Debian FTPServer如何防攻击

在 Debian 上部署 FTPServer（FTP over TLS/SSL） 时，防攻击的核心目标是：防止暴力破解、未授权访问、服务滥用、信息泄露和拒绝服务攻击。下面从 系统层、服务层、网络层、运维层 四个方面给你一套实用方案（以 vsftpd 为例，最常见、也最安全）。

一、系统层加固（基础）

1. 最小安装原则

apt update
apt install vsftpd openssl

不要安装多余服务，减少攻击面。

2. 使用非 root 用户

• 禁止 FTP 以 root 登录
• 所有 FTP 用户使用 普通用户或虚拟用户

二、vsftpd 安全配置（核心）

1. 启用 FTPS（强制加密）

防止明文密码被抓包。

# 生成证书
openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
-keyout /etc/ssl/private/vsftpd.key \
-out /etc/ssl/certs/vsftpd.crt

编辑 /etc/vsftpd.conf：

ssl_enable=YES
allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES

rsa_cert_file=/etc/ssl/certs/vsftpd.crt
rsa_private_key_file=/etc/ssl/private/vsftpd.key

ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO

✅ 效果：

• 所有登录和数据传输都加密
• 防止中间人攻击（MITM）

2. 禁止匿名登录（必须）

anonymous_enable=NO

3. 限制用户访问范围（防越权）

限制用户只能访问家目录（chroot）

chroot_local_user=YES
allow_writeable_chroot=YES

⚠️ 注意：

• 不要直接 chroot root 用户
• 对虚拟用户更安全

4. 限制可登录用户（白名单）

userlist_enable=YES
userlist_file=/etc/vsftpd.allowed_users
userlist_deny=NO

echo "ftpuser" > /etc/vsftpd.allowed_users

✅ 只允许白名单用户登录

5. 防止暴力破解（关键）

方法一：限制连接频率（vsftpd 自带）

max_clients=50
max_per_ip=3
connect_timeout=60

方法二：fail2ban（强烈推荐）

apt install fail2ban

创建 /etc/fail2ban/jail.local：

[vsftpd]
enabled = true
port = ftp,ftp-data,ftps,ftps-data
filter = vsftpd
logpath = /var/log/vsftpd.log
maxretry = 5
bantime = 3600

✅ 自动封禁暴力破解 IP

三、网络层防护

1. 防火墙（UFW / nftables）

只允许必要端口：

ufw allow 21/tcp
ufw allow 40000:50000/tcp
ufw enable

vsftpd 配置被动端口：

pasv_enable=YES
pasv_min_port=40000
pasv_max_port=50000

2. 修改默认端口（可选）

listen_port=2121

⚠️ 不是根本安全，但能减少扫描器的“噪音攻击”。

四、账号与权限安全

1. 禁用 shell 登录

usermod -s /usr/sbin/nologin ftpuser

2. 虚拟用户（高级推荐）

• 不直接使用系统用户
• 使用 PAM + 虚拟用户数据库

✅ 即使被攻破，也无法进入系统

五、日志与监控

1. 启用日志

xferlog_enable=YES
log_ftp_protocol=YES

2. 定期审计

grep Failed /var/log/vsftpd.log

六、进阶防护（生产环境）

七、强烈建议（安全优先级）

✅ 最佳实践排序：

1. 使用 SFTP（OpenSSH） > FTPS
2. 如果必须用 FTP：
   • 强制 TLS
   • fail2ban
   • 白名单
   • chroot
   • 非 root 用户

八、快速安全配置示例（总结）

ssl_enable=YES
anonymous_enable=NO
local_enable=YES
write_enable=YES
chroot_local_user=YES
userlist_enable=YES
userlist_deny=NO
max_per_ip=3
pasv_min_port=40000
pasv_max_port=50000

如果你愿意，我可以：

• ✅ 给你一份 生产级 vsftpd 完整配置文件
• ✅ 帮你 对比 SFTP vs FTPS 安全性
• ✅ 针对 公网 / 内网 / 云服务器 给出不同方案

只要告诉我你的使用场景即可。