如何加固debian的vsftp

下面从 系统层、vsftpd 配置层、权限与网络层 几个角度，说明如何加固 Debian 上的 vsftpd（very secure FTP daemon）。

一、安装与基础安全

1. 安装 vsftpd

sudo apt update
sudo apt install vsftpd

2. 禁用匿名访问（最重要）

编辑配置文件：

sudo nano /etc/vsftpd.conf

确保：

anonymous_enable=NO

二、vsftpd 核心安全配置

1. 限制本地用户登录

local_enable=YES
write_enable=YES

2. 限制用户只能访问自己的目录（chroot）

chroot_local_user=YES
allow_writeable_chroot=YES

⚠️ 如果不加 allow_writeable_chroot，用户主目录不可写时会登录失败。

3. 禁止某些用户使用 FTP

sudo nano /etc/ftpusers

默认已禁用 root，可继续添加：

root
daemon
bin

三、使用 TLS 加密（强烈推荐）

1. 生成证书

sudo openssl req -x509 -nodes -days 365 \
  -newkey rsa:2048 \
  -keyout /etc/ssl/private/vsftpd.pem \
  -out /etc/ssl/private/vsftpd.pem

2. 启用 FTPS

在 /etc/vsftpd.conf 中：

ssl_enable=YES
rsa_cert_file=/etc/ssl/private/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.pem
force_local_logins_ssl=YES
force_local_data_ssl=YES

四、限制用户与连接

1. 限制可登录用户

userlist_enable=YES
userlist_file=/etc/vsftpd.userlist
userlist_deny=NO

/etc/vsftpd.userlist 中只写允许的用户。

2. 限制连接数

max_clients=50
max_per_ip=5

五、系统层加固

1. 使用防火墙

sudo ufw allow 20/tcp
sudo ufw allow 21/tcp
sudo ufw enable

如果使用 FTPS 被动模式：

pasv_min_port=30000
pasv_max_port=31000

sudo ufw allow 30000:31000/tcp

2. 使用 fail2ban 防暴力破解

sudo apt install fail2ban

创建：

sudo nano /etc/fail2ban/jail.d/vsftpd.conf

[vsftpd]
enabled = true
port = ftp
filter = vsftpd
logpath = /var/log/vsftpd.log
maxretry = 5

六、日志与监控

xferlog_enable=YES
xferlog_file=/var/log/vsftpd.log
log_ftp_protocol=YES

定期检查：

sudo tail -f /var/log/vsftpd.log

七、更安全的替代方案（建议）

如果 不是必须使用 FTP：

✅ SFTP（基于 SSH，默认加密）
✅ FTPS（vsftpd + TLS）
❌ 明文 FTP

八、最小安全配置示例

anonymous_enable=NO
local_enable=YES
write_enable=YES
chroot_local_user=YES
allow_writeable_chroot=YES
ssl_enable=YES
rsa_cert_file=/etc/ssl/private/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.pem
userlist_enable=YES
userlist_file=/etc/vsftpd.userlist
userlist_deny=NO
max_clients=50
max_per_ip=5

如果你愿意，我可以：

给你一套 生产环境 vsftpd 配置模板
帮你 迁移到 SFTP
针对 Debian 11 / 12 做具体版本优化

你现在的 Debian 版本和使用场景是什么？