ftp服务器的安全设置 ftp服务器的配置与管理

如何保证文件传输服务器FTP的安全

目前FTP 服务器面临的安全隐患主要包括：

新民网站制作公司哪家好，找创新互联！从网页设计、网站建设、微信开发、APP开发、响应式网站设计等网站项目制作，到程序开发，运营维护。创新互联成立于2013年到现在10年的时间，我们拥有了丰富的建站经验和运维经验，来保证我们的工作的顺利进行。专注于网站建设就选创新互联。

1. 被用户跳转到了上级非授权的目录（如 /root）；

2. 客户端指定文件的类型和格式，但只通过扩展名判断。

3. 无法判断文件是否为带毒。

4. 文件传输不做校验，无法保证文件的完整性

5. 多人同用一个用户时，文件下载无法追查。

友予安全FTP，在标准哪逗前FTP、SFTP基础上，增加安全如下：

1. 服务端目录限定：只允许用户访问设定的目录，如不能指启访问C:、/root、FTP服务软件本身的目录，当管理端添加用户指定的目录超出了限定，用户无法访问该目录。

2. 深度文件类型识别：服务端设定的可上传的类型，用友予Ftp客户端，在客户端中就会深度识别文件类型、修改扩展名无效，标准Ftp上传时，服务端做深度判断。

3. 文件病毒查杀：服务端支持卡巴斯基、比特凡德、GDATA、NOD32杀毒软件，每个上传的文件都调用杀毒软件命令查杀，返回查杀结果。友予Ftp客户端可显示错误原因，标准FTP删除文件，创建同名文件加错误原因。

4. MD5校验：友予Ftp客户端上传、下载的文件与服务端生成的MD5对比，同时对比文件的字节数，当都相同时才认定文件传输成功。

5. 下载文件限定：限定用户可下载文件的类型，如重要的设计图、代码、视频都可限定，限定的文件用户查看不到。

6. 下载文件备份：重要的资料外流，但不可查，通过平台，下载的文件会自动备份到指定的目录，并有用户、IP、时间、文件等信息记录到日志中，结合备李清份文件可查外传人员。

FTP管理妙招三招提高FTP服务器安全性

FTP是一种文件传输协议。有时我们把他形象的叫做“文件交流集中地”。FTP文件服务器的主要用途就是提供文件存储的空间，让用户可以上传或者下载所需要的文件。在企业中，往往会给客户提供一个特定的FTP空间，以方便跟可以进行一些大型文件的交流，如大到几百兆的设计图纸等等。同时，FTP还可以作为企业文件的备份服务器，如把数据库等关键应用在FTP服务器上实现异地备份等等。

可见，FTP服务器在企业中的应用是非常广泛的。真是因为其功能如此的强大，所以，很多黑客、病毒也开始“关注”他了。他们企图通过FTP服务器为跳板，作为他们传播木马、病毒的源头。同时，由于FTP服务器上存储着企业不少有价值的内容。在经济利益的诱惑下，FTP服务器也就成为了别人攻击的对象。

所以，FTP服务器的安全性工作也逐渐显得重要。笔者采用的FTP服务器是基于Linxu操作系统平台上的Vsftpd软件。笔者今天就以这个软件为例，谈谈如何若照FTP服务器的安全设计。

一、谁可以访问FTP服务器？

在考虑FTP服务器安全性工作的时候，第一步要考虑的就是谁可以访问FTP服务器。在Vsftpd服务器软件中，默认提供了三类用户。不同的用户对应着不同的权限与操作方式。

一类是Real帐户。这类用户是指在FTP服务上拥有帐号。当这类用户登录FTP服务器的时候，其默认的主目录就是其帐号命名的目录。但是，其还可以变更到其他目录中去。如系统的主目录等等。

第二类帐户实Guest用户。在FTP服务器中，我们往往会给不同的部门或者某个特定的用户设置一个帐户。但是，这个账户有个特点，就是其只能够访问自己的主目录。服务器通过这种方式来保障FTP服务上其他文件的安全性。这类帐户，在Vsftpd软件中就叫做Guest用户。拥有这类用户的帐户，只能够访问其主目录下的目录，而不得访问主目录以外的文件。

第三类帐户是Anonymous（匿名）用户，这也是我们通常所说的匿名访问。这类用户是指在FTP服务器中没有指定帐户，但是其仍然可以进行匿名访问某些公开的资源。

在组建FTP服务器的时候，我们就需要根据用户的类型，对用户进行归类。默认情况下，Vsftpd服务器会把建立的所有帐户都归属为Real用户。但是，这往往不符合企业安全的需要。因为这类用户不仅可以访问自己的主目录，而且，还可以访问其他用户的目录。这就给其他用户所在的空间 带来一定的安全隐患。所以，企业要根据实际情况，修改用户虽在的类别。

