如何在 Debian11 或Ubuntu 20.04 上安装和配置 FTP 服务器 (vsftpd)

FTP 或文件传输协议是一种非常古老的知名协议，用于在客户端和服务器之间传输文件。它也是一个不安全的协议，仅在没有 TLS 的情况下使用。在本教程中，我们将为 TLS 配置 vsftpd，它允许我们安全地使用 FTP。如今，FTP 经常被更安全的协议所取代，例如 SFTP 或 SCP。

但是，如果您需要在服务器上使用 FTP，vsftpd（Very Secure FTP Daemon）是一个完美的选择。

在本教程中，我们将学习如何在基于 Ubuntu 20.04 的服务器上使用 vsftpd 安装和配置 FTP 服务器。我们还将学习如何使用 SSL/TLS 协议保护连接。

第一步是安装vsftpd。

接下来，我们需要备份原始配置文件，以便我们可以从全新的配置开始。

在这一步中，我们将配置 UFW 防火墙以允许访问 FTP 端口。

首先，让我们检查一下防火墙的状态。

我们可以看到，目前只允许使用 SSH 端口。当我们使用 TLS 时，让我们打开端口 20（FTP 命令端口）、21（FTP 数据端口）、990 以及我们将来可能需要的被动端口范围的端口 35000-40000。

我们现在将讨论一些重要的设置，以使 vsftpd 正常工作。

首先打开配置文件。

在本教程中，我们将只允许本地用户访问 FTP，并禁用任何匿名访问。为此，请确保存在以下几行，如下所示。

FTP 在这里最重要的唯一目的是能够写入服务器。取消注释以下行以通过删除#前面的内容来启用文件上传。

当用户仅限于某个目录时，FTP 效果最佳。vsftpd 通过使用 chroot jails 实现了这一点。当为本地用户启用 chroot 时，默认情况下他们被限制在他们的主目录中。为此，请取消注释以下行。

为防止任何安全漏洞，只要用户被限制为可写的目录，启用时 chroot 就不会工作。

为了解决这个限制，我们有两种方法可以在启用 chroot 时允许文件上传。

方法 1 - 此方法使用不同的目录进行 FTP 上传。在本教程中，我们将ftp在用户的家中创建一个目录作为 chroot 和upload用于上传文件的第二个可写目录。为此，请在文件底部添加以下几行。

方法 2 - 第二种方法是简单地授予对整个主目录的可写访问权限。添加以下行以实现此目的。

vsftpd 可以使用任何端口进行被动 FTP 连接。我们可以为 vsftpd 可以使用的最小和最大端口号指定一个范围。这些是我们之前在 UFW 防火墙中配置的端口。

添加以下行以允许被动 FTP 连接。

要只允许某些用户登录到 FTP 服务器，请在底部添加以下行。

启用此选项后，我们需要指定应允许哪些用户使用 FTP 并在/etc/vsftpd.userlist文件中添加他们的用户名。

重新启动 vsftpd 以启用配置。

出于本教程的目的，我们将为 FTP 事务创建一个新用户帐户。如果您已经有一个用于此目的的用户帐户，则可以跳过步骤 1。另外，如果您之前allow_writeable_chroot=YES在配置文件中设置过，则可以跳过步骤 3。

设置一个强密码并跳过所有其他提示。

这一步是如果你想要一个不同的目录作为 FTP 根目录和一个不同的目录来上传文件以绕过 chroot jail 限制。

创建 FTP 文件夹。

设置其所有权。

删除写入权限。

在继续之前验证权限。

现在让我们为文件创建实际的可写目录。

测试权限。

最后，让我们添加一个test.txt用于测试的文件。

我们的 FTP 服务器此时功能齐全。在继续之前，我们可以做一个小测试。

让我们尝试以匿名用户身份登录。

关闭连接。

它按预期工作，即不允许匿名用户。

让我们尝试以任何其他 sudo 用户的身份进行连接。它也不应该连接。

关闭连接。

最后让我们尝试以testuser我们为 FTP 创建的方式进行连接。

让我们切换到upload目录并使用get命令将测试文件传输到我们的本地机器。

接下来，让我们使用put命令以新名称上传文件以测试写入权限。

关闭连接。

为了加密 FTP 传输，我们需要一个 SSL 证书并配置 vsftpd 来使用它。

如果您已经有一个域或子域指向您的 FTP 服务器，您可以创建一个免费的 Let's Encrypt SSL 证书并使用它。

出于本教程的目的，我们将使用自签名 SSL 证书。要创建一个，请使用openssl命令。

以下命令将创建一个 2048 位的私钥和一个有效期为 1 年的证书。证书和密钥都将保存到同一个文件中。

您可以跳过后面的提示或根据自己的喜好填写值。

现在我们的证书已经创建好了，是时候再次打开 vsftpd 配置文件了。

找到以下几行并通过在它们前面放置一个哈希来注释掉它们，如下所示。

现在，添加以下几行。

另外，将 的值更改ssl_enable为YES。

让我们添加更多设置以提高 SSL 安全性。

大多数这些设置是不言自明的。这些对匿名用户禁用 SSL，并要求 SSL 用于数据传输和登录。我们还禁用了不安全的 SSL 协议，并将坚持使用 TLSv1.0。最后，我们禁用了 SSL 的重用，并要求使用高加密密码套件。

重启服务器使设置生效。

现在，您将无法通过命令行使用 FTP。您将需要使用支持 TLS 的客户端进行连接。

在我们的教程中，我们将使用 Filezilla 测试 TLS 功能。

当您打开 Filezilla 时，单击顶行单词Host正上方的站点管理器图标。

将打开一个新窗口。单击右下角的“新建站点”按钮。

您将看到一个名为New site的新图标。您可以使用重命名按钮重命名它。

使用您服务器的 IP 地址填写主机字段。由于我们的 FTP 端口是 21，这是 FTP 的默认端口，因此您可以将端口字段留空。对于加密选项，从下拉菜单中选择需要显式 FTP over TLS。

使用我们在上面创建的用户名和密码填写您的 FTP 用户名和密码。单击“连接”按钮继续。

成功连接后，您将看到如下所示的服务器证书。

您可以选中在以后的会话中始终信任此证书选项。这样您就不会在每次登录时都被询问。单击“确定”继续。

您现在可以执行正常的 FTP 操作。

这一步完全是可选的。默认情况下，在创建 FTP 用户时，如果未明确指定，该用户将具有对服务器的 SSH 访问权限。

您应该禁用对 FTP 用户的 shell 访问以提高安全性。要禁用它，我们需要创建一个新的 shell，它将打印一条消息，指出用户帐户仅限于 FTP 访问。

创建/bin/ftponly外壳并使其可执行。

将新 shell 附加到/etc/shells文件中的有效 shell 列表中。

将用户外壳更改为/bin/ftponly.

您可以使用相同的命令更改要授予 FTP 访问权限的所有用户的外壳。

我们的教程到此结束，我们安装和配置 vsftpd 以在基于 Ubuntu 20.04 的服务器上安装 FTP 服务器。我们还将 FTP 连接配置为使用 SSL/TLS 工作。