1. CentOS下 FTP 服务器的安全风险与防护目标
1) 常见攻击向量
在 CentOS 环境下部署 FTP 服务器时，最常见的攻击向量包括 明文传输导致凭据泄露、匿名访问带来的权限滥用、错误的根目录/主目录权限导致的本地跳跃，以及 传输端口暴露和被动端口块的暴露带来的探测和暴力破解。未开启加密的 FTP 容易被网络嗅探工具抓取用户名、密码及文件列表，从而获得系统访问权限。为了降低风险，需要从传输协议、账户管理、网络暴露和日志监控等多方面入手。
此外，CentOS 的默认防护侧重点在于系统级安全，但 FTP 服务本身的配置若未严格控制，将成为攻击者的入口。禁用匿名登录、锁定本地账户、限制根目录访问和严格的证书策略是降低风险的重要基石。
2) 防护目标
在 CentOS 上部署 FTP 服务时，明确的防护目标包括：避免明文凭据泄露、限制访问范围和权限、对传输端口和数据通道进行最小暴露、实现完善的日志与告警、以及 持续的系统与应用更新。通过实现这套目标，可以显著提升 FTP 服务对攻击的抵抗力，并降低被利用的概率。
实现要点总结：加密传输、账户权限控制、最小暴露、定期审计和自动化防护是实现上述目标的关键路径。
2. 启用 TLS/FTPS，防止明文传输
1) 开启 TLS/SSL 的要点
为防止凭据在网络中被窃听，必须为 FTP 引入 TLS/SSL 加密，避免使用匿名或纯文本传输。对 vsftpd 等常用 FTP 服务器，推荐开启 SSL/TLS 加密，并强制对本地数据传输和登录进行加密。若不使用 FTPS，强烈不建议继续使用明文 FTP。
关键配置点：在 vsftpd.conf 中开启 ssl_enable、禁用匿名 SSL、强制本地数据与登录使用 SSL。以下配置片段为常见做法：
# vsftpd.conf 简要示例
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
chroot_local_user=YES
allow_writeable_chroot=YES
ssl_enable=YES
rsa_cert_file=/etc/pki/tls/certs/vsftpd.pem
rsa_private_key_file=/etc/pki/tls/private/vsftpd.key
force_local_data_ssl=YES
force_local_logins_ssl=YES
在上述配置中，强制本地数据与登录使用 SSL是防止明文传输的关键。另一个重要环节是证书管理：自签证书可用于内网测试，生产环境应使用受信任证书，确保浏览器/客户端不会报错。
2) 关键选项示例
除了基本的加密设置，还应关注证书路径、强加密套件以及 TLS 协议版本的控制，以提升安全性。定期轮换证书、禁用过时协议有助于降低中间人攻击风险。以下是示例要点：
要点摘要：使用强证书、禁用过时协议、设定高强度密码套件、记录传输日志。
# 证书与协议控制的扩展示例（如需要）
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO
# 高强度密码套件通常在服务器端配置系统级别完成
3. 最小暴露原则：账户、权限与访问控制
1) 账户与权限策略
为降低被非法访问的概率，应采用最小权限原则，对 FTP 用户仅赋予必要的访问与写入权限，禁用匿名账户，并通过强密码策略提升账户安全性。对系统账户的 FTP 访问应严格控制，避免默认账户直接暴露在公网。
实施要点：启用本地用户登录、限制其根目录、避免在家目录下存在可写权限、并考虑将敏感目录单独分配给特定账号。
2) 仅允许指定主机的访问
通过网络层和服务层两层控制来实现访问源限制。利用防火墙白名单、以及主机访问控制策略，只允许授权 IP 进行 FTP 连接；同时，对不在白名单中的尝试进行阻断。
相关做法：限制来源 IP、结合 Fail2ban 的封禁策略，可以在一定程度上降低暴力破解与探测攻击的成功率。
4. 防火墙、SELinux 与网络配置
1) 防火墙端口与被动模式端口
FTP 在工作时需要一组控制和数据端口。控制端口通常是 21（或 990 对应隐式 FTPS），数据传输端口取决于被动模式端口范围。为了实现安全分段，应在防火墙中仅开放必要端口，并对被动端口设置明确的范围。
操作要点：将被动端口范围绑定到 vsftpd 的 pasv_min_port 与 pasv_max_port 设置，并在防火墙中开放该范围。以下示例给出典型配置：
# vsftpd.conf 中的被动端口范围
pasv_min_port=10000
pasv_max_port=10100
# 防火墙开放端口
firewall-cmd --permanent --add-service=ftp
firewall-cmd --permanent --add-port=10000-10100/tcp
firewall-cmd --reload
2) SELinux 与系统策略
在 CentOS 上，SELinux 可能对 FTP 服务产生额外约束，需要进行正确的策略配置以避免服务被阻断。开启与 FTP 相关的布尔值，确保目录访问权限可控，并在必要时调整策略以保持安全合规。
常用设置示例：通过布尔值开启对家目录的访问，并确保匿名写入为关闭状态。
# 基本 SELinux 相关配置
setsebool -P ftp_home_dir on
setsebool -P allow_ftpd_anon_write off
# 如需对具体目录扩展上下文，请结合 restorecon 使用
restorecon -Rv /var/ftp || true
5. 日志与入侵防护
1) 日志与基线监控
完善的日志体系是发现异常和溯源的关键。启用 vsftpd 日志并将日志落地到稳定的位置，结合集中化日志分析可以提升安全响应速度。
实现要点：在 vsftpd.conf 中开启 xferlog、设置日志文件路径与格式，确保日志可检索和留存。
# 日志配置要点（示意）
xferlog_enable=YES
xferlog_file=/var/log/vsftpd.log
xferlog_std_format=YES
log_ftp_protocol=YES
2) Fail2ban 与自动化防护
为对抗暴力破解与异常连接，部署 Fail2ban 等自动化防护工具，对 FTP 服务进行实时阻断。Fail2ban 能在多次失败后将攻击源 IP 暂时封禁，显著降低成功登录的概率。
下面给出一个简化的 Fail2ban 配置示例，帮助你快速落地：
# 安装 Fail2ban 与配置简单 jail
yum install -y epel-release
yum install -y fail2bancat >/etc/fail2ban/jail.d/vsftpd.local << 'EOF'
[vsftpd]
enabled = true
port = ftp,ftp-data
logpath = /var/log/vsftpd.log
maxretry = 5
findtime = 600
bantime = 3600
EOFsystemctl enable --now fail2ban
