FTP是一種文件傳輸協(xié)議。有時(shí)我們把他形象的叫做“文件交流集中地”。FTP文件服務(wù)器的主要用途就是提供文件存儲(chǔ)的空間，讓用戶可以上傳或者下載所需要的文件。在企業(yè)中，往往會(huì)給客戶提供一個(gè)特定的FTP空間，以方便跟可以進(jìn)行一些大型文件的交流，如大到幾百兆的設(shè)計(jì)圖紙等等。同時(shí)，F(xiàn)TP還可以作為企業(yè)文件的備份服務(wù)器，如把數(shù)據(jù)庫(kù)等關(guān)鍵應(yīng)用在FTP服務(wù)器上實(shí)現(xiàn)異地備份等等。

可見(jiàn)，F(xiàn)TP服務(wù)器在企業(yè)中的應(yīng)用是非常廣泛的。真是因?yàn)槠涔δ苋绱说膹?qiáng)大，所以，很多黑客、病毒也開(kāi)始“關(guān)注”他了。他們企圖通過(guò)FTP服務(wù)器為跳板，作為他們傳播木馬、病毒的源頭。同時(shí)，由于FTP服務(wù)器上存儲(chǔ)著企業(yè)不少有價(jià)值的內(nèi)容。在經(jīng)濟(jì)利益的誘惑下，F(xiàn)TP服務(wù)器也就成為了別人攻擊的對(duì)象。

所以，F(xiàn)TP服務(wù)器的安全性工作也逐漸顯得重要。筆者采用的FTP服務(wù)器是基于Linxu操作系統(tǒng)平臺(tái)上的Vsftpd軟件。筆者今天就以這個(gè)軟件為例，談?wù)勅绾稳粽誇TP服務(wù)器的安全設(shè)計(jì)。

一、誰(shuí)可以訪問(wèn)FTP服務(wù)器？

在考慮FTP服務(wù)器安全性工作的時(shí)候，第一步要考慮的就是誰(shuí)可以訪問(wèn)FTP服務(wù)器。在Vsftpd服務(wù)器軟件中，默認(rèn)提供了三類用戶。不同的用戶對(duì)應(yīng)著不同的權(quán)限與操作方式。

一類是Real帳戶。這類用戶是指在FTP服務(wù)上擁有帳號(hào)。當(dāng)這類用戶登錄FTP服務(wù)器的時(shí)候，其默認(rèn)的主目錄就是其帳號(hào)命名的目錄。但是，其還可以變更到其他目錄中去。如系統(tǒng)的主目錄等等。

第二類帳戶實(shí)Guest用戶。在FTP服務(wù)器中，我們往往會(huì)給不同的部門或者某個(gè)特定的用戶設(shè)置一個(gè)帳戶。但是，這個(gè)賬戶有個(gè)特點(diǎn)，就是其只能夠訪問(wèn)自己的主目錄。服務(wù)器通過(guò)這種方式來(lái)保障FTP服務(wù)上其他文件的安全性。這類帳戶，在Vsftpd軟件中就叫做Guest用戶。擁有這類用戶的帳戶，只能夠訪問(wèn)其主目錄下的目錄，而不得訪問(wèn)主目錄以外的文件。

第三類帳戶是Anonymous（匿名）用戶，這也是我們通常所說(shuō)的匿名訪問(wèn)。這類用戶是指在FTP服務(wù)器中沒(méi)有指定帳戶，但是其仍然可以進(jìn)行匿名訪問(wèn)某些公開(kāi)的資源。

在組建FTP服務(wù)器的時(shí)候，我們就需要根據(jù)用戶的類型，對(duì)用戶進(jìn)行歸類。默認(rèn)情況下，Vsftpd服務(wù)器會(huì)把建立的所有帳戶都?xì)w屬為Real用戶。但是，這往往不符合企業(yè)安全的需要。因?yàn)檫@類用戶不僅可以訪問(wèn)自己的主目錄，而且，還可以訪問(wèn)其他用戶的目錄。這就給其他用戶所在的空間 帶來(lái)一定的安全隱患。所以，企業(yè)要根據(jù)實(shí)際情況，修改用戶雖在的類別。

修改方法：

第一步：修改/etc/Vsftpd/vsftpd.conf文件。

默認(rèn)情況下，只啟用了Real與Anonymous兩類用戶。若我們需要啟用Guest類用戶的時(shí)候，就需要把這個(gè)選項(xiàng)啟用。修改/etc/Vsftpd/vsftpd.conf文件，把其中的“chroot_list_enable=YES”這項(xiàng)前面的注釋符號(hào)去掉。去掉之后，系統(tǒng)就會(huì)自動(dòng)啟用Real類型的帳戶。

第二步：修改/etc/vsftpd.conf文件。

若要把某個(gè)FTP服務(wù)器的帳戶歸屬為Guest帳戶，則就需要在這個(gè)文件中添加用戶。通常情況下，F(xiàn)TP服務(wù)器上沒(méi)有這個(gè)文件，需要用戶手工的創(chuàng)建。利用VI命令創(chuàng)建這個(gè)文件之后，就可以把已經(jīng)建立的FTP帳戶加入到這個(gè)文件中。如此的話，某個(gè)帳戶就屬于Real類型的用戶了。他們登錄到FTP服務(wù)器后，只能夠訪問(wèn)自己的主目錄，而不能夠更改主目錄。

第三步：重新啟動(dòng)FTP服務(wù)器。

按照上述步驟配置完成后，需要重新啟動(dòng)FTP服務(wù)器，其配置才能夠生效。我們可以重新啟動(dòng)服務(wù)器，也可以直接利用Restart命令來(lái)重新啟動(dòng)FTP服務(wù)。
在對(duì)用戶盡心分類的時(shí)候，筆者有幾個(gè)善意的提醒。

一是盡量采用Guest類型的用戶，而減少Real類行的用戶。一般我們?cè)诮�立FTP帳戶的時(shí)候，用戶只需要訪問(wèn)自己的主目錄下的文件即可。當(dāng)給某個(gè)用戶的權(quán)限過(guò)大時(shí)，會(huì)對(duì)其他用戶文件的安全產(chǎn)生威脅。

二是盡量不要采用匿名類型的帳戶。因?yàn)樗麄冊(cè)跊](méi)有授權(quán)的情況下，就可以訪問(wèn)FTP服務(wù)器。雖然其訪問(wèn)的資源受到一定的限制，但是，仍然具有危險(xiǎn)性。故在沒(méi)有特殊需要的情況下，最好把匿名類型帳戶禁用掉。