修改方法：

第一步：修改/etc/Vsftpd/vsftpd.conf文件。

默认情况下，只启用了Real与Anonymous两类用户。若我们需要启用Guest类用户的时候，就需要把这个选项启用。修改/etc/Vsftpd/vsftpd.conf文件，把其中的“chroot_list_enable=YES”这项前面的注释符号去掉。去掉之后，系统就会自动启用Real类型的帐户。

第二步：修改/etc/vsftpd.conf文件。

若要把某个FTP服务器的帐户归属为Guest帐户，则就需要在这个文件中添加用户。通常情况下，FTP服务器上没有这个文件，需要用户手工的创建。利用VI命令创建这个文件之后，就可以把已经建立的FTP帐晌饥户加入到这个文件中。宴山返如此的话，某个帐户就属于Real类型的用户了。他们登录到FTP服务器后，只能够访问自己的主目录，而不能够更改主目录。

第三步：重新启动FTP服务器。

按照上述步骤配置完成唯迹后，需要重新启动FTP服务器，其配置才能够生效。我们可以重新启动服务器，也可以直接利用Restart命令来重新启动FTP服务。

在对用户尽心分类的时候，笔者有几个善意的提醒。

一是尽量采用Guest类型的用户，而减少Real类行的用户。一般我们在建立FTP帐户的时候，用户只需要访问自己的主目录下的文件即可。当给某个用户的权限过大时，会对其他用户文件的安全产生威胁。

二是尽量不要采用匿名类型的帐户。因为他们在没有授权的情况下，就可以访问FTP服务器。虽然其访问的资源受到一定的限制，但是，仍然具有危险性。故在没有特殊需要的情况下，把匿名类型帐户禁用掉。

二、哪些帐号不可以访问FTP服务器？

在以下几种情况下，我们要禁止这些账户访问FTP服务器，以提高服务器的安全。

一是某些系统帐户。如ROOT帐户。这个账户默认情况下是Linxu系统的管理员帐户，其对系统具有的操作与管理权限。若允许用户以这个账户为账户名进行登陆的话，则用户不但可以访问Linux系统的所有资源，而且，还好可以进行系统配置。这对于FTP服务器来说，显然危害很大。所以，往往不允许用户以这个Root等系统帐户身份登陆到FTP服务器上来。

第二类是一些临时账户。有时候我们出于临时需要，为开一些临时账户。如需要跟某个客户进行图纸上的交流，而图纸本身又比较大时，FTP服务器就是一个很好的图纸中转工具。在这种情况下，就需要为客户设立一个临时账户。这些账户用完之后，一般就加入到了黑名单。等到下次需要再次用到的时候，再启用他。

在vstftpd服务器中，要把某些用户加入到黑名单，也非常的简单。在Vsftpd软件中，有一个/etc/vsftpd.user_lise配置文件。这个文件就是用来指定哪些账户不能够登陆到这个服务器。我们利用vi命令查看这个文件，通常情况下，一些系统账户已经加入到了这个黑名单中。FTP服务器管理员要及时的把一些临时的或者不再使用的帐户加入到这个黑名单中。从而才可以保证未经授权的账户访问FTP服务器。在配置后，往往不需要重新启动FTP服务，配置就会生效。

不过，一般情况下，不会影响当前会话。也就是说，管理员在管理FTP服务器的时候，发现有一个非法账户登陆到了FTP服务器。此时，管理员马上把这个账户拉入黑名单。但是，因为这个账户已经连接到FTP服务器上，所以，其当前的会话不会受到影响。当其退出当前会话，下次再进行连接的时候，就不允许其登陆FTP服务器了。所以，若要及时的把该账户禁用掉的话，就需要在设置好黑名单后，手工的关掉当前的会话。

对于一些以后不再需要使用的帐户时，管理员不需要把他加入黑名单，而是直接删除用户为好。同时，在删除用户的时候，要记得把用户对应的主目录也一并删除。不然主目录越来越多，会增加管理员管理的工作量。在黑名单中，只保留那些将来可能利用的账户或者不是用作FTP服务器登陆的账户。这不但可以减少服务器管理的工作量，而且，还可以提高FTP服务器的安全性。

三、匿名账户也可以上传文件

在系统默认配置下，匿名类型的用户只可以下载文件，而不能够上传文件。虽然这不是我们推荐的配置，但是，有时候出于一些特殊的需要，确实要开启这个功能。如笔者以前在企业中，利用这个功能实现了对用户终端文件进行备份的功能。为了设置的方便，就在FTP服务器上开启了匿名访问，并且允许匿名访问账户网某个特定的文件夹中上传某个文件。

