Debian系统下vsftp安全设置指南

Debian 下 vsftpd 安全设置指南

一 安装与基线配置

• 安装与更新
  • 执行：sudo apt update && sudo apt install vsftpd
  • 建议同时更新系统：sudo apt upgrade
• 核心配置 /etc/vsftpd.conf（建议基线）
  • 禁用匿名：anonymous_enable=NO
  • 允许本地用户：local_enable=YES
  • 按需开启写：write_enable=YES（仅对需要上传的账户开启）
  • 限制用户在主目录：chroot_local_user=YES
  • 允许 chroot 可写：allow_writeable_chroot=YES
  • 传输日志：xferlog_enable=YES、xferlog_std_format=YES
  • 会话与并发：idle_session_timeout=600、max_clients=200（按业务调整）
  • 说明：vsftpd 的访问控制文件包括 /etc/vsftpd.conf、/etc/vsftpd.ftpusers、/etc/vsftpd.user_list，其中 ftpusers 为“黑名单”（永远拒绝），user_list 的语义由 userlist_deny 决定。

二 加密传输与证书

• 启用 TLS/SSL
  • 生成自签名证书（示例）：
    • sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem
  • 配置启用加密（示例）：
    • ssl_enable=YES
    • force_local_data_ssl=YES
    • force_local_logins_ssl=YES
    • 协议与套件（示例）：ssl_tlsv1=YES、ssl_sslv2=NO、ssl_sslv3=NO
    • 证书路径：rsa_cert_file=/etc/ssl/private/vsftpd.pem、rsa_private_key_file=/etc/ssl/private/vsftpd.pem
  • 也可使用系统自签证书：/etc/ssl/certs/ssl-cert-snakeoil.pem 与 /etc/ssl/private/ssl-cert-snakeoil.key
• 客户端连接
  • 强制使用 FTPS（显式），在客户端启用 TLS 并验证证书，避免明文凭据与数据。

三 访问控制与用户隔离

• 用户白名单
  • userlist_enable=YES
  • userlist_file=/etc/vsftpd.user_list
  • userlist_deny=NO（仅允许列表内用户登录）
• 系统级黑名单
  • 将不可登录系统的高危账户（如 root 等）加入 /etc/vsftpd.ftpusers，该文件优先级更高，直接拒绝。
• 目录与权限
  • 匿名根目录（如 /var/ftp）建议权限 755，避免全局可写；上传目录需显式授权且最小权限。
  • 结合 chroot_local_user=YES 将用户限制在其家目录，降低越权风险。

四 防火墙与被动模式端口

• 主动模式（PORT）
  • 放行控制通道与数据通道：sudo ufw allow 20/tcp、sudo ufw allow 21/tcp
• 被动模式（PASV，推荐）
  • 在 vsftpd.conf 中固定端口范围（示例）：
    • pasv_enable=YES
    • pasv_min_port=50000
    • pasv_max_port=60000
  • 放行端口范围：sudo ufw allow 50000:60000/tcp
• 云环境
  • 同时放通云安全组/NACL 的 21/TCP 与被动端口范围。

五 日志审计与运行维护

• 日志与监控
  • 传输日志：xferlog_enable=YES（默认路径 /var/log/xferlog）
  • 同时记录 vsftpd 格式日志：dual_log_enable=YES
  • 建议定期审计日志与关键文件（如证书、配置）的权限与变更。
• 服务与变更
  • 应用配置：sudo systemctl restart vsftpd
  • 持久化：sudo systemctl enable vsftpd
  • 保持系统与软件更新：sudo apt update && sudo apt upgrade
• 安全提示
  • 如非必要，避免启用匿名上传；确需启用时，应严格限制目录与权限，并仅在特定目录开放写入。