FTP 伺服器安全架設指南：Vsftpd 三類用戶權限模型與存取控制策略

FTP 伺服器承載企業核心資料交換與異地備份，更是駭客植入木馬、竊取機密的跳板。本文以 Linux 平台 Vsftpd 為例，系統剖析三大用戶類別權限模型，並說明如何依企業安全需求重新歸類用戶、實施最小權限原則，建立纵深防禦體系。

Vsftpd 三大用戶類別權限模型

預設風險與企業級調整策略

預設陷阱：Vsftpd 預設將所有建立帳號歸為 Real 用戶，導致一般用戶可瀏覽他人目錄、甚至系統敏感區域，嚴重違反最小權限原則。

調整步驟

1. 盤點用戶屬性：列出所有 FTP 帳號，標記部門/角色/信任等級。
2. 重新分類：
   — 系統管理員 → Real 用戶（極少數）
   — 一般部門/專案/外包 → Guest 用戶（大多數）
   — 公開下載區 → Anonymous 用戶
3. 配置 Vsftpd 關鍵參數（/etc/vsftpd/vsftpd.conf）：

# 啟用 Guest 用戶機制
guest_enable=YES
guest_username=ftpsecure  # 指定一個低權限系統帳號作為 Guest 映射

# 限制 Real 用戶不得越界（可選）
chroot_local_user=YES
chroot_list_enable=YES
chroot_list_file=/etc/vsftpd/chroot_list  # 列入此檔的用戶不受 chroot 限制

# 匿名用戶設定
anonymous_enable=YES
anon_root=/var/ftp/pub
anon_upload_enable=NO
anon_mkdir_write_enable=NO

纵深防禦補充措施

• 傳輸加密：啟用 FTPS（SSL/TLS），設定 ssl_enable=YES、force_local_data_ssl=YES、force_local_logins_ssl=YES。
• 防暴力破解：部署 Fail2ban 監聽 vsftpd 日誌，自動封鎖失敗 IP。
• 檔案完整性：上傳目錄掛載 noexec,nodev,nosuid，定期掃毒（ClamAV）。
• 稽核日誌：啟用 xferlog_enable=YES、log_ftp_protocol=YES，集中收集至 SIEM。
• 磁碟配額：啟用 filesystem quota 限制各用戶/群組空間上限。

驗證清單

1. Guest 用戶登入後 cd .. 是否被限制在主目錄？
2. Anonymous 用戶無法上傳/建立目錄？
3. Real 用戶名單是否僅含必要管理帳號？
4. FTPS 連線憑證驗證正常？
5. Fail2ban 封鎖測試生效？

FTP 安全不在於軟體本身，在於「誰能存取什麼」的精細管控。善用 Vsftpd 三類用戶模型，配合 chroot 隔離、FTPS 加密、Fail2ban 動態封鎖，即能將風險壓縮至可接受範圍。