FTP管理妙招三招提高FTP服务器安全性

FTP是一种文件传输协议。有时我们把他形象的叫做“文件交流集中地”。FTP文件服务器的主要用途就是提供文件存储的空间，让用户可以上传或者下载所需要的文件。在企业中，往往会给客户提供一个特定的FTP空间，以方便跟可以进行一些大型文件的交流，如大到几百兆的设计图纸等等。同时，FTP还可以作为企业文件的备份服务器，如把数据库等关键应用在FTP服务器上实现异地备份等等。
可见，FTP服务器在企业中的应用是非常广泛的。真是因为其功能如此的强大，所以，很多黑客、病毒也开始“关注”他了。他们企图通过FTP服务器为跳板，作为他们传播木马、病毒的源头。同时，由于FTP服务器上存储着企业不少有价值的内容。在经济利益的诱惑下，FTP服务器也就成为了别人攻击的对象。
所以，FTP服务器的安全性工作也逐渐显得重要。笔者采用的FTP服务器是基于Linxu *** 作系统平台上的Vsftpd软件。笔者今天就以这个软件为例，谈谈如何若照FTP服务器的安全设计。
一、谁可以访问FTP服务器？
在考虑FTP服务器安全性工作的时候，第一步要考虑的就是谁可以访问FTP服务器。在Vsftpd服务器软件中，默认提供了三类用户。不同的用户对应着不同的权限与 *** 作方式。
一类是Real帐户。这类用户是指在FTP服务上拥有帐号。当这类用户登录FTP服务器的时候，其默认的主目录就是其帐号命名的目录。但是，其还可以变更到其他目录中去。如系统的主目录等等。
第二类帐户实Guest用户。在FTP服务器中，我们往往会给不同的部门或者某个特定的用户设置一个帐户。但是，这个账户有个特点，就是其只能够访问自己的主目录。服务器通过这种方式来保障FTP服务上其他文件的安全性。这类帐户，在Vsftpd软件中就叫做Guest用户。拥有这类用户的帐户，只能够访问其主目录下的目录，而不得访问主目录以外的文件。
第三类帐户是Anonymous（匿名）用户，这也是我们通常所说的匿名访问。这类用户是指在FTP服务器中没有指定帐户，但是其仍然可以进行匿名访问某些公开的资源。
在组建FTP服务器的时候，我们就需要根据用户的类型，对用户进行归类。默认情况下，Vsftpd服务器会把建立的所有帐户都归属为Real用户。但是，这往往不符合企业安全的需要。因为这类用户不仅可以访问自己的主目录，而且，还可以访问其他用户的目录。这就给其他用户所在的空间 带来一定的安全隐患。所以，企业要根据实际情况，修改用户虽在的类别。
修改方法：
第一步：修改/etc/Vsftpd/vsftpdconf文件。
默认情况下，只启用了Real与Anonymous两类用户。若我们需要启用Guest类用户的时候，就需要把这个选项启用。修改/etc/Vsftpd/vsftpdconf文件，把其中的“chroot_list_enable=YES”这项前面的注释符号去掉。去掉之后，系统就会自动启用Real类型的帐户。
第二步：修改/etc/vsftpdconf文件。
若要把某个FTP服务器的帐户归属为Guest帐户，则就需要在这个文件中添加用户。通常情况下，FTP服务器上没有这个文件，需要用户手工的创建。利用VI命令创建这个文件之后，就可以把已经建立的FTP帐户加入到这个文件中。如此的话，某个帐户就属于Real类型的用户了。他们登录到FTP服务器后，只能够访问自己的主目录，而不能够更改主目录。
第三步：重新启动FTP服务器。
按照上述步骤配置完成后，需要重新启动FTP服务器，其配置才能够生效。我们可以重新启动服务器，也可以直接利用Restart命令来重新启动FTP服务。
在对用户尽心分类的时候，笔者有几个善意的提醒。
一是尽量采用Guest类型的用户，而减少Real类行的用户。一般我们在建立FTP帐户的时候，用户只需要访问自己的主目录下的文件即可。当给某个用户的权限过大时，会对其他用户文件的安全产生威胁。
二是尽量不要采用匿名类型的帐户。因为他们在没有授权的情况下，就可以访问FTP服务器。虽然其访问的资源受到一定的限制，但是，仍然具有危险性。故在没有特殊需要的情况下，把匿名类型帐户禁用掉。
二、哪些帐号不可以访问FTP服务器？
在以下几种情况下，我们要禁止这些账户访问FTP服务器，以提高服务器的安全。
