centos ftpserver如何安全防护
小樊
44
2025-11-20 00:04:03
CentOS FTP Server 安全防护实践
一 基础加固
- 选择并安装安全的 FTP 服务：以 vsftpd 为例，安装命令为：sudo yum install vsftpd。
- 核心配置（/etc/vsftpd/vsftpd.conf）：
- 禁用匿名：anonymous_enable=NO
- 仅本地用户：local_enable=YES
- 按需开启写入：write_enable=YES
- 用户隔离：chroot_local_user=YES；为降低风险，生产环境建议 allow_writeable_chroot=NO
- 登录控制：userlist_enable=YES，在 /etc/vsftpd/user_list 中白名单化允许登录的用户
- 日志审计：xferlog_enable=YES、xferlog_file=/var/log/vsftpd.log、xferlog_std_format=YES
- 启动与自启：sudo systemctl start vsftpd && sudo systemctl enable vsftpd。
以上做法可显著降低匿名与越权访问风险，并保留可追溯日志。
二 加密传输与证书
- 启用 SSL/TLS：在 vsftpd.conf 中设置
- ssl_enable=YES
- allow_anon_ssl=NO
- force_local_data_ssl=YES、force_local_logins_ssl=YES
- 禁用不安全协议：ssl_sslv2=NO、ssl_sslv3=NO；可按需保留 ssl_tlsv1=YES 或仅启用更高版本套件
- 证书路径：推荐使用有效证书，例如 Let’s Encrypt：
- rsa_cert_file=/etc/letsencrypt/live/yourdomain.com/fullchain.pem
- rsa_private_key_file=/etc/letsencrypt/live/yourdomain.com/privkey.pem
- 自签名证书（测试/内网可用）：
- 生成命令：
- sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/pki/tls/private/vsftpd.key -out /etc/pki/tls/certs/vsftpd.crt
- 配置证书路径：
- rsa_cert_file=/etc/pki/tls/certs/vsftpd.crt
- rsa_private_key_file=/etc/pki/tls/private/vsftpd.key
- 重启服务：sudo systemctl restart vsftpd。
- 客户端验证：使用 FileZilla 选择“要求显式 FTP over TLS”，确认证书有效且链路加密。
三 防火墙与被动模式端口
- 控制与数据端口：放行 21/TCP（控制），必要时放行 20/TCP（主动模式数据）。
- 被动模式端口范围：在 vsftpd.conf 中设置固定范围（示例：pasv_min_port=1024、pasv_max_port=1048），并在防火墙放行相同范围。
- firewalld 示例：
- 放行控制端口：sudo firewall-cmd --permanent --add-port=21/tcp
- 放行被动端口范围：sudo firewall-cmd --permanent --add-port=1024-1048/tcp
- 重载规则：sudo firewall-cmd --reload
- 验证：sudo firewall-cmd --list-all 或按端口查询。
固定被动端口范围有助于在 NAT/防火墙环境中稳定建立数据通道。
四 用户与权限管理
- 专用户与目录：创建专用 FTP 用户（如 ftpuser），禁止 root 登录；合理设置家目录与上传目录权限（如 755/775），避免全局可写。
- 访问控制：启用 userlist_enable=YES 与 /etc/vsftpd/user_list 白名单；必要时结合 /etc/vsftpd/ftpusers 黑名单。
- 连接与资源限制：根据业务与硬件设置 max_clients、max_per_ip，降低滥用风险。
- SELinux（若启用）：按需开启布尔值以允许家目录访问与受限操作，例如 sudo setsebool -P ftp_home_dir on；如采用 chroot 且需写入，请优先通过目录权限与最小权限设计解决，谨慎使用 allow_writeable_chroot。
- 安全提示：FTP 明文传输风险高，在条件允许时优先采用 SFTP/SSH 替代。
五 监控维护与攻击应对
- 持续更新：保持 vsftpd 与系统组件为最新版本，及时修补漏洞。
- 日志与告警：启用并定期检查 /var/log/vsftpd.log 与系统日志，关注异常登录、失败次数与异常流量。
- 访问控制强化：在边界防火墙或主机防火墙层面限制来源 IP/网段，仅放行业务所需地址。
- 攻击应对：结合日志分析识别暴力破解与扫描，使用 fail2ban 等工具自动封禁；必要时临时封禁来源 IP、调整策略并复核配置。
- 定期审计：复核用户、权限、证书有效期与端口开放情况，形成变更记录与回滚预案。
这些措施有助于快速发现并缓解暴力破解、扫描与滥用等常见攻击。
