debian如何加固vsftp

下面给你一套**在 Debian 上加固 vsftpd（Very Secure FTP Daemon）**的实用方案，从“最小可用 + 安全”角度出发，适用于服务器生产环境。

一、安装与基础配置

1. 安装 vsftpd

sudo apt update
sudo apt install vsftpd

2. 备份原配置

sudo cp /etc/vsftpd.conf /etc/vsftpd.conf.bak

二、核心安全加固配置（重点）

编辑配置文件：

sudo nano /etc/vsftpd.conf

1. 禁止匿名登录（必须）

anonymous_enable=NO

2. 限制本地用户登录

local_enable=YES
write_enable=YES

3. 限制用户只能访问自己的目录（防越权）

chroot_local_user=YES
allow_writeable_chroot=YES

如果不加 allow_writeable_chroot=YES，用户主目录不可写时会登录失败。

三、使用 FTP over SSL/TLS（强烈推荐）

1. 生成证书

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
-keyout /etc/ssl/private/vsftpd.key \
-out /etc/ssl/certs/vsftpd.crt

2. 启用 FTPS

ssl_enable=YES
allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES

rsa_cert_file=/etc/ssl/certs/vsftpd.crt
rsa_private_key_file=/etc/ssl/private/vsftpd.key
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO

客户端需使用 FTPS（显式 TLS）

四、限制用户与访问范围

1. 只允许特定用户登录

userlist_enable=YES
userlist_file=/etc/vsftpd.userlist
userlist_deny=NO

echo ftpuser | sudo tee -a /etc/vsftpd.userlist

2. 禁止系统用户登录 FTP

local_enable=YES

并只把需要 FTP 的普通用户加入 vsftpd.userlist

五、被动模式与防火墙

1. 配置被动端口范围

pasv_min_port=30000
pasv_max_port=31000

2. 防火墙放行

sudo ufw allow 20/tcp
sudo ufw allow 21/tcp
sudo ufw allow 30000:31000/tcp

六、系统级加固（非常重要）

1. 使用独立用户，不用 root

sudo useradd -m ftpuser
sudo passwd ftpuser

2. 禁止 shell 登录（仅 FTP）

sudo usermod -s /usr/sbin/nologin ftpuser

3. 限制失败登录（fail2ban）

sudo apt install fail2ban

/etc/fail2ban/jail.local：

[vsftpd]
enabled = true
port = ftp
filter = vsftpd
logpath = /var/log/vsftpd.log
maxretry = 5
bantime = 3600

七、日志与审计

xferlog_enable=YES
xferlog_file=/var/log/vsftpd.log
log_ftp_protocol=YES

八、更高安全建议（可选）

✅ 用 SFTP（OpenSSH）替代 FTP（更安全）
✅ 使用 虚拟用户 + PAM（隔离系统用户）
✅ 定期更新：

sudo apt update && sudo apt upgrade

九、重启服务

sudo systemctl restart vsftpd
sudo systemctl enable vsftpd

如果你愿意，我可以：

给你一套 虚拟用户 vsftpd 配置
或 用 SFTP 完全替代 FTP 的方案
或按你的 Debian 版本（11 / 12）细化配置

你现在的 Debian 版本和使用场景是什么？