Linux vsftp权限管理：如何精细控制用户访问 - 问答

vsftpd 精细访问控制的落地方案

一核心思路与最小安全基线

禁用匿名访问，仅启用本地或虚拟用户；开启全局写入开关仅在有上传需求时再放开到具体用户或目录。
强制目录隔离（chroot），避免用户越权浏览系统目录；必要时使用“可写 chroot”方案，但更推荐将可写目录做成子目录并单独赋权。
使用用户白名单（userlist）与黑名单（ftpusers）配合，缩小可登录账户范围。
通过 per-user 配置目录（user_config_dir）为不同用户/组定制根目录、权限与命令集合。
启用传输加密（FTPS）并收紧防火墙策略，仅开放必要端口。

二关键配置与含义

基础开关
- anonymous_enable=NO：关闭匿名；local_enable=YES：允许本地用户；write_enable=YES/NO：全局写入总开关。
目录隔离
- chroot_local_user=YES/NO 与 chroot_list_enable=YES/NO、chroot_list_file=/path 的组合决定“哪些用户被锁在家目录”。典型用法：chroot_local_user=YES 锁定全部，再用 chroot_list_file 白名单放行特定用户可跳出；或相反仅对列表内用户加锁。
用户访问控制
- userlist_enable=YES、userlist_file=/etc/vsftpd.userlist、userlist_deny=NO 表示“仅允许列表内用户登录”；/etc/vsftpd.ftpusers 为系统级黑名单（PAM 层面生效）。
细粒度权限
- download_enable=YES/NO 控制下载；local_umask=022 控制本地用户上传文件默认权限；user_config_dir=/etc/vsftpd/users 指定“每用户配置文件”目录，实现不同用户不同根目录与权限。
命令白名单
- cmds_allowed=… 可精确允许/禁止诸如 RETR（下载）、STOR（上传）、DELE（删除）、MKD/RMD（新建/删除目录）、RNFR/RNTO（重命名）等命令，适合“只上传不可下载”“只下载不可删除”等场景。

三典型场景与配置示例

场景A 本地用户分权限：只读用户、只上传用户、管理员
1. 建立系统用户与目录
  - useradd -s /sbin/nologin -d /data/ftp/readonly readonly
  - useradd -s /sbin/nologin -d /data/ftp/upload upload
  - useradd -s /sbin/nologin -d /data/ftp/admin admin
  - 目录与权限示例：/data/ftp 755，readonly 750（属主只读组只读），upload 730（仅属主可写不可读），admin 755。
2. 全局 vsftpd.conf 要点
  - anonymous_enable=NO
  - local_enable=YES
  - write_enable=YES
  - chroot_local_user=YES
  - allow_writeable_chroot=NO（更安全：可写目录放到子目录）
  - userlist_enable=YES
  - userlist_file=/etc/vsftpd.userlist
  - userlist_deny=NO
  - user_config_dir=/etc/vsftpd/users
3. 逐用户配置
  - /etc/vsftpd/users/readonly：download_enable=YES；write_enable=NO
  - /etc/vsftpd/users/upload：download_enable=NO；write_enable=YES；cmds_allowed=FEAT,REST,CWD,LIST,MKD,NLST,PASS,PASV,PORT,PWD,QUIT,STOR,TYPE,USER,ACCT,APPE,CDUP,HELP,MODE,NOOP,REIN,STAT,STOU,STRU,SYST（去除了 RETR/DELE/RNFR/RNTO）
  - /etc/vsftpd/users/admin：download_enable=YES；write_enable=YES
4. 白名单
  - /etc/vsftpd.userlist：写入 readonly、upload、admin
5. 重启服务：systemctl restart vsftpd
场景B 虚拟用户三位一体：admin/upload/download（系统不可登录、各自目录、不同权限）
1. 建立映射用户与根目录
  - useradd -s /sbin/nologin -d /data/vftp vftp
2. 生成虚拟用户数据库
  - /etc/vsftpd/vusers.txt：每行“用户名/密码”；执行 db_load -T -t hash -f vusers.txt /etc/vsftpd/vusers.db；chmod 600 /etc/vsftpd/vusers.db
3. PAM 认证
  - /etc/pam.d/vsftpd：auth required pam_userdb.so db=/etc/vsftpd/vusers；account required pam_userdb.so db=/etc/vsftpd/vusers
4. vsftpd.conf 要点
  - anonymous_enable=NO
  - local_enable=YES
  - guest_enable=YES
  - guest_username=vftp
  - virtual_use_local_privs=YES
  - user_sub_token=$USER
  - local_root=/data/vftp/$USER
  - chroot_local_user=YES
  - allow_writeable_chroot=NO
  - user_config_dir=/etc/vsftpd/vusers
5. 逐虚拟用户配置（/etc/vsftpd/vusers/*.conf）
  - admin：download_enable=YES；write_enable=YES
  - upload：download_enable=NO；write_enable=YES；cmds_allowed=…（去 RETR/DELE/RNFR/RNTO）
  - download：download_enable=YES；write_enable=NO
6. 重启服务：systemctl restart vsftpd
场景C 部门隔离与配额
- 目录结构：/ftp/dep1、/ftp/dep2、/ftp/public；用户仅能访问本部门与 public；管理员可全访问。
- 通过用户组与目录 ACL/属主实现“读/写/不可删除”策略；必要时挂载分区启用磁盘配额（usrquota/grpquota）限制空间与文件数。

四安全加固与网络要点

传输加密
- 启用 FTPS（推荐）：配置证书后使用端口 990/TCP 控制连接，数据连接走被动模式端口段；或启用 TLS 显式模式（端口 21/TCP）。防火墙仅放行所需端口段。
防火墙与被动模式
- 放行 21/TCP（控制）与被动端口范围（如 10090–10100/TCP）；vsftpd.conf 设置 pasv_enable=YES、pasv_min_port/pasv_max_port。
SELinux（如启用）
- 允许家目录访问：setsebool -P ftp_home_dir on；必要时调整目录安全上下文。
系统层加固
- 禁止 FTP 账户登录 shell：usermod -s /sbin/nologin ；确保被 chroot 的根目录不可被 FTP 用户整体写入（可写目录放到子目录并单独赋权）。

五排错与验证清单

登录失败
- 检查 /etc/vsftpd.ftpusers 黑名单、/etc/vsftpd.userlist 白名单与 PAM 配置是否冲突；查看日志（journalctl -u vsftpd 或 /var/log/vsftpd.log）。
能登录但“Permission denied”
- 目录属主/权限与 SELinux 上下文是否正确；chroot 根目录是否可写（若 allow_writeable_chroot=NO，需将可写目录放到子目录）。
能上传但无法下载（或相反）
- 检查全局 write_enable、download_enable 与 per-user 配置；若使用 cmds_allowed，确认包含/排除了 RETR/STOR/DELE 等命令。
被动模式超时
- 核对防火墙与 vsftpd 的 pasv_min_port/pasv_max_port 一致；云主机需放通对应安全组端口段。

0 赞

0 踩