Debian 上用 vsftpd 缓解 DDoS 的可落地方案
一 基础加固与访问控制
- 禁用匿名访问并收紧本地用户权限：设置 anonymous_enable=NO、仅按需开启 local_enable；如无写需求可关闭 write_enable=NO；将用户禁锢在各自家目录（如启用 chroot_local_user=YES 并配置列表），降低被滥用风险。
- 启用加密传输：配置 SSL/TLS（如 ssl_enable=YES、限定协议与套件），避免明文凭据泄露与流量被篡改，同时为被动模式数据通道提供加密。
- 限制登录来源：在边界防火墙仅放行可信 IP/网段 访问 21 端口及被动端口范围；必要时使用 /etc/hosts.allow 与 /etc/hosts.deny 做主机层访问控制。
- 系统与应用更新：保持 Debian 与 vsftpd 为最新稳定版本，及时修补已知漏洞。
二 连接与速率限制
- 并发与每 IP 限制：设置 max_clients（服务器总并发）与 max_per_ip（单 IP 并发），防止连接耗尽与“多连接”型资源攻击。
- 速率限制：设置 local_max_rate 与 anon_max_rate（单位 Bytes/s），抑制大流量下载/上传导致的带宽与 I/O 被占满。
- 超时收紧：缩短 idle_session_timeout、data_connection_timeout、accept_timeout、connect_timeout，快速释放异常或空闲会话占用的资源。
- 禁用高耗命令：关闭 ls_recurse_enable=NO，避免递归列目录带来的 CPU/内存压力；同时关闭 ascii_upload_enable/ascii_download_enable=NO，规避 ASCII 模式导致的额外开销与潜在 DoS 向量。
三 被动模式端口与防火墙联动
- 限定被动端口范围：在 vsftpd.conf 中设置 pasv_enable=YES、pasv_min_port=50000、pasv_max_port=60000，便于在防火墙精确放行数据通道端口。
- 防火墙放行示例（iptables）：控制通道放行 21/tcp；数据通道放行 50000–60000/tcp。示例：
- 控制通道：iptables -A INPUT -p tcp --dport 21 -j ACCEPT
- 被动数据端口：iptables -A INPUT -p tcp --dport 50000:60000 -j ACCEPT
- 安全选项：保持 pasv_promiscuous=NO、port_promiscuous=NO，确保数据与控制连接来自同一客户端，降低被伪造连接的风险。
四 自动化封禁与监控告警
- 自动封禁暴力来源：部署 Fail2Ban 或 SSHGuard，监控 /var/log/vsftpd.log 的失败登录，按阈值自动将恶意 IP 加入防火墙 DROP/REJECT 规则，缓解暴力破解与连接洪泛。
- 主机访问控制：结合 tcp_wrappers（/etc/hosts.allow、/etc/hosts.deny）与日志分析工具（如 BlockHosts）做二次拦截与自动化封禁。
- 持续监控与审计：启用并定期检查 vsftpd 日志（如 /var/log/vsftpd.log），关注异常登录、频繁连接失败、异常速率与并发等行为；必要时引入 IDS/IPS 与系统审计工具。
五 最小化攻击面与替代方案
- 减少暴露面：仅开放必要端口与接口；如无特殊需求，关闭不必要的服务与端口，降低被扫描与利用的机会。
- 权限最小化：为 FTP 用户分配最小权限与受限目录；必要时使用 PAM 增强认证与访问控制。
- 架构与协议替代：对高安全与高并发场景，优先采用 SFTP（基于 SSH） 或 FTPS，结合更强的系统安全模块（如 AppArmor/SELinux）进行进程与文件访问隔离。