若要让匿名用户上传文件，则首先要建立一个目录，并且把这个目录指定为匿名用户具有更新的权限。以后匿名用户需要上传文件的时候，只能够王这个文件夹中传。而不能够像Real用户那样，网其他用户的文件夹中上传文件。

文件目录设置好之后，再修改/etc/vsftpd/vsftpd.conf配置文件。把这个文件下的有关匿名账户的功能启用。默认情况下，跟匿名账户相关的功能，如更新、增加目录等功能都是被注释掉的。管理员需要把这个注释符号去掉，匿名账户才能够网特定的账户中上传文件。

笔者再次重申一遍，一般情况下，是不建议用户开启匿名账户的文件上传功能。因为很难保证匿名账户上传的文件中，不含有一些破坏性的程序，如病毒或者木马等等。有时候，虽然开启了这个功能，但是往往会在IP上进行限制。如只允许企业内部IP可以进行匿名访问并上传文件，其他账户则不行。如此的话，可以防止外部用户未经授权匿名访问企业的FTP服务器。若用户具有合法的账户，就可以在外网中登陆到FTP服务器上。

总之，在FTP服务器安全管理上，主要关注三个方面的问题。一是未经授权的用户不能往FTP空间上上传文件；二是用户不得访问未经授权的目录，以及对这些目录的文件进行更改，包括删除与上传；三是FTP服务器本身的稳定性。以上三个问题中的前两部分内容，都可以通过上面的三个方法有效的解决。相信管理员灵活采用如上的方法，可以在保障企业应用的前期下，提高FTP服务器的安全性。

如何来提高FTP服务器的安全性？

从两个方向去做:

一、禁止系统级别用户来登录FTP服务器。

为了提高FTP服务器的安全，系统管理员最好能够为员工设置单独的FTP帐号，而不要把系统级别的用户给普通用户来使用，这会带来很大的安全隐患。在VSFTP服务器中，可以通过配置文件vsftpd.ftpusers来管理登陆帐户。不过这个帐户是一个黑名单，列入这个帐户的人员将无法利用其帐户来登录FTP服务器。部署好VSFTP服务器后，我们可以利用vi命令来查看这个配置文件，发现其已经有了许多默认的帐户。其中，系统的超级用户root也在其中。可见出于安全的考虑，VSFTP服务器默认情况下就是禁止root帐户登陆FTP服务器的。如果系统管理员想让root等系统帐户登陆到FTP服务器，则知需要在这个配置文件中将root等相关的用户名删除即可。不过允许系统帐户登录FTP服务器，会对其安全造成负面的影响，为此我不建议系统管理员这么做。对于这个文件中相关的系统帐户管理员最好一个都不要改，保留这些帐号的设置。

如果出于其他的原因，需要把另外一些帐户也禁用掉，则可以把帐户名字加入到这个文件中即可。如在服务器上可能同时部署了FTP服务器与数据库服务器。那么为了安全起见，把数据库管理员的帐户列入到这个黑名单，是一个不错的做法。

二、加强对匿名用户的控制。

匿名用户是指那些在FTP服务器中没有定义相关的帐户，而FTP系统管理员为了便于管理，仍然需要他们进行登陆。但纤判是他们毕竟没有取得服务器的授权，为了提高服务器的安全性，必须要对他们的权限进行限制。在VSFTP服务器上也有很多参数可以用来控制匿名用户的权限。系统管理员需要根据FTP服务器的安全级别，来做好相关的配置工作。需要说明的是，匿名用户的权限控制的越严格，FTP服务器的安全性越高，但是同时用户访问的便利性也会降低。故最终系统管理员还是带竖裤需要在服务器安全性与便利性上取得一个均衡。

下面是我推荐的几个针对匿名用户的配置，大家若不清楚该如何配置的话，可以参考这些配置。这些配置兼顾了服务器的安全与用户的使用便利。

一是参数anon_world_readable_only。这个参数主要用来控制匿名用户是否可以从FTP服务器上下载可阅读的文件。如果FTP服务器部署在企业内部，主要供企业内部员工使用的话，则最好把这个参数设置为YES。然后把一些企业常用表格等等可以公开的文件放置在上面，让员工在匿名的情况下也可以下载这些文件。这即不会影响到FTP服务器的安全，而且也有利于其他员工操作的便利性上。

