Serv-U 進階技巧兩則：網路磁碟映射建立 FTP 與虛擬目錄權限精細控制

Serv-U (現屬 SolarWinds) 是 Windows 平台經典 FTP 伺服器軟體。本文分享兩個實戰高階技巧：利用網路磁碟映射突破本地存儲限制、虛擬目錄與 NTFS 權限結合實現多租戶隔離。注意：Serv-U 6.x 後限制網路磁碟做根目錄，建議使用 5.x 版本或改用符號連結/UNC 路徑替代。

技巧一：巧用網路磁碟映射 — 讓遠端存儲成為 FTP 根目錄

適用場景

• 本機磁碟空間不足，檔案伺服器/NAS 有大量閒置空間。
• 多台 FTP 伺服器需共享同一組檔案內容 (單一資料源)。
• 備份/歸檔資料直接寫入異地存儲，無需二次傳輸。

實作步驟 (Serv-U 5.x / Windows 2000/2003)

1. 建立網路磁碟映射 (持久化)：

   net use Z: \\10.91.30.45\H$ 198029 /user:administrator /persistent:yes

   需目標主機開啟 Server 服務、啟用行政共享 (H$)、防火牆開放 445/139 連接埠、帳號具備「從網路存取此電腦」權限。

2. 確認 Z: 在「我的電腦」顯示為「網路磁碟機」。
3. Serv-U 管理控制台 → 域/使用者設定 → 主目錄 → 瀏覽選擇 Z:\ 或輸入 Z:\FTPRoot。
4. 建立測試帳號登入驗證：上傳/下載/刪除/建立目錄全功能正常。

Serv-U 6.x+ / 現代 Windows 替代方案

• UNC 路徑直接指定：主目錄填 \\10.91.30.45\H$\FTPRoot (Serv-U 15+ 支援)。
• 目錄符號連結：mklink /D D:\FTPRoot \\10.91.30.45\H$\FTPRoot → Serv-U 指向 D:\FTPRoot。
• iSCSI 發起器：將遠端 LUN 掛載為本地磁碟，效能最佳、透明度最高。

技巧二：虛擬目錄 + NTFS 權限 — 實現多使用者/多部門隔離存取

架構設計

FTP 根目錄: D:\FTPRoot
├── Public/          (Everyone 讀取、管理員寫入)
├── Dept_A/          (群組 Dept_A_FTP 讀寫、其他無權限)
├── Dept_B/          (群組 Dept_B_FTP 讀寫、其他無權限)
├── User_John/       (John 讀寫、其他無權限)
└── Incoming/        (所有認證使用者 寫入、不可讀取/列表 - 投遞箱模式)

Serv-U 虛擬目錄配置

1. 域/使用者 → 虛擬目錄 → 新增：
     • 名稱：Public → 實體路徑：D:\FTPRoot\Public → 權限：檔案讀取、目錄列表 (無寫入/刪除/建立)。
2. 同法為每個部門/使用者建立對應虛擬目錄，權限對應 NTFS ACL。
3. 關鍵： Serv-U 權限為「允許清單」，預設拒絕。需逐項勾選所需權限。

NTFS ACL 精細設定 (icacls 批次腳本)

rem Public: Everyone 讀取
icacls "D:\FTPRoot\Public" /grant "Everyone:(RX)" /inheritance:r

rem Dept_A: 群組讀寫
icacls "D:\FTPRoot\Dept_A" /grant "Dept_A_FTP:(OI)(CI)(M)" /inheritance:r

rem Dept_B: 群組讀寫
icacls "D:\FTPRoot\Dept_B" /grant "Dept_B_FTP:(OI)(CI)(M)" /inheritance:r

rem User_John: 個人讀寫
icacls "D:\FTPRoot\User_John" /grant "John:(OI)(CI)(M)" /inheritance:r

rem Incoming: 投遞箱 (寫入不可讀)
icacls "D:\FTPRoot\Incoming" /grant "Authenticated Users:(OI)(CI)(WD,AD)" /inheritance:r
icacls "D:\FTPRoot\Incoming" /deny "Authenticated Users:(OI)(CI)(RX)" /inheritance:r

(OI)(CI) = 物件繼承 + 容器繼承 (遞歸至子檔案/目錄)。
M = 修改 (讀寫刪除)；WD,AD = 寫入資料/新增檔案/新增目錄 (無讀取/列表/刪除)。

投遞箱模式驗證

• 使用者上傳檔案 → 成功。
• 使用者嘗試 ls / dir Incoming 目錄 → 550 Permission denied。
• 管理員移動檔案至對應部門目錄 → 流程完整。

安全強化清單 (必做)

• 啟用 FTPS (SSL/TLS)：控制台 → 伺服器設定 → 加密 → 憑證綁定、強制加密控制/資料通道。
• 停用匿名登入，強制帳號密碼驗證。
• 設定 連線逾時 (閒置 300 秒)、最大連線數 (每 IP/每使用者)、錯誤登入鎖定 (5 次/15 分鐘)。
• 啟用 詳細日誌 (W3C 擴充格式) → 定期匯入 SIEM/日誌分析平台。
• 定期掃描 弱密碼、異常登入地理位置、大量下載行為。

現代替代方案：SFTP (OpenSSH/Win32-OpenSSH) 原生支援寬頻檔案傳輸、金鑰認證、chroot 隔離、系統帳號整合、零授權成本。Windows Server 2019+ 內建 OpenSSH Server 可選功能，強烈建議新部署採用 SFTP 取代 FTP/FTPS。