Linux vsftp与SELinux集成：增强系统安全性

vsftpd 与 SELinux 集成与加固指南

一核心概念与最小配置

进程域与类型：vsftpd 在 ftpd_t 域中运行，受 SELinux 策略隔离；FTP 共享目录常用类型为 public_content_t（只读） 与 public_content_rw_t（可写）。本地用户主目录访问由布尔值 ftp_home_dir 控制。
最小可用配置示例（/etc/vsftpd/vsftpd.conf）：
- 禁用匿名、启用本地用户：anonymous_enable=NO、local_enable=YES
- 允许写入：write_enable=YES
- 按需开启 chroot（锁定用户在自家目录）：chroot_local_user=YES
- 若启用 chroot 且需可写，建议设置：allow_writeable_chroot=YES
- 被动模式（穿越防火墙常用）：pasv_enable=YES、pasv_min_port=30000、pasv_max_port=30000
防火墙放行（firewalld）：
- 放行控制通道：firewall-cmd --permanent --add-service=ftp && firewall-cmd --reload
- 放行被动端口范围：firewall-cmd --permanent --add-port=30000-30000/tcp && firewall-cmd --reload
服务管理：systemctl start|enable|status vsftpd。以上为后续 SELinux 调整的基础。

二常见场景与 SELinux 配置

匿名只读共享（/var/ftp）
- 目录默认类型多为 public_content_t（只读）；无需额外布尔值即可被 FTP 读取。
匿名可写（/var/ftp/pub 等）
- 设置可写类型并开放布尔值：
  - semanage fcontext -a -t public_content_rw_t “/var/ftp(/.*)?”
  - restorecon -R -v /var/ftp
  - setsebool -P allow_ftpd_anon_write on
本地用户访问自家主目录
- 开启布尔值：setsebool -P ftp_home_dir on
- 确保本地目录 DAC 权限合理（如用户对家目录有读写权限）。
本地用户上传至公共目录（如 /myftp/pub）
- 目录标签与权限：
  - semanage fcontext -a -t public_content_t “/myftp(/.*)?”
  - semanage fcontext -a -t public_content_rw_t “/myftp/pub(/.*)?”
  - restorecon -R -v /myftp
  - chown user1:root /myftp/pub && chmod 775 /myftp/pub
- 按需开启：setsebool -P ftp_home_dir on
使用 NFS/CIFS 共享作为 FTP 根或目录
- 启用对应布尔值：setsebool -P allow_ftpd_use_nfs on、setsebool -P allow_ftpd_use_cifs on
故障排查提示
- 查看布尔值：getsebool -a | grep ftp
- 查看/调整文件上下文：ls -Z /path、chcon -t public_content_t /path、restorecon -R -v /path
- 临时放宽策略定位问题：setenforce 0（测试后请恢复为 setenforce 1）。

三被动模式与防火墙联动

vsftpd 被动模式需开放控制端口 21/TCP 与一段数据端口范围（示例为 30000/TCP）；在 firewalld 中放行服务与端口后，客户端才能稳定列目录与传输数据。
若使用主动模式，需确保服务器侧 iptables 允许相关连接；传统做法会加载 ip_conntrack_ftp 等模块以解析 FTP 协议控制通道。生产环境更推荐被动模式并显式放行端口范围。

四安全加固与最佳实践

最小权限原则：仅开启业务所需的 布尔值 与端口；避免使用 ftpd_full_access=on（该布尔值会弱化基于类型的访问控制，仅在必要时短时使用）。
目录与标签：公共只读目录使用 public_content_t，需要写入的共享目录使用 public_content_rw_t；用户家目录通过 ftp_home_dir 控制，避免将家目录整体设为可写共享类型。
chroot 与可写：启用 chroot_local_user=YES 提升隔离性；若用户需要在 chroot 目录内写入，使用 allow_writeable_chroot=YES 并严格限制可写范围（仅对必要子目录赋权）。
日志与审计：启用 xferlog_enable=YES、xferlog_std_format=YES，必要时结合系统审计日志持续观察异常行为。

五快速排错清单

登录后无法列目录或上传：检查目录 SELinux 类型（public_content_t vs public_content_rw_t）、相关 布尔值（如 ftp_home_dir、allow_ftpd_anon_write）、以及 DAC 权限。
被动模式超时或数据连接失败：确认 pasv_min_port/pasv_max_port 已配置，且 firewalld 已放行对应端口范围。
文件在 FTP 中不可见：常见于文件被移动到 /var/ftp 后保留了 admin_home_t 等不当类型；使用 chcon -t public_content_t 或 restorecon 纠正类型。

最新问答