二是参数anon_upload_enable。这个参数表示匿名用户能否在匿名访问的情况下向FTP服务器上传文件。通常情况下，应该把这个参数设置为No。即在匿名访问时不允许用户上传文件。否则的话，随便哪个人都可以上传文件的话，那对方若上传一个病毒文件，那企业不是要遭殃了。故应该禁止匿名用户上蠢简传文件。但是这也有例外。如有些企业通过FTP协议来备份文件。此时如果企业网络的安全性有所保障的话，可以把这个参数设置为YES，即允许操作系统调用FTP命令往FTP服务器上备份文件。

谢谢，这是我的回答。

注重设置让FTP服务器共享更安全

为了方便员镇岁嫌工之间相互交流和传输信息，不少单位都利用Windows服务器系统自带的FTP功能架设了FTP服务器，这样一来员工就能把自己的信息上传到FTP服务器中让其他人下载使用了。不过，不同部门的员工共享使用同一台FTP服务器，往往会存在部门信息被轻易外泄的危险；为了有效避免这种风险，让FTP服务器共享访问更安全，我们可以从设置出发，来让不同部门的员工访问FTP服务器时只能看到本部门的信息，而不能看到其他部门的信息，这样一来就能实现多部门、多用户共享使用FTP服务器的目的了！

架设FTP服务器

假设某单位为了便于统一管理FTP服务器，希望能让不同的部门共享使用相同的一台FTP服务器，并希望不同部门用户登录进FTP服务器后，只能访问到本部门上传发布的信息，并且仅对这些信息进行读取或修改，而不能看到其他部门的上传信息。比方说，我们假设指定“D:\aaa”文件夹作为单位FTP服务器的主目录，并在该目录下创建两个名称分别为“bbb”与“ccc”的文件夹，现在我们要让B部门的员工以“bbb”用户帐号登录FTP服务器时，只能访问和读取“bbb” 文件夹中的信息，而不能看到和访问“ccc” 文件夹中的信息，那样一来多部门共享一台FTP服务器的安全性就能得到有效保证了。要实现上面的设置目的，我们不妨按照如下步骤进行设置：

首先以超级管理员身份登录进FTP服务器所在的主机系统，并在该系统桌面中用鼠标逐一单击“开始”、“设置”、“控制面板”命令，在其后弹出的窗口中用鼠标双击“管理工具”图标，之后再双击“计算机管理”图标，打开主机系统的计算机管理窗口；在该管理窗口的左侧显示区域，用鼠标依次展开“本地用户和组”/“用户”分支选项，打开计算机用户管理窗口，在该窗口的右侧空白区域单御手击鼠标右键，从弹出的右键菜单中执行“用户”命令，来为B部门和C部门的员工分别创建好登录FTP服务器的用户帐号名称“bbb”和“ccc”，同时为这两个用户帐号设置好合适的密码信息。

接着打开服务器系统的资源管理器窗口，找到该主机D盘下雀芹面的“aaa”文件夹，然后用鼠标双击该文件夹图标，在其后的文件夹窗口中用鼠标右击空白区域，并依次执行快捷菜单中的“新建”/“文件夹”命令，来在“aaa”文件夹下面分别创建好“bbb”与“ccc”文件夹，这两个文件夹就作为B部门和C部门员工的信息上传目录。

下面返回到服务器系统桌面中，并依次单击“开始”/“设置”/“控制面板”命令，在其后的窗口中用鼠标依次双击“管理工具”、“Internet服务管理器”图标，打开Internet信息服务窗口，在该窗口的左侧显示区域，用鼠标右键单击服务器主机名称，从弹出的快捷菜单中依次执行“新建”/“FTP站点”命令，然后在弹出的向导窗口中依照提示（如图1所示）， 设置好FTP服务器的站点名称、IP地址，以及指定好FTP站点所用的主目录路径，这样就能顺利完成FTP服务器站点的架设操作了。

小提示：当我们在Internet信息服务窗口的左侧显示区域中无法找到“FTP站点”选项时，那表明当前服务器系统还没有安装FTP文件传输协议功能，此时我们可以按照前面步骤打开系统的控制面板窗口，并在其中双击“添加/删除程序”命令，然后选择“添加/删除Windows组件”项目，打开Windows组件安装向导窗口；选中该窗口列表中的“应用程序服务器”选项，并单击“详细信息”按钮，之后选中应用程序服务器列表窗口中的“Internet信息服务（IIS）”子组件，再单击一下“详细信息”按钮，打开如图2所示的列表界面， 选中其中的“文件传输协议（FTP）服务”，最后单击“确定”按钮，那样一来服务器系统的FTP文件传输协议功能就能被正确安装成功了。