总体结论
在 CentOS 上，vsftpd 具备良好的安全设计与可配置性，但默认配置并不等于“开箱即安全”。是否安全取决于你的版本是否及时更新、是否禁用明文传输、是否做好访问控制与权限隔离。若使用较旧版本（如 3.0.2 及以下）存在可被利用的漏洞（例如 deny_file 选项处理问题），应优先升级；同时，FTP 协议本身在明文模式下存在凭据与数据泄露风险，建议启用 SSL/TLS 加密。综合来看，经过合理加固的 vsftpd 可以达到较高的安全水平。
常见风险与加固要点
- 版本与漏洞管理：避免使用 vsftpd 3.0.2 及以下；及时更新系统与安全补丁，降低已知漏洞利用风险。
- 传输加密：启用 SSL/TLS（设置 ssl_enable=YES，并配置 rsa_cert_file/rsa_private_key_file；建议同时强制本地登录与数据传输使用 TLS），避免明文凭据与数据被窃听。
- 身份与访问控制：禁用匿名访问（anonymous_enable=NO）；通过 /etc/vsftpd/ftpusers（黑名单，始终生效）与 /etc/vsftpd/user_list（配合 userlist_enable=YES 与 userlist_deny=NO 作为白名单）精细控制可登录账户；必要时用 firewalld 对来源 IP 做限制/拒绝（CentOS 8 起不再依赖 tcp_wrappers）。
- 目录隔离与权限：对本地用户启用 chroot（如 chroot_local_user=YES）；为避免 “500 OOPS: vsftpd: refusing to run with writable root inside chroot()”，可采用“在用户根目录下建立可写子目录（如 uploads）”的方式，或在确有必要时使用 allow_writeable_chroot=YES（权衡安全性）。
- 被动模式端口与防火墙：启用 PASV 并限定端口范围（如 pasv_min_port/pasv_max_port=30000–31000），并在防火墙中放行对应端口与 21/tcp，避免数据通道被拦截。
更安全的配置示例
- 核心配置（/etc/vsftpd/vsftpd.conf 片段）
- 禁用匿名、仅本地用户、开启写：anonymous_enable=NO；local_enable=YES；write_enable=YES
- 登录白名单：userlist_enable=YES；userlist_deny=NO；userlist_file=/etc/vsftpd/user_list
- 目录隔离：chroot_local_user=YES（如需可写，推荐在用户根目录下建 uploads，而非直接给根目录可写）
- 被动模式：pasv_enable=YES；pasv_min_port=30000；pasv_max_port=31000
- 加密传输：ssl_enable=YES；force_local_logins_ssl=YES；force_local_data_ssl=YES；rsa_cert_file=/etc/vsftpd/vsftpd.pem；rsa_private_key_file=/etc/vsftpd/vsftpd.pem
- 证书生成（自签名，示例有效期 10 年）
- openssl req -x509 -nodes -days 3650 -newkey rsa:2048 -keyout /etc/vsftpd/vsftpd.pem -out /etc/vsftpd/vsftpd.pem
- 防火墙放行（firewalld）
- firewall-cmd --permanent --add-port=21/tcp
- firewall-cmd --permanent --add-port=30000-31000/tcp
- firewall-cmd --reload
- 用户与目录
- 创建专用系统账号（禁止登录 shell）：useradd -d /data/ftp -s /sbin/nologin ftpuser
- 目录结构：/data/ftp（不可写），/data/ftp/uploads（可写）
- 将允许登录的用户名逐行写入：/etc/vsftpd/user_list
上述做法覆盖身份鉴别、传输加密、访问控制、端口收敛与最小权限等关键点，可显著提升安全性。
替代与补充建议
- 若业务允许，优先使用 SFTP/SCP（基于 SSH） 替代 FTP，天然加密、权限模型更简洁；或采用 FTPS（显式 SSL/TLS） 替代明文 FTP。
- 对公网服务建议结合 fail2ban 或防火墙的速率限制做暴力破解防护，并持续监控 /var/log/secure 与 vsftpd 日志，及时发现异常登录与暴力尝试。
