1. 基本防护要点与访问控制
1.1 禁用匿名登录以减少暴露面
禁用匿名登录是防止未授权访问的第一道防线。在 CentOS 下的 vsftpd 配置中，应确保 anonymous_enable=NO，以阻止来自未知账户的连接尝试。通过这种方式，FTP 服务器仅对已认证的本地账户开放访问权限，显著降低被利用的风险。另外，关闭匿名账户还能减少日志中的匿名访问痕迹，便于后续审计。
在实际操作中，直接修改主配置文件即可快速落地，随后重启 vsftpd 服务生效。改动前请备份配置，以免影响现有业务。以下示例展示常见路径与修改方式。同时，确保与防火墙策略相配合，避免无效端口暴露。
# 常见路径：/etc/vsftpd/vsftpd.conf（CentOS 常用）
sed -i 's/anonymous_enable=.*/anonymous_enable=NO/' /etc/vsftpd/vsftpd.conf
systemctl restart vsftpd
1.2 限制本地用户访问并强制 chroot
对本地用户进行访问限制并启用 chroot，可以有效防止横向越权、跳出用户根目录的行为。在 CentOS 的 vsftpd 配置中开启 chroot_local_user=YES，确保本地用户被限制在自己的家目录内。避免可写的 chroot 环境，若需要可写，请保留 allow_writeable_chroot=YES 的显式配置并确保权限最小化。
配置完成后，除了在全局上生效，您还可以对特定用户做单独策略，通过用户子配置实现更细粒度的权限管理。以下示例展示常用设置方法。变更后记得重启服务，以应用新规则。
# 全局层面开启本地用户访问和 chroot
sed -i 's/chroot_local_user=.*/chroot_local_user=YES/' /etc/vsftpd/vsftpd.conf
sed -i 's/allow_writeable_chroot=.*/allow_writeable_chroot=YES/' /etc/vsftpd/vsftpd.conf
systemctl restart vsftpd
1.3 通过 PAM 与失败登录控制提升防护
结合 PAM 的失败登录控制可以降低暴力破解成功率。在 vsftpd 使用 PAM 的场景下，可以通过 pam_faillock 等模块实现登录失败次数限制和临时封禁，从而对异常客户端进行有效拦截。监控日志与告警配合使用效果更佳。
以下示例给出在/etc/pam.d/vsftpd 中集成 pam_faillock 的基本思路，实际生产中请结合系统版本与策略进行微调。确保 PAM 配置正确以防误拦。
# 使用 pam_faillock 限制失败登录
# 编辑 /etc/pam.d/vsftpd，添加以下行
auth required pam_faillock.so preauth silent audit deny=5 unlock_time=600
auth [success=1 default=bad] pam_faillock.so authfail deny=5 unlock_time=600
account required pam_faillock.so
2. 强化传输加密与 TLS 配置
2.1 启用 TLS/FTPS，强制加密
启用 TLS/FTPS 并强制加密传输，可以有效防止数据在传输过程中的窃听、篡改和中间人攻击。在 vsftpd 的全局配置中开启 ssl_enable=YES，并通过 force_local_data_ssl/force_local_logins_ssl 强制数据与登录都走加密通道。
通过正确的证书设置，客户端将自动使用加密传输，降低明文传输带来的风险。推荐使用受信任证书或自签证书签名，但务必确保私钥保护妥善。
# vsftpd.conf 关键 TLS 配置
ssl_enable=YES
force_local_data_ssl=YES
force_local_logins_ssl=YES
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO
rsa_cert_file=/etc/pki/tls/certs/vsftpd.pem
rsa_private_key_file=/etc/pki/tls/private/vsftpd.key
2.2 证书与密钥管理
证书与私钥应妥善管理，防止泄露。在 CentOS 上，可以使用自签证书进行初期测试，也可以部署正式的 CA 证书以提升信任等级。将证书和私钥放置在受保护的目录，并设置合适的权限。务必定期轮换证书以降低被滥用的风险。
# 生成自签名证书（示例）
openssl req -new -x509 -days 3650 -nodes -subj '/CN=ftp.example.com' \-keyout /etc/pki/tls/private/vsftpd.key -out /etc/pki/tls/certs/vsftpd.pem
2.3 被动模式端口与防火墙整合
启用被动模式并开放相应端口，可以避免客户端主动建立数据连接时的防火墙阻断问题。配置被动端口范围后，需要在防火墙中放行该端口段。确保 pasv_min_port/ pasv_max_port 与防火墙一致。
# vsftpd.conf
pasv_enable=YES
pasv_min_port=60000
pasv_max_port=61000# 防火墙放行被动端口
firewall-cmd --permanent --add-port=60000-61000/tcp
firewall-cmd --permanent --add-service=ftp
firewall-cmd --reload
3. 连接与暴力破解的防护策略
3.1 设置最大连接数与每 IP 的并发限制