一是某些系统帐户。如ROOT帐户。这个账户默认情况下是Linxu系统的管理员帐户，其对系统具有的 *** 作与管理权限。若允许用户以这个账户为账户名进行登陆的话，则用户不但可以访问Linux系统的所有资源，而且，还好可以进行系统配置。这对于FTP服务器来说，显然危害很大。所以，往往不允许用户以这个Root等系统帐户身份登陆到FTP服务器上来。
第二类是一些临时账户。有时候我们出于临时需要，为开一些临时账户。如需要跟某个客户进行图纸上的交流，而图纸本身又比较大时，FTP服务器就是一个很好的图纸中转工具。在这种情况下，就需要为客户设立一个临时账户。这些账户用完之后，一般就加入到了黑名单。等到下次需要再次用到的时候，再启用他。
在vstftpd服务器中，要把某些用户加入到黑名单，也非常的简单。在Vsftpd软件中，有一个/etc/vsftpduser_lise配置文件。这个文件就是用来指定哪些账户不能够登陆到这个服务器。我们利用vi命令查看这个文件，通常情况下，一些系统账户已经加入到了这个黑名单中。FTP服务器管理员要及时的把一些临时的或者不再使用的帐户加入到这个黑名单中。从而才可以保证未经授权的账户访问FTP服务器。在配置后，往往不需要重新启动FTP服务，配置就会生效。
不过，一般情况下，不会影响当前会话。也就是说，管理员在管理FTP服务器的时候，发现有一个非法账户登陆到了FTP服务器。此时，管理员马上把这个账户拉入黑名单。但是，因为这个账户已经连接到FTP服务器上，所以，其当前的会话不会受到影响。当其退出当前会话，下次再进行连接的时候，就不允许其登陆FTP服务器了。所以，若要及时的把该账户禁用掉的话，就需要在设置好黑名单后，手工的关掉当前的会话。
对于一些以后不再需要使用的帐户时，管理员不需要把他加入黑名单，而是直接删除用户为好。同时，在删除用户的时候，要记得把用户对应的主目录也一并删除。不然主目录越来越多，会增加管理员管理的工作量。在黑名单中，只保留那些将来可能利用的账户或者不是用作FTP服务器登陆的账户。这不但可以减少服务器管理的工作量，而且，还可以提高FTP服务器的安全性。
三、匿名账户也可以上传文件
在系统默认配置下，匿名类型的用户只可以下载文件，而不能够上传文件。虽然这不是我们推荐的配置，但是，有时候出于一些特殊的需要，确实要开启这个功能。如笔者以前在企业中，利用这个功能实现了对用户终端文件进行备份的功能。为了设置的方便，就在FTP服务器上开启了匿名访问，并且允许匿名访问账户网某个特定的文件夹中上传某个文件。
若要让匿名用户上传文件，则首先要建立一个目录，并且把这个目录指定为匿名用户具有更新的权限。以后匿名用户需要上传文件的时候，只能够王这个文件夹中传。而不能够像Real用户那样，网其他用户的文件夹中上传文件。
文件目录设置好之后，再修改/etc/vsftpd/vsftpdconf配置文件。把这个文件下的有关匿名账户的功能启用。默认情况下，跟匿名账户相关的功能，如更新、增加目录等功能都是被注释掉的。管理员需要把这个注释符号去掉，匿名账户才能够网特定的账户中上传文件。
笔者再次重申一遍，一般情况下，是不建议用户开启匿名账户的文件上传功能。因为很难保证匿名账户上传的文件中，不含有一些破坏性的程序，如病毒或者木马等等。有时候，虽然开启了这个功能，但是往往会在IP上进行限制。如只允许企业内部IP可以进行匿名访问并上传文件，其他账户则不行。如此的话，可以防止外部用户未经授权匿名访问企业的FTP服务器。若用户具有合法的账户，就可以在外网中登陆到FTP服务器上。
总之，在FTP服务器安全管理上，主要关注三个方面的问题。一是未经授权的用户不能往FTP空间上上传文件；二是用户不得访问未经授权的目录，以及对这些目录的文件进行更改，包括删除与上传；三是FTP服务器本身的稳定性。以上三个问题中的前两部分内容，都可以通过上面的三个方法有效的解决。相信管理员灵活采用如上的方法，可以在保障企业应用的前期下，提高FTP服务器的安全性。

架设FTP服务器，其实并没有技术难度，只需用Serv-U这个软件就可轻松搞定了。Serv-U支持所有版本的Windows *** 作系统，可以设定多个 FTP服务器，可以限定登录用户的权限、登录目录及服务器空间大小，功能非常完善。以下笔者就以Serv-U汉化版为例，给大家讲讲架设个人FTP的具体步骤。
