Ubuntu FTP服务器如何实现安全配置

Ubuntu FTP服务器安全配置指南

一 基础安全原则

• 禁用明文传输：优先使用 FTPS（FTP over SSL/TLS），避免传统 FTP 的明文凭据与数据被窃听。
• 禁用匿名访问：生产环境建议设置 anonymous_enable=NO。
• 限制用户目录：通过 chroot 将本地用户限制在其主目录，降低横向移动风险。
• 控制写入权限：按需开启 write_enable，并为上传目录设置最小权限。
• 加固认证：启用强密码策略、限制登录失败次数、必要时结合 PAM 白名单与黑名单。
• 加固系统与网络：保持系统更新、最小化服务暴露面、仅开放必要端口、启用日志与监控告警。

二 安装与最小配置 vsftpd

• 安装与启动
  • 安装：sudo apt update && sudo apt install vsftpd -y
  • 启动与自启：sudo systemctl start vsftpd && sudo systemctl enable vsftpd
• 最小安全配置 /etc/vsftpd.conf（示例）
  • 基本访问
    • anonymous_enable=NO
    • local_enable=YES
    • write_enable=YES（只读场景改为 NO）
  • 目录与权限
    • chroot_local_user=YES
    • 更安全的做法是保持用户家目录不可写，若必须可写，使用专用上传目录并严格权限控制；部分环境会设置 allow_writeable_chroot=YES，但存在一定安全隐患，需谨慎评估。
  • 日志
    • xferlog_enable=YES
    • xferlog_file=/var/log/vsftpd.log
  • 说明：修改配置后执行 sudo systemctl restart vsftpd 生效。

三 启用 SSL TLS 加密

• 生成证书（自签名，生产建议用受信任 CA）
  • 单文件证书（便于部署）：
    • sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem
  • 或分离证书与密钥：
    • sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.key -out /etc/ssl/certs/vsftpd.crt
• 配置 vsftpd 启用加密 /etc/vsftpd.conf
  • 启用与强制加密
    • ssl_enable=YES
    • force_local_logins_ssl=YES
    • force_local_data_ssl=YES
  • 证书路径（按你的证书实际路径二选一）
    • 单文件：rsa_cert_file=/etc/ssl/private/vsftpd.pem，rsa_private_key_file=/etc/ssl/private/vsftpd.pem
    • 分离：rsa_cert_file=/etc/ssl/certs/vsftpd.crt，rsa_private_key_file=/etc/ssl/private/vsftpd.key
  • 协议与套件（禁用不安全协议）
    • ssl_tlsv1=YES，ssl_sslv2=NO，ssl_sslv3=NO
  • 可选：仅允许加密会话 allow_anon_ssl=NO
• 验证与客户端
  • 命令行验证：openssl s_client -connect 你的服务器IP:21 -starttls ftp
  • 客户端（如 FileZilla）选择协议 FTP - SSL/TLS，端口 21。

四 防火墙与被动模式端口

• 被动模式端口范围（建议固定小范围，便于防火墙放行）
  • 配置 /etc/vsftpd.conf
    • pasv_enable=YES
    • pasv_min_port=40000
    • pasv_max_port=50000
• UFW 放行规则（示例）
  • 控制通道：sudo ufw allow 21/tcp
  • 被动数据端口：sudo ufw allow 40000:50000/tcp
  • 启用防火墙：sudo ufw enable
• 云厂商安全组：同样需放行 21/tcp 与所选的 被动端口范围。

五 用户管理与入侵防护

• 专用 FTP 用户与目录
  • 创建用户：sudo adduser ftpuser
  • 专用目录：sudo mkdir -p /home/ftpuser/ftp && sudo chown ftpuser:ftpuser /home/ftpuser/ftp
  • 指定主目录：sudo usermod -d /home/ftpuser/ftp ftpuser
  • 结合 chroot_local_user=YES 限制在其主目录。
• 登录安全与审计
  • 强密码策略与周期更换；必要时通过 PAM 限制失败次数与来源。
  • 日志审计：sudo tail -f /var/log/vsftpd.log 实时监控异常。
• 防暴力破解
  • 部署 Fail2Ban：在 /etc/fail2ban/jail.local 中启用 FTP 防护规则，自动封禁恶意 IP。