Debian下vsftp的安全策略

Debian下 vsftpd 的安全策略

一 基础加固

• 禁用匿名访问：设置 anonymous_enable=NO，仅允许系统用户或虚拟用户登录。
• 最小权限原则：仅在需要时开启 write_enable=YES；对只读场景保持关闭。
• 目录隔离：启用 chroot_local_user=YES 将本地用户限制在其家目录；若必须可写，使用 allow_writeable_chroot=YES（存在一定风险，优先采用“不可写 chroot + 专用可写子目录”的方式）。
• 访问控制：启用 userlist_enable=YES 与 userlist_deny=NO，在 /etc/vsftpd.userlist 中白名单放行；必要时配合 chroot_list_enable=YES 与 chroot_list_file 做例外控制。
• 日志与审计：开启 xferlog_enable=YES、xferlog_std_format=YES，便于追踪上传下载与异常行为。

二 传输加密与端口策略

• 启用 TLS/SSL：设置 ssl_enable=YES，并强制登录与数据传输加密 force_local_logins_ssl=YES、force_local_data_ssl=YES；禁用不安全协议 ssl_sslv2=NO、ssl_sslv3=NO，仅允许 TLSv1.2+；使用强加密套件 ssl_ciphers=HIGH。
• 证书管理：使用受信任 CA 或生成自签名证书；证书与私钥路径如 rsa_cert_file 与 rsa_private_key_file（可合并为同一 PEM 文件）。
• 被动模式端口：开启 pasv_enable=YES，并限定端口范围（如 pasv_min_port=30000、pasv_max_port=31000），便于防火墙放行与观测。
• 端口与协议澄清：FTP 控制通道为 21/tcp；数据通道在被动模式由服务器提供端口范围；若使用显式 FTPS，控制通道为 990/tcp（与 vsftpd 的隐式 FTPS 配置不同，生产更常用 STARTTLS/显式模式与被动端口范围）。

三 防火墙与被动模式配置

• UFW 示例：放行控制端口与被动端口范围
  • sudo ufw allow 21/tcp
  • sudo ufw allow 30000:31000/tcp
  • 如需显式 FTPS：sudo ufw allow 990/tcp
• 云厂商/硬件防火墙：同样需对 21/tcp 与被动端口段（如 30000–31000/tcp）放行，确保数据通道不被拦截。
• 验证：使用支持 TLS 的客户端（如 FileZilla）连接，确认连接为“加密”，并检查被动端口是否在设定范围内。

四 用户与系统安全

• 禁止 FTP 用户 SSH 登录：将 FTP 专用用户的 shell 设为 /usr/sbin/nologin（或 /bin/false），并在 /etc/shells 不包含该 shell，以阻断其通过 SSH 登录系统。
• 强化口令策略：通过 pam_pwquality 强制口令复杂度（如 minlen=8、包含大小写与数字），降低暴力破解成功率。
• 运行与更新：保持系统与 vsftpd 包为最新，启用自动安全更新；对关键配置变更进行灰度与回滚演练。

五 最小化配置示例与验证

• 示例 /etc/vsftpd.conf（按需裁剪）：
  • 基础与权限：anonymous_enable=NO；local_enable=YES；write_enable=NO（或YES按需）；local_umask=022
  • 隔离与访问控制：chroot_local_user=YES；allow_writeable_chroot=YES（或改为不可写 chroot）；userlist_enable=YES；userlist_deny=NO；userlist_file=/etc/vsftpd.userlist
  • 日志：xferlog_enable=YES；xferlog_std_format=YES
  • 加密：ssl_enable=YES；force_local_logins_ssl=YES；force_local_data_ssl=YES；ssl_sslv2=NO；ssl_sslv3=NO；ssl_ciphers=HIGH；rsa_cert_file=/etc/ssl/private/vsftpd.pem；rsa_private_key_file=/etc/ssl/private/vsftpd.pem
  • 被动模式：pasv_enable=YES；pasv_min_port=30000；pasv_max_port=31000
• 证书生成（自签名，测试/内部可用）：
  • sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem
• 生效与验证：
  • sudo systemctl restart vsftpd
  • 使用 FileZilla 以“FTP over TLS/SSL（显式）”连接，确认“加密”提示与目录访问受限；查看日志（如 /var/log/vsftpd.log 或系统日志）核对登录与传输记录。