合理设置最大连接数和单个 IP 的并发连接数，能有效防止单个来源发起大量并发连接来耗尽资源或进行暴力尝试。max_clients 与 max_per_ip 是核心参数，结合服务器容量做出合理取值。
通过全局配置实现，变更后请重启 vsftpd 服务。务必测试新阈值对真实业务的影响。
# vsftpd.conf
max_clients=50
max_per_ip=5
3.2 使用 Fail2Ban 针对 vsftpd 的速率限制与拦截
Fail2Ban 是 CentOS 上常用的攻击防护工具，对 vsftpd 的暴力破解、无效登录等行为可以自动封禁可疑 IP。搭建时应确保日志路径正确，且 jail 配置与系统时间保持一致。实现自动化拦截有助于持续防护。
下面给出一个基于 Fail2Ban 的基本配置示例，帮助实现对 vsftpd 的拦截策略。启用 fail2ban 服务并监控 vsftpd 日志。
# 安装 Fail2Ban（CentOS）
yum install epel-release -y
yum install fail2ban -y# 创建/编辑 jail 文件（示例：/etc/fail2ban/jail.d/vsftpd.local）
cat >/etc/fail2ban/jail.d/vsftpd.local << 'EOF'
[vsftpd]
enabled = true
port = ftp,ftp-data
filter = vsftpd
logpath = /var/log/vsftpd.log
maxretry = 5
bantime = 600
EOFsystemctl enable --now fail2ban
3.3 基于网络层的防护与检测
在网络层进行额外防护可以提升整体鲁棒性。通过防火墙策略和 IDS/IPS 进行入侵检测，可以对异常行为进行快速告警与拦截。结合 Fail2Ban 使用效果更明显，并且避免对正常用户带来过度干扰。
# 例：使用 firewalld 限制异常连接速率（示例）
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" limit value="5/m" accept'
firewall-cmd --reload
4. 网络边界、SELinux 与目录权限的综合防护
4.1 被动端口、目录与权限的正确配置
正确设置被动端口范围与目录权限，能减少数据通道被错配到错误的目录或权限带来的风险。请确保被动端口区间在防火墙开放并且目录权限符合最小化原则。尽量避免在可写根目录提供 FTP 访问，以降低横向渗透的风险。
在实际生产中，应对 /home、/var/ftp、/srv/ftp 等目录进行严格的权限管理，确保仅经过认证的用户可访问对应路径。使用最小权限原则进行目录设计以提升整体防护水平。
# 示例：调整目录权限
chmod 750 /home/ftpuser
chown root:ftp /home/ftpuser
4.2 SELinux 策略与上下文的正确配置
SELinux 策略应与 vsftpd 的工作模式保持一致，否则可能阻止合法的访问或造成服务中断。通常需要为 FTP 目录设定正确的文件上下文，并根据需要开启相关布尔值。确保日志与策略同步，避免误报或漏报。
常见的操作包括开启合适的 SELinux 布尔值与设定文件上下文。以下示例提供了基本思路。变更后用 restorecon 验证上下文。
# 启用对 home 目录的 FTP 访问
setsebool -P ftp_home_dir 1
# 为特定目录设定上下文
semanage fcontext -a -t public_content_rw_t '/home/ftp(/.*)?'
restorecon -Rv /home/ftp
4.3 审计、日志与可观测性
完善日志与监控是持续防护的重要环节。确保 vsftpd 的日志路径可写、日志轮转合理、并将关键事件推送至集中化日志平台，便于异常行为的快速定位与处置。提升可观测性有助于快速发现FTP 攻击迹象。
# vsftpd 日志配置示例（路径依赖系统）
# /etc/rsyslog.d/vsftpd.conf 可能包含相关配置
local5.* /var/log/vsftpd.log# 日志轮转（与日志系统配合）
5. 监控、日志与日常运维
5.1 启用与收集详细日志
详细日志是事后取证与攻击分析的关键，请确保 vsftpd 将登录、连接、数据传输等事件记录在 /var/log/vsftpd.log 或等效路径中。日志级别应在可接受范围内，避免过度影响性能。
与此同时，统一日志格式便于后续的 SIEM 集成与告警规则的编写。确保时间同步，避免日志错位。
# 示例：确保日志路径存在
mkdir -p /var/log/vsftpd
chown root:root /var/log/vsftpd
chmod 600 /var/log/vsftpd
5.2 日志轮转与告警策略
定期轮转日志并设置告警阈值，可避免日志文件过大而影响性能，同时确保异常事件被及时告知运维人员。使用 logrotate 与 Fail2Ban 警报机制协同工作效果最佳。
# 简单的 vsftpd 日志轮转配置（/etc/logrotate.d/vsftpd）
/var/log/vsftpd.log {dailymissingokrotate 14compressnotifemptypostrotatesystemctl reload vsftpd >/dev/null 2>&1 || trueendscript
}
5.3 备份与演练
定期备份配置与证书，确保在遭遇攻击、服务中断或配置异常时可以快速回滚到正常状态。演练应覆盖常见攻击场景，验证防护链路的有效性，以降低真实事件的恢复成本。
# 备份示例
cp -a /etc/vsftpd/vsftpd.conf /root/backup_vsftpd.conf.$(date +%F)
