Linux vsftp权限管理：如何精细控制用户访问

vsftpd 精细访问控制的落地方案

一 核心思路与最小安全基线

• 禁用匿名访问，仅启用本地或虚拟用户；开启全局写入开关仅在有上传需求时再放开到具体用户或目录。
• 强制目录隔离（chroot），避免用户越权浏览系统目录；必要时使用“可写 chroot”方案，但更推荐将可写目录做成子目录并单独赋权。
• 使用用户白名单（userlist）与黑名单（ftpusers）配合，缩小可登录账户范围。
• 通过 per-user 配置目录（user_config_dir）为不同用户/组定制根目录、权限与命令集合。
• 启用传输加密（FTPS）并收紧防火墙策略，仅开放必要端口。

二 关键配置与含义

• 基础开关
  • anonymous_enable=NO：关闭匿名；local_enable=YES：允许本地用户；write_enable=YES/NO：全局写入总开关。
• 目录隔离
  • chroot_local_user=YES/NO 与 chroot_list_enable=YES/NO、chroot_list_file=/path 的组合决定“哪些用户被锁在家目录”。典型用法：chroot_local_user=YES 锁定全部，再用 chroot_list_file 白名单放行特定用户可跳出；或相反仅对列表内用户加锁。
• 用户访问控制
  • userlist_enable=YES、userlist_file=/etc/vsftpd.userlist、userlist_deny=NO 表示“仅允许列表内用户登录”；/etc/vsftpd.ftpusers 为系统级黑名单（PAM 层面生效）。
• 细粒度权限
  • download_enable=YES/NO 控制下载；local_umask=022 控制本地用户上传文件默认权限；user_config_dir=/etc/vsftpd/users 指定“每用户配置文件”目录，实现不同用户不同根目录与权限。
• 命令白名单
  • cmds_allowed=… 可精确允许/禁止诸如 RETR（下载）、STOR（上传）、DELE（删除）、MKD/RMD（新建/删除目录）、RNFR/RNTO（重命名）等命令，适合“只上传不可下载”“只下载不可删除”等场景。

三 典型场景与配置示例

• 场景A 本地用户分权限：只读用户、只上传用户、管理员
  1. 建立系统用户与目录
     • useradd -s /sbin/nologin -d /data/ftp/readonly readonly
     • useradd -s /sbin/nologin -d /data/ftp/upload upload
     • useradd -s /sbin/nologin -d /data/ftp/admin admin
     • 目录与权限示例：/data/ftp 755，readonly 750（属主只读组只读），upload 730（仅属主可写不可读），admin 755。
  2. 全局 vsftpd.conf 要点
     • anonymous_enable=NO
     • local_enable=YES
     • write_enable=YES
     • chroot_local_user=YES
     • allow_writeable_chroot=NO（更安全：可写目录放到子目录）
     • userlist_enable=YES
     • userlist_file=/etc/vsftpd.userlist
     • userlist_deny=NO
     • user_config_dir=/etc/vsftpd/users
  3. 逐用户配置
     • /etc/vsftpd/users/readonly：download_enable=YES；write_enable=NO
     • /etc/vsftpd/users/upload：download_enable=NO；write_enable=YES；cmds_allowed=FEAT,REST,CWD,LIST,MKD,NLST,PASS,PASV,PORT,PWD,QUIT,STOR,TYPE,USER,ACCT,APPE,CDUP,HELP,MODE,NOOP,REIN,STAT,STOU,STRU,SYST（去除了 RETR/DELE/RNFR/RNTO）
     • /etc/vsftpd/users/admin：download_enable=YES；write_enable=YES
  4. 白名单
     • /etc/vsftpd.userlist：写入 readonly、upload、admin
  5. 重启服务：systemctl restart vsftpd
• 场景B 虚拟用户三位一体：admin/upload/download（系统不可登录、各自目录、不同权限）
  1. 建立映射用户与根目录
     • useradd -s /sbin/nologin -d /data/vftp vftp
  2. 生成虚拟用户数据库
     • /etc/vsftpd/vusers.txt：每行“用户名/密码”；执行 db_load -T -t hash -f vusers.txt /etc/vsftpd/vusers.db；chmod 600 /etc/vsftpd/vusers.db
  3. PAM 认证
     • /etc/pam.d/vsftpd：auth required pam_userdb.so db=/etc/vsftpd/vusers；account required pam_userdb.so db=/etc/vsftpd/vusers
  4. vsftpd.conf 要点
     • anonymous_enable=NO
     • local_enable=YES
     • guest_enable=YES
     • guest_username=vftp
     • virtual_use_local_privs=YES
     • user_sub_token=$USER
     • local_root=/data/vftp/$USER
     • chroot_local_user=YES
     • allow_writeable_chroot=NO
     • user_config_dir=/etc/vsftpd/vusers
  5. 逐虚拟用户配置（/etc/vsftpd/vusers/*.conf）
     • admin：download_enable=YES；write_enable=YES
     • upload：download_enable=NO；write_enable=YES；cmds_allowed=…（去 RETR/DELE/RNFR/RNTO）
     • download：download_enable=YES；write_enable=NO
  6. 重启服务：systemctl restart vsftpd
• 场景C 部门隔离与配额
  • 目录结构：/ftp/dep1、/ftp/dep2、/ftp/public；用户仅能访问本部门与 public；管理员可全访问。
  • 通过用户组与目录 ACL/属主实现“读/写/不可删除”策略；必要时挂载分区启用磁盘配额（usrquota/grpquota）限制空间与文件数。

四 安全加固与网络要点

• 传输加密
  • 启用 FTPS（推荐）：配置证书后使用端口 990/TCP 控制连接，数据连接走被动模式端口段；或启用 TLS 显式模式（端口 21/TCP）。防火墙仅放行所需端口段。
• 防火墙与被动模式
  • 放行 21/TCP（控制）与被动端口范围（如 10090–10100/TCP）；vsftpd.conf 设置 pasv_enable=YES、pasv_min_port/pasv_max_port。
• SELinux（如启用）
  • 允许家目录访问：setsebool -P ftp_home_dir on；必要时调整目录安全上下文。
• 系统层加固
  • 禁止 FTP 账户登录 shell：usermod -s /sbin/nologin ；确保被 chroot 的根目录不可被 FTP 用户整体写入（可写目录放到子目录并单独赋权）。

五 排错与验证清单

• 登录失败
  • 检查 /etc/vsftpd.ftpusers 黑名单、/etc/vsftpd.userlist 白名单与 PAM 配置是否冲突；查看日志（journalctl -u vsftpd 或 /var/log/vsftpd.log）。
• 能登录但“Permission denied”
  • 目录属主/权限与 SELinux 上下文是否正确；chroot 根目录是否可写（若 allow_writeable_chroot=NO，需将可写目录放到子目录）。
• 能上传但无法下载（或相反）
  • 检查全局 write_enable、download_enable 与 per-user 配置；若使用 cmds_allowed，确认包含/排除了 RETR/STOR/DELE 等命令。
• 被动模式超时
  • 核对防火墙与 vsftpd 的 pasv_min_port/pasv_max_port 一致；云主机需放通对应安全组端口段。

声明：本文内容由网友自发贡献，本站不承担相应法律责任。对本内容有异议或投诉，请联系2913721942#qq.com核实处理，我们将尽快回复您，谢谢合作！