VSFTPD的基础安全加固

与SSL配置相关的设置(要添加)

ssl_enabe=YES| NO #是否启用ssl

ssl_sslv2=YES|NO #是否激活sslv2加密

ssl_sslv3=YES|NO #是否激活sslv3加密

ssl_tlsv1=YES|NO #是否激活tlsv1加密

force_local_logins_ssl=yes|NO #非匿名用户登陆时是否加密

force_local_data_ssl=YES|NO #传输数据是否加密

rsa_cert_file=/etc/vsftpd/.sslkey/vsftpd.pem #证书位置

配置ftp仅允许ssl连接

 

#利用openssl创建证书
openssl req -new -x509 -nodes (-days 3650) -out vsftpd.pem -keyout vsftpd.pem

# openssl req会在任何需要私钥的地方自动创建私钥
-new 生成一个新的证书签署请求
-x509:专用于CA生成自签证书,如果不是自签证书则不需要此项

vi /etc/vsftpd/vsfptd.conf
ssl_enable=YES
force_local_login_ssl=YES
rsa_cert_file=/etc/vsftpd/vsftpd.pem

可能错误:

425 Failed to establish connection  设置selinux为disable /etc/selinux/config

530 login incorrect  /etc/pam.d/vsftpd 文件里的这一行,#auth required pam_shells.so 意思是只有包含shell的用户才能登录,但是我们用户的bash是nologin不允许登陆

530 Non-anonymous sessions must use encryption   非匿名用户必须使用证书连接登陆

对本地用户的目录穿越设置

  关键词: chroot

chroot_local_user=YES

chroot_list_enable=YES

chroot_list_file=/etc/vsftpd/chroot_list

(1)对local_user设置的理解: chroot_local_user为YES时,即代表本地用户的活动范围限制在自家目录

(2)指定用户执行chroot -可以进行目录穿越

chroot_local_user=No 

chroot_list_enable=YES

chroot_list_file=/etc/vsftpd/chroot_list 

只有在list_file里指定的用户可以进行 list_file的格式为每个用户名占一行

对本地用户的访问控制

  关键词:userlist  tips:centos7 只有userlist_enable 其余可能要自己添加

userlist_enable=YES

userlist_deny=YES 

userlist_file=/etc/vsftpd.user_list #该文件指定的本地用户可以访问ftp服务器 其他则不可以 

banner信息控制

  关键词: banner

file_banner=xxx

配置基本的性能和安全选项

1. 空闲用户会话中断时间 #keyword=timeout

idle_session_timeout=xx #unit is seconds

2.空闲数据连接的中断时间

data_connection_timeout= xx # also seconds

3.传输速率配置 #important 对本地用户和匿名用户

  #要自己添加

local_max_rate=50000 #50kbytes /sec

anon_max_rate=30000

4.设置客户端连接的端口范围 #passive mode

pasv_min_port=50000

pasv_max_port=60000

服务器环境相关配置(要自己添加的)

connect_timeout=xx #units is seconds 主动模式下 设定时间没有得到响应 中断连接

accept_timeout=xx #also seconds  被动模式

max_clients=0 #最大连接数 如果vsftpd是stadalone启动 可以限制客户端同时在线的数量

max_per_ip=0 # 限制同一个ip最多能有多少个客户端在线

与本地用户相关设置

guest_enable=YES|NO #默认为NO 如果为YES 所有的本地用户被将被设置成guest用户

guest_username=ftp # 当guest_enable=YES生效 指定guest用户名称

匿名用户相关设置

anon_other_write_enable=YES|NO # 是否允许匿名用户有“写”之外的权限,包括删除、修改、重命名的权限

anon_max_rate=0 #匿名用户的传输速率,0 表示不限制

anon_umask=077 #匿名用户上传文件的默认权限

系统安全相关设置

tcp_wrappers=YES |NO # 是否支持 tcp_wrappers

dual_log_enable=YES, vsftpd_log_file=/var/log/vsftpd.log #是否启用双日志,及另一份日志的路径

配置一个/sbin/nologin的用户

家目录在/home/lisen 所属组www 目录权限700

useradd -d /home/lisen -s /sbin/nologin lisen

passwd miller

chown -R www:www lisen/  递归修改lisen目录所有者所属组为www

chmod -R 700 lisen/  递归修改lisen目录所有者和所属组权限为775

热门相关:地球第一剑   仗剑高歌   网游之逆天飞扬   薄先生,情不由己   仗剑高歌