首先下载安装Serv-U，运行，将出现“设置向导”窗口，我们就来跟随着这个向导的指引，一步步进行 *** 作。
1 设置Serv－U的IP地址与域名
一路单击“下一步”跳过系统提示信息，来到“您的IP地址”窗口，这里要求输入本机的IP地址。
如果你的电脑有固定的IP地址，那就直接输入；如果你只有动态IP（例如拨号用户），那该处请留空，Serv-U在运行时会自动确定你的IP地址。
下一步，进行“域名”设定。这个域名只是用来标识该FTP域，没有特殊的含义，比如笔者输入“ftporaynet”。
接下来的“系统服务”选项必须选“是”，这样当你的电脑一启动，服务器也会跟着开始运行。
2设置匿名登录
匿名访问就是允许用户以Anonymous为用户名，无需特定密码即可连接服务器并拷贝文件。如果你不想让陌生人随意进入你的FTP服务器，或想成立 VIP会员区，就应该在“匿名账号”窗口中选“否”，这样就只有经过你许可的用户才能登录该FTP。鉴于匿名登录尚有一定的实用需求，笔者在此选“是”。
之后就要为匿名账户指定FTP上传或下载的主目录，这是匿名用户登录到你的FTP服务器后看到的目录。设定后，向导还会继续询问你是否将匿名用户锁定于此目录中，从安全的角度考虑，建议选“是”。这样匿名登录的用户将只能访问你指定的主目录及以下的各级子目录，而不能访问上级目录，便于保证硬盘上其他文件的安全。
3创建新账户
除了匿名用户，我们一般还需要建立有密码的专用账号，也就是说可以让指定用户以专门的账号和密码访问你的服务器，这样做适用于实行会员制下载或只让好友访问。在“命名的账号”窗口中将“创建命名的账号吗”选为“是”，进入“账号名称”设置，填入你制定的账号名称，而后在“账号密码”窗口输入该账号的密码。
单击“下一步”，会要求你指定FTP主目录，并询 问是否将用户锁定于主目录中，选“是”，作用与匿名账户设定基本相同，不再赘述。
紧接着要设置该账户的远程管理员权限，分为“无权限”、“组管理员”、“域管理员”、“只读管理员”和“系统管理员”五种选项，每项的权限各不相同，可根据具体情况进行选择。
至此，我们已拥有了一个域——ftporaynet及两
个用户——Anonymous和oray。点击“完成”退出向导，稍等片刻Serv-U软件主界面将自动d出，我们还要在此进行一些管理员设置。
4管理员设置
每个Serv-U引擎都能用来运行多个虚拟的FTP服务器，而虚拟的FTP服务器就称为“域”。
对FTP服务器来说，建立多个域是非常有用的，每个域都有各自的用户、组和相关的设置。以下笔者就简要说说管理器界面上必要的各项设置。
★ 首先点击窗体左方的“本地服务器”，勾选右边的“自动开始（系统服务）”。
★ 选择左方的“域→活动”，这里记载了该域下所有用户的活动情况，是非常重要的监控数据。
★ “域→组”：在此可自建一些用户组，把各类用户归到相应的组中，便于管理。
★ “域→用户”：这里有我们刚建立的两个账号，其中的细节设置十分重要，具体如下。
账号：如果有用户违反FTP的规定，你可以点击此处的“禁用账号”，让该用户在一段时间内被禁止登录。另外此处的“锁定用户于主目录”一定要勾选，否则你硬盘的绝对地址将暴露。
常规：根据自身的实际需要，在此设置最大的下载和上传速度、登录到本服务器的最大用户数、同一IP的登录线程数等。
IP访问：你可以在此拒绝某个讨厌的IP访问你的FTP服务器，只要在“编辑规则”处填上某个IP地址，以后该IP的访问将会全部被拦下。
配额：勾选“启用磁盘配额”，在此为每位FTP用户设置硬盘空间。点击“计算当前”，可知当前的所有已用空间大小，在“最大”一栏中设定最大的空间值。
最后，请在有改动内容的标签卡上点击右键，选择“应用”，如此才能使设置生效！
好了！现在，一个简单的个人FTP服务器就已经完整地呈现在你面前了。不过这时还要测试一下能否成功地下载和上传。
下载和上传
要使用FTP服务器下载和上传，就要用到FTP的客户端软件。常用的FTP客户端软件有CuteFTP、FlashFXP、FTP Explorer等等。对于它们的具体使用，这里就不细讲了。基本上只要在这些软件的“主机名”处中填入你庙宇的FTP服务器IP地址，而后依次填入用户名，密码和端口（一般为21），点击连接，只要能看到你设定的主目录并成功实现文件的下载和上传，就说明这个用Serv-U建立起来的FTP服务器能正常使用了！

---