在 Linux 上使用 vsftpd 搭建安全的 FTP 服务器（现代配置指南）

2018-08-31 · Ryan · 发表评论

前言

在 Linux 系统中搭建 FTP 服务器是一项常见的需求，但默认配置往往存在安全隐患。本文将以现代 Linux 发行版（如 CentOS/RHEL 8+ 或 Ubuntu 20.04+）为基础，介绍如何使用 vsftpd 建立一个兼顾功能与安全性的 FTP 服务器，并涵盖常见问题的解决方案。

vsftpd 简介与安装

vsftpd（Very Secure FTP Daemon）是 Linux 下轻量、稳定且安全的 FTP 服务器软件。以下是在主流发行版上的安装命令：

基于 RHEL/CentOS/Fedora

sudo dnf install vsftpd  # CentOS/RHEL 8+
sudo systemctl enable vsftpd
sudo systemctl start vsftpd

基于 Debian/Ubuntu

sudo apt update
sudo apt install vsftpd
sudo systemctl enable vsftpd
sudo systemctl start vsftpd

基础安全配置

安装完成后，主配置文件位于 /etc/vsftpd/vsftpd.conf。建议先备份原文件，然后进行以下关键安全设置：

# 禁止匿名登录（强烈建议）
anonymous_enable=NO
# 允许本地用户登录
local_enable=YES
# 启用日志记录
xferlog_enable=YES
xferlog_file=/var/log/vsftpd.log
# 限制用户在其家目录中（chroot）
chroot_local_user=YES
allow_writeable_chroot=YES
# 使用本地时间
use_localtime=YES
# 启用被动模式（PASV）并指定端口范围
pasv_enable=YES
pasv_min_port=40000
pasv_max_port=50000
# 限制连接数
max_clients=50
max_per_ip=5
# 启用 TLS/SSL 加密（需准备证书）
rsa_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
rsa_private_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
ssl_enable=YES
force_local_data_ssl=YES
force_local_logins_ssl=YES

修改配置后，重启服务使更改生效：

sudo systemctl restart vsftpd

常见问题与解决方案

问题一：用户无法上传文件或创建目录

原因：通常是由于 SELinux 策略或目录权限设置不当。

解决方案：

检查目录权限：确保目标目录对相应用户可写。例如，为用户 ftpuser 的家目录设置正确权限：
```
sudo chmod 755 /home/ftpuser
sudo chown ftpuser:ftpuser /home/ftpuser
```

SELinux 设置（如系统启用 SELinux）：

# 允许 ftp 访问家目录
sudo setsebool -P ftp_home_dir on
# 或为特定目录添加 ftp 上下文
sudo semanage fcontext -a -t public_content_rw_t "/home/ftpuser(/.*)?"
sudo restorecon -Rv /home/ftpuser

问题二：如何实现安全的匿名上传（如需要）

虽然不推荐，但在受控内网环境中可能需要匿名上传。配置步骤如下：

在配置文件中启用匿名登录并设置上传权限：

anonymous_enable=YES
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_other_write_enable=NO  # 谨慎开启，允许删除/重命名
anon_root=/var/ftp/pub      # 指定匿名根目录

创建专用的上传目录并设置权限：

sudo mkdir -p /var/ftp/pub/incoming
sudo chown ftp:ftp /var/ftp/pub/incoming
sudo chmod 730 /var/ftp/pub/incoming  # 目录可写但不可列文件

问题三：更改默认 FTP 端口以增强安全性

将默认的 21 端口改为非常用端口可以减少自动化扫描攻击。

在 /etc/vsftpd/vsftpd.conf 中添加：
```
listen_port=2121
```

更新防火墙规则（以 firewalld 为例）：

sudo firewall-cmd --permanent --remove-service=ftp
sudo firewall-cmd --permanent --add-port=2121/tcp
sudo firewall-cmd --reload

重启 vsftpd 服务：
```
sudo systemctl restart vsftpd
```

问题四：启用 TLS/SSL 加密连接

为 FTP 服务启用加密可以防止凭据和数据在传输中被窃听。

生成自签名证书（用于测试）或使用 Let's Encrypt 等获取正式证书：

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 
    -keyout /etc/ssl/private/vsftpd.key 
    -out /etc/ssl/certs/vsftpd.crt

在配置文件中指定证书路径并强制加密：

rsa_cert_file=/etc/ssl/certs/vsftpd.crt
rsa_private_key_file=/etc/ssl/private/vsftpd.key
ssl_enable=YES
allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO

高级安全建议

使用用户列表限制访问：通过 userlist_enable=YES 和 userlist_file=/etc/vsftpd/user_list 来明确允许或拒绝特定用户。
配置连接超时：减少资源占用和潜在攻击。
```
idle_session_timeout=600
data_connection_timeout=120
```
定期更新与监控：保持 vsftpd 为最新版本，并监控 /var/log/vsftpd.log 中的异常登录尝试。
考虑使用 SFTP 替代 FTP：对于新部署，更推荐使用 OpenSSH 内置的 SFTP 子系统，它通过 SSH 协议提供安全的文件传输，无需额外配置复杂的 FTP 安全策略。

总结

在 Linux 上建立安全的 FTP 服务器需要综合考虑权限控制、网络配置、加密传输和持续监控。本文提供的 vsftpd 配置方案旨在平衡易用性与安全性。对于生产环境，务必根据实际需求进一步调整配置，并优先考虑使用 SFTP 等更现代的替代方案。

前言