Linux vsftp与SELinux集成：如何提高系统安全性

vsftpd 与 SELinux 集成的加固方案

一 基线配置与最小权限

• 安装与启动：安装 vsftpd，启用服务并设置开机自启。
• 核心配置建议（/etc/vsftpd/vsftpd.conf）：
  • 禁用匿名：anonymous_enable=NO
  • 启用本地用户：local_enable=YES
  • 允许写入：write_enable=YES
  • 禁锢用户到主目录：chroot_local_user=YES
  • 允许被禁锢用户有写权限：allow_writeable_chroot=YES
• SELinux 模式：生产环境使用 Enforcing，临时切换命令：setenforce 1；永久配置在 /etc/selinux/config 中设置 SELINUX=enforcing。
• 防火墙放行：使用 firewalld 放行 FTP 服务或端口（示例：firewall-cmd --zone=public --add-service=ftp --permanent && firewall-cmd --reload）。

二 端口与布尔值的 SELinux 正确配置

• 端口标签：FTP 控制端口 21/tcp 需标记为 ftp_port_t；数据端口 20/tcp 同样使用 ftp_port_t。命令示例：semanage port -a -t ftp_port_t -p tcp 21（如已存在可跳过）。
• 自定义端口：若修改 vsftpd 的 listen_port=2121，需同步执行：semanage port -a -t ftp_port_t -p tcp 2121，并在防火墙放行 2121/tcp，否则连接将被 SELinux 拒绝。
• 常用布尔值（按需开启，优先最小权限）：
  • 本地用户家目录访问：setsebool -P ftp_home_dir 1
  • 需要完全访问时（谨慎）：setsebool -P ftpd_full_access 1
  • 匿名写（仅用于 /var/ftp 的匿名场景）：setsebool -P allow_ftpd_anon_write 1
• 原则：能用精细布尔值就不用宽泛的 ftpd_full_access，避免扩大攻击面。

三 文件与目录的安全上下文

• 用户主目录与数据目录：确保用户家目录与数据目录具有正确的 SELinux 类型，常用为 user_home_t（用户家目录）或 public_content_t / public_content_rw_t（共享发布目录）。修复与验证命令：
  • 查看：ls -Zd /path
  • 临时修复：chcon -Rv --reference=/home/youruser /home/youruser
  • 永久修复：semanage fcontext -a -t user_home_t “/home(/.*)?” 后执行 restorecon -Rv /home
• 匿名发布目录：/var/ftp 下用于匿名读写的目录（如 /var/ftp/pub）应设置为 public_content_rw_t，示例：
  • semanage fcontext -a -t public_content_rw_t “/var/ftp/pub(/.*)?”
  • restorecon -RvvF /var/ftp/pub
• 注意：vsftpd 的 chroot 要求被禁锢目录不可对 FTP 进程可写（除非启用 allow_writeable_chroot），否则会被 SELinux 拒绝；同时请勿将 /var/ftp 根目录设为 777。

四 日志分析与故障排查

• 实时监控：查看 /var/log/audit/audit.log 中的 AVC 拒绝记录：tail -f /var/log/audit/audit.log
• 检索与报告：ausearch -m avc -ts recent、aureport -m avc
• 原因诊断与修复建议：ausearch -m avc -ts recent | audit2why；若需临时排障可切到 Permissive 模式：setenforce 0，定位后再恢复 setenforce 1。

五 安全加固清单与最佳实践

• 身份与访问控制：优先使用 本地用户 + TLS/SSL（FTPS） 或迁移到 SFTP；禁用匿名除非明确必要；为 FTP 用户设置受限 shell 或仅允许 sftp。
• 最小权限：仅开启所需的 SELinux 布尔值 与端口；避免使用 ftpd_full_access=1 作为长期策略。
• 端口与协议：如需非标准端口，务必同步 semanage port 与 firewalld 规则；对外服务建议强制 FTPS 而非明文 FTP。
• 目录与权限：严格区分 /var/ftp（只读发布）与 /var/ftp/pub（按需可写）；家目录遵循“不可写 + 子目录可写”的原则配合 allow_writeable_chroot。
• 持续运维：定期审计 AVC 日志、基线核查 semanage fcontext 与端口标签、验证备份与恢复流程。