式（FTPES，端口 21）与隐式（端口 990）两种模式；SFTP基于SSH，默认端口22，不依赖FTP控制通道。
- 防火墙与合规要求决定端口策略：若需通过公司防火墙或合规审计，优先选择显式 FTPS（21）或SFTP（22）；隐式 FTPS（990）在某些网络环境可能被限制。
- 被动模式（PASV）必须开放一段高位端口范围，便于数据通道建立（下文给出示例区间）。
二 快速加固步骤 vsftpd + SSL/TLS（FTPS）
- 安装与基础安全
- 安装：Debian/Ubuntu 执行sudo apt install vsftpd；CentOS/RHEL 执行sudo yum install vsftpd。
- 建议最小配置：
- anonymous_enable=NO（禁止匿名）
- local_enable=YES、write_enable=YES（本地用户与写权限）
- chroot_local_user=YES（锁定用户主目录；若必须可写，谨慎使用allow_writeable_chroot=YES）
- 生成证书与密钥
- 自签名示例（合并证书与私钥，便于管理）：
- sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem
- 启用并强制 TLS
- 核心配置示例：
- ssl_enable=YES
- allow_anon_ssl=NO
- force_local_data_ssl=YES、force_local_logins_ssl=YES
- 协议与套件：ssl_tlsv1=YES、ssl_sslv2=NO、ssl_sslv3=NO、ssl_ciphers=HIGH
- 证书路径：rsa_cert_file=/etc/ssl/private/vsftpd.pem、rsa_private_key_file=/etc/ssl/private/vsftpd.pem
- 被动模式端口范围
- 建议固定区间并放行防火墙，例如：pasv_min_port=30000、pasv_max_port=31000。
- 日志与重启
- xferlog_enable=YES、xferlog_std_format=YES
- 重启服务：sudo systemctl restart vsftpd
- 防火墙放行
- UFW（Ubuntu/Debian）：sudo ufw allow 20/tcp、sudo ufw allow 21/tcp、sudo ufw allow 990/tcp、sudo ufw allow 30000:31000/tcp
- firewalld（CentOS/RHEL）：sudo firewall-cmd --permanent --add-port=20/tcp --add-port=21/tcp --add-port=990/tcp --add-port=30000-31000/tcp && sudo firewall-cmd --reload
- 客户端验证
- 使用FileZilla连接，协议选择FTP - SSL/TLS（显式，端口 21）或FTPES，确认连接信息显示“TLS/SSL 已启用”。
三 防火墙与被动模式要点
- 主动模式由服务器发起数据连接，通常需放行20/tcp；被动模式由客户端发起，必须提前在服务器与防火墙中固定并放行一段高位端口范围（如30000–31000或50000–50100），否则数据通道会失败。
- 若使用隐式 FTPS（990/tcp），需确保客户端与服务端一致，并在防火墙放行990/tcp。
四 证书与协议的最佳实践
- 证书管理
- 自签名证书便于快速启用，但客户端会提示不受信任；生产环境建议使用Let’s Encrypt或企业CA签发证书，并在客户端正确部署根证书。
- 协议与套件
- 禁用不安全协议：SSLv2/SSLv3；优先启用TLSv1.2/TLSv1.3（若 vsftpd 版本支持），并设置ssl_ciphers=HIGH以限制弱加密套件。
- 强制加密
- 通过force_local_data_ssl与force_local_logins_ssl确保所有登录与数据传输均走加密通道，避免明文回退。
五 替代方案 SFTP 的推荐场景
- 若对防火墙策略、NAT穿透与证书管理复杂度敏感，优先考虑SFTP（基于 OpenSSH）：
- 安装：sudo apt install openssh-server 或 sudo yum install openssh-server
- 配置：编辑**/etc/ssh/sshd_config**，确保Subsystem sftp /usr/lib/openssh/sftp-server未被注释
- 重启：sudo systemctl restart ssh
- 客户端使用**SFTP 协议（端口 22）**连接，天然加密、部署简单、审计友好。