CentOS下VSFTP安全设置怎么做

CentOS下VSFTP安全设置指南

1. 更新系统并安装VSFTPD

首先确保系统为最新状态，避免已知漏洞：

sudo yum update -y

安装VSFTPD（Very Secure FTP Daemon）：

sudo yum install vsftpd -y

2. 基础安全配置（修改vsftpd.conf）

编辑配置文件（路径：/etc/vsftpd/vsftpd.conf），调整以下核心参数：

• 禁用匿名访问：防止未授权用户登录。

  anonymous_enable=NO
  

• 允许本地用户登录：仅允许系统用户访问。

  local_enable=YES
  

• 开启写权限：允许用户上传文件（根据需求调整）。

  write_enable=YES
  

• 限制用户至主目录（chroot）：防止用户访问系统其他目录，提升安全性。

  chroot_local_user=YES
  allow_writeable_chroot=YES  # 若用户主目录需写入，设置为YES（生产环境建议设为NO并单独配置目录权限）
  

• 启用用户列表控制：仅允许user_list中的用户登录（需配合userlist_enable和userlist_deny）。

  userlist_enable=YES
  userlist_file=/etc/vsftpd/user_list
  userlist_deny=NO  # 设置为NO表示仅允许列表中的用户登录
  

3. 配置防火墙

允许FTP服务及被动模式端口通过防火墙（CentOS 7及以上使用firewalld）：

# 允许FTP服务（默认端口21）
sudo firewall-cmd --permanent --add-service=ftp
# 允许被动模式端口范围（根据实际情况调整，如1024-1048）
sudo firewall-cmd --permanent --add-port=1024-1048/tcp
# 重新加载防火墙规则
sudo firewall-cmd --reload

4. 启用SSL/TLS加密（强制安全传输）

为避免数据明文传输，需配置SSL/TLS加密：

• 生成自签名证书（生产环境建议使用CA签发的证书）：

  sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
    -keyout /etc/pki/tls/private/vsftpd.key \
    -out /etc/pki/tls/certs/vsftpd.crt
  

• 修改配置文件启用SSL：

  ssl_enable=YES
  force_local_data_ssl=YES  # 强制数据连接使用SSL
  force_local_logins_ssl=YES  # 强制登录过程使用SSL
  ssl_tlsv1=YES
  ssl_sslv2=NO
  ssl_sslv3=NO  # 禁用不安全的SSLv2/3协议
  rsa_cert_file=/etc/pki/tls/certs/vsftpd.crt
  rsa_private_key_file=/etc/pki/tls/private/vsftpd.key
  

5. 配置被动模式（PASV）

被动模式可避免防火墙拦截主动连接，需指定端口范围：

pasv_enable=YES
pasv_min_port=1024  # 起始端口（需与防火墙开放范围一致）
pasv_max_port=1048  # 结束端口

6. 增强SELinux安全（若启用SELinux）

若系统启用了SELinux，需调整相关策略：

• 允许FTP访问用户主目录：

  sudo setsebool -P ftp_home_dir on
  

• 设置正确的SELinux上下文：

  sudo chcon -Rt svirt_sandbox_file_t /home/*
  

7. 重启VSFTPD服务

应用所有配置变更：

sudo systemctl restart vsftpd
# 设置开机自启
sudo systemctl enable vsftpd

8. 测试连接

使用FTP客户端（如FileZilla）连接服务器，选择“FTPS - FTP over TLS”模式，验证加密连接是否成功（客户端会显示锁图标）。

注意事项

• 生产环境中，建议使用CA签发的证书替代自签名证书，避免浏览器/客户端提示“不安全”。
• 定期检查日志文件（/var/log/vsftpd.log），监控异常登录行为。
• 若需更严格的用户隔离，可将chroot_local_user=YES与allow_writeable_chroot=NO结合，为用户单独创建可写目录（如/home/user/upload）并设置权限。

声明：本文内容由网友自发贡献，本站不承担相应法律责任。对本内容有异议或投诉，请联系2913721942#qq.com核实处理，我们将尽快回复您，谢谢合作！