1. 禁用匿名访问
匿名FTP访问是数据泄露的高风险点，必须关闭以阻止未授权用户获取服务器文件。编辑vsftpd配置文件（/etc/vsftpd.conf），设置：
anonymous_enable=NO
此配置会禁止匿名用户登录，仅允许本地认证用户访问。
2. 启用本地用户访问并限制权限
允许本地系统用户登录FTP服务器，同时通过chroot机制限制其活动范围，防止越权访问其他目录。配置以下参数：
local_enable=YES（启用本地用户登录）
chroot_local_user=YES（将用户限制在其主目录内）
allow_writeable_chroot=YES（允许用户在自己的主目录中写入文件，避免因目录不可写导致的服务错误）。
3. 强制使用SSL/TLS加密传输
FTP协议默认采用明文传输，易被窃听或篡改。通过SSL/TLS加密可保护数据完整性。具体步骤：
openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/certs/vsftpd.pemvsftpd.conf中添加：ssl_enable=YES（启用SSL）force_local_data_ssl=YES（强制本地数据连接使用SSL）force_local_logins_ssl=YES（强制本地登录使用SSL）ssl_tlsv1=YES（允许TLSv1协议，禁用不安全的SSLv2/SSLv3）rsa_cert_file=/etc/ssl/private/vsftpd.pem（指定证书路径）rsa_private_key_file=/etc/ssl/private/vsftpd.pem（指定私钥路径）。4. 配置防火墙限制访问源
通过防火墙仅允许可信IP地址或IP段访问FTP服务（端口21/tcp用于控制连接，被动模式端口范围用于数据传输），减少暴露风险。以Ubuntu（ufw）为例：
sudo ufw allow from trusted_ip to any port 21/tcp
sudo ufw allow from trusted_ip to any port 30000:31000/tcp（被动模式端口范围，需与vsftpd配置一致）
对于CentOS（firewalld），可使用：
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="trusted_ip" port protocol="tcp" port="21" accept'
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="trusted_ip" port protocol="tcp" port="30000-31000" accept'
之后重载防火墙规则。
5. 使用被动模式并限制端口范围
被动模式（PASV）是FTP常用的数据传输模式，需配置合理的端口范围以避免防火墙拦截。在vsftpd.conf中设置：
pasv_enable=YES（启用被动模式）
pasv_min_port=30000（被动模式最小端口）
pasv_max_port=31000（被动模式最大端口）
确保防火墙允许该端口范围的流量通过。
6. 启用详细日志记录
日志是监控FTP活动和排查安全事件的关键。配置vsftpd记录传输日志和访问日志：
xferlog_enable=YES（启用传输日志）
xferlog_std_format=YES（使用标准日志格式）
vsftpd_log_file=/var/log/vsftpd.log（指定日志文件路径）
通过分析日志可及时发现异常登录、大量下载等行为。
7. 定期更新vsftpd及系统
及时应用vsftpd和操作系统的安全补丁，修复已知漏洞。使用包管理器更新软件：
Ubuntu/Debian：sudo apt update && sudo apt upgrade vsftpd
CentOS/RHEL：sudo yum update vsftpd
保持软件版本最新是防范攻击的重要手段。
8. 使用强密码与多因素认证
要求FTP用户设置复杂密码（包含大小写字母、数字和特殊字符，长度不少于8位），并启用多因素认证（MFA）进一步提升身份验证安全性。对于本地用户，可通过passwd命令强制修改密码；对于虚拟用户，可在PAM配置中集成MFA模块。
