CentOS FTP Server权限设置技巧

CentOS FTP Server 权限设置技巧

一 基础安全基线

• 以 vsftpd 为例，安装并启用服务：sudo yum install vsftpd -y && sudo systemctl start vsftpd && sudo systemctl enable vsftpd。
• 核心配置 /etc/vsftpd/vsftpd.conf：
  • 禁用匿名：anonymous_enable=NO
  • 允许本地用户：local_enable=YES
  • 允许写入：write_enable=YES（全局开关，细粒度用目录权限控制）
  • 锁定用户家目录：chroot_local_user=YES；为减少风险建议 allow_writeable_chroot=NO，如需可写请见下文“进阶”
  • 被动模式与端口段：pasv_enable=YES，pasv_min_port=1024，pasv_max_port=1048
  • 日志：xferlog_enable=YES，xferlog_file=/var/log/vsftpd.log
• 防火墙放行：sudo firewall-cmd --permanent --add-service=ftp && sudo firewall-cmd --reload；如使用被动端口段，还需放行对应端口范围。
• SELinux：sudo setsebool -P ftp_home_dir on；必要时 chcon -Rv --type=ftp_home_t /home/ftpuser。
• 重启生效：sudo systemctl restart vsftpd。

二 用户与目录权限模型

• 创建专用 FTP 用户并限制 Shell 登录：sudo useradd -m -s /sbin/nologin ftpuser && sudo passwd ftpuser。
• 目录与权限建议：
  • 家目录：chown ftpuser:ftpuser /home/ftpuser && chmod 755 /home/ftpuser（仅所有者可写，更安全）
  • 可写目录：mkdir /home/ftpuser/upload && chown ftpuser:ftpuser /home/ftpuser/upload && chmod 775 /home/ftpuser/upload（同组可写，便于协作）
• 若必须让 chroot 目录可写（不推荐）：chroot_local_user=YES 且 allow_writeable_chroot=YES，但应优先采用“家目录不可写 + 子目录可写”的模型。

三 访问控制与加密传输

• 用户访问控制：
  • 黑名单：/etc/vsftpd/ftpusers（列在此文件中的用户禁止登录）
  • 白/黑名单：启用 userlist_enable=YES，配合 userlist_file=/etc/vsftpd/user_list 与 userlist_deny=NO（白名单）或 YES（黑名单）实现精细化控制。
• 加密传输：
  • 启用 SSL/TLS：ssl_enable=YES，建议同时设置 force_local_data_ssl=YES、force_local_logins_ssl=YES；指定证书与密钥（如 rsa_cert_file、rsa_private_key_file）。
  • 客户端需使用 FTPS（990/TCP） 或显式 FTP over TLS 连接。

四 被动模式与防火墙联动

• vsftpd 被动模式需开放数据通道端口段（如 1024–1048/TCP）：
  • 配置：pasv_enable=YES，pasv_min_port=1024，pasv_max_port=1048
  • 防火墙：sudo firewall-cmd --permanent --add-port=21/tcp && sudo firewall-cmd --permanent --add-port=1024-1048/tcp && sudo firewall-cmd --reload
• 云环境或硬件防火墙/NAT 场景，还需在控制台安全组与设备 ACL 同步放行上述端口段。

五 常见问题与排查要点

• 登录被拒或无法列目录：检查 /etc/vsftpd/ftpusers、/etc/vsftpd/user_list、SELinux（getenforce、setsebool -P ftp_home_dir on）、家目录属主与权限（755）。
• 能登录但无法上传：确认 write_enable=YES、目标目录对 FTP 用户可写（如 775）、未误设只读。
• 被动模式超时或数据连接失败：核对 pasv_min_port/pasv_max_port 与防火墙/安全组是否一致。
• 日志定位：tail -f /var/log/vsftpd.log，关注 530（认证失败）、550（权限不足/路径不可达）等返回码。