Debian FTPServer 安全加固实操指南
一 基线加固与最小暴露面
- 保持系统与软件为最新安全补丁：执行sudo apt update && sudo apt upgrade -y，并建立周期性更新机制（如无人值守升级或定时任务）。
- 仅安装并启用必要的服务：默认禁用不必要的网络服务与端口，减少攻击面。
- 强化系统登录安全：禁用root远程登录，启用SSH 密钥认证、禁用密码登录；可结合Fail2ban/SSHGuard对暴力破解进行自动封禁。
- 备份与变更管理：对配置与用户数据定期备份，变更前先备份并在测试环境验证。
二 选择并配置安全的 FTP 服务
- 推荐选择vsftpd作为 FTP 服务组件，安装与启用：
- 安装：sudo apt install vsftpd
- 启动与开机自启：sudo systemctl start vsftpd && sudo systemctl enable vsftpd
- 核心配置建议（/etc/vsftpd.conf）：
- 禁用匿名：anonymous_enable=NO
- 启用本地用户：local_enable=YES
- 按需写入：write_enable=YES/NO（上传场景开启，只读场景关闭）
- 限制用户在各自家目录：chroot_local_user=YES
- 如必须允许可写的根目录，使用：allow_writeable_chroot=YES（存在一定风险，优先采用不可写 chroot 并配合上传目录）
- 日志与审计：xferlog_enable=YES、xferlog_std_format=YES
- 端口与被动模式：为被动模式固定端口范围，便于防火墙放行，例如：pasv_min_port=30000、pasv_max_port=31000
- 用户隔离与系统账号安全：为 FTP 创建专用系统账号与目录，避免共享账号；必要时限制 FTP 用户登录系统 Shell（如使用专用受限 Shell 或仅允许 SFTP）。
三 启用加密传输与证书管理
- 启用 TLS/SSL 加密传输：在 vsftpd 配置中开启ssl_enable=YES，强制或优先使用加密会话（如force_local_data_ssl=YES、force_local_logins_ssl=YES），并配置合适的rsa_cert_file与rsa_private_key_file路径。
- 证书获取与部署：
- 测试环境可使用自签名证书（便于快速启用）；
- 生产环境建议使用Let’s Encrypt或企业 CA 签发证书，证书包含服务器证书与中间证书链，确保客户端正确校验证书链与主机名。
- 客户端连接验证：客户端需启用**显式 FTPS（FTPES，端口 21）**或被动模式端口范围，并校验证书指纹/颁发者，避免中间人攻击。
四 防火墙与访问控制
- 使用UFW进行端口最小化放行：
- 控制通道：sudo ufw allow 21/tcp
- 数据通道（主动模式）：sudo ufw allow 20/tcp
- 被动模式端口范围：sudo ufw allow 30000:31000/tcp
- 管理通道：sudo ufw allow 22/tcp
- 启用防火墙：sudo ufw enable
- 精细化访问控制：
- 仅允许可信来源 IP 访问 FTP/SSH（在 UFW 或边界防火墙配置源地址限制）；
- 结合**/etc/hosts.allow与/etc/hosts.deny**实现主机级访问控制；
- 对暴力破解来源自动封禁（Fail2ban/SSHGuard）。
五 日志监控 入侵防护 备份与替代方案
- 日志与告警：启用xferlog记录传输行为，结合Logwatch进行日报汇总，或使用Fail2ban对异常登录进行自动封禁与告警。
- 入侵防护与系统加固：部署Fail2ban/SSHGuard监控 FTP/SSH 登录失败；按需启用AppArmor/SELinux对 vsftpd 进行强制访问控制，降低被攻陷后的横向影响。
- 备份与恢复：对**/etc/vsftpd.conf**、用户主目录与证书等关键数据定期备份，并进行离线/异地保存与恢复演练。
- 替代方案建议：若业务允许，优先采用**SFTP（基于 SSH 的文件传输）**替代 FTP/FTPS，以获得更强的加密与密钥管理、更少的开放端口与更简单的防火墙策略。
