如何优化Debian vsftp

下面从安全、性能、稳定性三个角度，系统性地讲一下 如何优化 Debian 上的 vsftpd（Very Secure FTP Daemon）。
假设你使用的是 Debian 10/11/12，配置文件路径为 /etc/vsftpd.conf。

一、基础安装与版本确认

apt update
apt install vsftpd
vsftpd -v

确保使用的是较新版本（≥ 3.x）

二、安全优化（最重要）

1️⃣ 禁止匿名登录

anonymous_enable=NO

2️⃣ 启用本地用户登录

local_enable=YES

3️⃣ 限制用户只能访问自己的家目录（chroot）

chroot_local_user=YES
allow_writeable_chroot=YES

⚠️ 如果不加 allow_writeable_chroot=YES，可能登录失败

4️⃣ 只允许指定用户登录（白名单）

userlist_enable=YES
userlist_file=/etc/vsftpd.userlist
userlist_deny=NO

编辑：

echo "ftpuser" >> /etc/vsftpd.userlist

5️⃣ 禁止 root 登录

cat /etc/ftpusers

确保包含：

root

6️⃣ 启用被动模式（推荐）

pasv_enable=YES
pasv_min_port=30000
pasv_max_port=31000

防火墙放行：

ufw allow 30000:31000/tcp

7️⃣ 使用 TLS/SSL 加密（强烈推荐）

apt install openssl
mkdir /etc/ssl/vsftpd
openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
-keyout /etc/ssl/vsftpd/vsftpd.key \
-out /etc/ssl/vsftpd/vsftpd.pem

vsftpd 配置：

ssl_enable=YES
rsa_cert_file=/etc/ssl/vsftpd/vsftpd.pem
rsa_private_key_file=/etc/ssl/vsftpd/vsftpd.key
force_local_logins_ssl=YES
force_local_data_ssl=YES
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO

三、性能优化

1️⃣ 限制连接数与速率

max_clients=50
max_per_ip=5
local_max_rate=1000000   # 1MB/s

2️⃣ 关闭 DNS 反向解析（加速连接）

reverse_lookup_enable=NO

3️⃣ 禁用写权限给匿名用户

write_enable=YES
anon_upload_enable=NO
anon_mkdir_write_enable=NO

四、日志与排错优化

1️⃣ 开启详细日志

xferlog_enable=YES
log_ftp_protocol=YES   # 调试时可开，正式环境关闭

2️⃣ 查看日志

tail -f /var/log/vsftpd.log
journalctl -u vsftpd

五、系统层优化（Debian）

1️⃣ 提高文件描述符限制

ulimit -n 65535

永久生效：

echo "* soft nofile 65535" >> /etc/security/limits.conf
echo "* hard nofile 65535" >> /etc/security/limits.conf

2️⃣ 防火墙示例（UFW）

ufw allow 21/tcp
ufw allow 30000:31000/tcp

六、推荐生产环境 vsftpd.conf 示例

listen=YES
anonymous_enable=NO
local_enable=YES
write_enable=YES
chroot_local_user=YES
allow_writeable_chroot=YES

userlist_enable=YES
userlist_file=/etc/vsftpd.userlist
userlist_deny=NO

pasv_enable=YES
pasv_min_port=30000
pasv_max_port=31000

ssl_enable=YES
rsa_cert_file=/etc/ssl/vsftpd/vsftpd.pem
rsa_private_key_file=/etc/ssl/vsftpd/vsftpd.key

max_clients=50
max_per_ip=5
local_max_rate=1000000

reverse_lookup_enable=NO
xferlog_enable=YES

七、是否需要替代方案？

如果你愿意，我可以根据你的 使用场景（内网/公网/用户数/系统版本） 给你一份可直接使用的配置文件，或者帮你排查登录慢、连接失败的问题。