Ubuntu下vsftp安全设置方法

Ubuntu下vsftpd安全设置方法

1. 安装vsftpd

首先更新系统软件包列表并安装vsftpd：

sudo apt update
sudo apt install vsftpd

2. 配置vsftpd核心安全选项

编辑配置文件/etc/vsftpd.conf（使用nano或vim），按以下设置调整关键参数：

禁用匿名访问：防止未授权用户登录，降低服务器被滥用风险。
```
anonymous_enable=NO
```
允许本地用户登录：仅允许系统用户通过FTP访问（需配合后续权限控制）。
```
local_enable=YES
```
启用写入权限：允许用户上传、修改文件（若需上传功能，必须开启）。
```
write_enable=YES
```

限制用户至主目录（chroot）：将用户锁定在自己的家目录，避免访问系统敏感文件。

chroot_local_user=YES
allow_writeable_chroot=YES  # 允许chroot目录可写（若用户需要上传文件）

启用被动模式并设置端口范围：解决主动模式下的防火墙穿透问题，限定数据传输端口范围。
```
pasv_enable=YES
pasv_min_port=50000
pasv_max_port=50010
```

限制用户列表：通过userlist文件控制可登录用户（白名单模式，仅允许列表内用户访问）。

userlist_enable=YES
userlist_file=/etc/vsftpd.userlist
userlist_deny=NO  # 设置为NO表示仅允许列表内的用户登录

3. 配置SSL/TLS加密

为FTP连接启用SSL/TLS，保护数据传输过程中的隐私（避免密码和文件内容明文传输）：

生成自签名证书（若需正式证书，建议购买CA签发的证书）：

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem

修改配置文件启用SSL：

ssl_enable=YES
force_local_data_ssl=YES    # 强制数据传输使用SSL
force_local_logins_ssl=YES  # 强制登录过程使用SSL
ssl_tlsv1=YES               # 启用TLSv1协议（更安全）
ssl_sslv2=NO                # 禁用SSLv2（不安全）
ssl_sslv3=NO                # 禁用SSLv3（不安全）
rsa_cert_file=/etc/ssl/private/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.pem

4. 配置防火墙

若使用UFW防火墙，需开放FTP相关端口（控制连接21/tcp、被动模式端口范围50000-50010/tcp）：

sudo ufw allow 21/tcp
sudo ufw allow 50000:50010/tcp
sudo ufw reload  # 重新加载防火墙规则

5. 重启vsftpd服务

应用所有配置变更：

sudo systemctl restart vsftpd

6. 额外安全建议

使用强密码：为用户账户设置复杂密码（包含大小写字母、数字和特殊字符），避免弱密码被破解。
限制用户列表：编辑/etc/vsftpd.userlist文件，仅添加可信用户（每行一个用户名），增强访问控制。
监控日志文件：定期检查/var/log/vsftpd.log（或配置文件中指定的日志路径），及时发现异常登录或文件操作。
定期更新软件：通过sudo apt update && sudo apt upgrade命令更新系统和vsftpd，修复已知安全漏洞。
禁用shell访问：若用户仅需FTP访问，可修改其shell为/sbin/nologin，防止通过SSH登录：
```
sudo usermod -s /sbin/nologin ftpuser
```