选择安全的FTP服务器软件
优先选用安全增强型FTP服务器软件，如vsftpd（以“Very Secure”命名，注重安全性和性能）、ProFTPD（功能强大且可定制）、Pure-FTPd（轻量级且易于配置）。这些软件均具备完善的权限管理和安全特性，能有效降低安全风险。
禁用匿名访问
匿名访问是FTP服务器的常见安全漏洞，应通过配置文件明确禁止。例如vsftpd中设置anonymous_enable=NO，彻底阻止未授权用户通过匿名账号登录，减少潜在的恶意操作。
限制用户访问范围（Chroot Jail）
通过chroot功能将用户限制在其主目录内，防止访问系统其他敏感文件。vsftpd中设置chroot_local_user=YES（强制所有本地用户chroot），若需允许特定用户突破限制，可配合chroot_list_enable=YES和chroot_list_file配置允许列表。同时设置allow_writeable_chroot=YES，避免用户因主目录不可写导致无法正常使用。
启用SSL/TLS加密传输
传统FTP以明文传输数据，易被窃听或篡改。需配置SSL/TLS加密（如vsftpd中设置ssl_enable=YES），并生成自签名或CA签名的证书（rsa_cert_file和rsa_private_key_file），强制数据连接（force_local_data_ssl=YES）和登录过程（force_local_logins_ssl=YES）使用加密协议（如TLSv1.2），防止中间人攻击。
强化用户认证与权限管理
passwd命令设置密码复杂度），并定期更换（如每90天）；max_login_attempts=3，失败3次后锁定1小时）；chmod 755主目录，chmod 644文件），避免过度授权。配置防火墙限制访问
通过防火墙（如iptables、firewalld）限制FTP流量的访问源，仅允许信任的IP地址或网段连接：
sudo iptables -A INPUT -p tcp --dport 21 -s 192.168.1.0/24 -j ACCEPT；sudo firewall-cmd --permanent --add-service=ftp --add-port=40000-50000/tcp；netfilter-persistent save，firewalld使用reload）。使用SFTP替代传统FTP
传统FTP协议存在固有安全缺陷，建议使用SFTP（SSH File Transfer Protocol），它通过SSH加密所有传输数据（包括用户名、密码和文件内容）。只需安装OpenSSH服务器（sudo apt install openssh-server），并确保Subsystem sftp /usr/lib/openssh/sftp-server未被注释，即可通过SSH端口（22）实现安全文件传输。
监控与日志审计
启用FTP服务器的详细日志记录（如vsftpd中设置xferlog_enable=YES、xferlog_file=/var/log/vsftpd.log），记录用户登录、文件传输等活动。定期检查日志文件，使用工具（如Logwatch）分析异常行为（如频繁登录失败、大量文件下载），及时发现潜在安全威胁。
定期更新与补丁管理
及时更新FTP服务器软件及操作系统，修复已知安全漏洞（如vsftpd的安全补丁）。使用包管理器（如apt update && apt upgrade、yum update）自动更新软件，确保系统处于最新安全状态。
配置被动模式端口范围
被动模式（PASV）下，FTP服务器会随机开放端口用于数据传输，易成为攻击目标。需在配置文件中限制被动模式端口范围（如vsftpd中设置pasv_min_port=40000、pasv_max_port=50000），并在防火墙中允许该范围的端口，减少暴露的风险。