在 Ubuntu 系统中配置 vsftpd 并不复杂，但若希望将其安全加固至可靠水平，却需要仔细规划。由于 FTP 协议本身以明文传输数据，若不加防护直接运行，相当于将服务器完全暴露在风险之中。幸运的是，vsftpd 提供了丰富的配置选项，通过调整若干关键参数，即可显著提升安全防护能力。以下介绍具体操作方法。
基本安全配置
首要且最基础的措施是禁用匿名访问。编辑 /etc/vsftpd.conf，将 anonymous_enable 设置为 NO，关闭匿名用户入口。接着启用本地用户登录，将 local_enable 设为 YES，这样仅系统中已存在的合法用户才能访问 FTP 服务。
启用 chroot_local_user 为 YES，可将用户限制在其主目录内，防止其越界访问系统其他敏感区域。但需特别注意：chroot 目录本身必须为不可写状态，否则用户若能在该目录上传可执行文件，将带来安全隐患。配合将 no_writeable_chroot 设为 YES，可进一步强化安全边界。
用户访问控制方面，可通过建立白名单或黑名单实现精细管理。例如在 /etc/vsftpd.userlist 中列出允许访问的用户，或在 /etc/vsftpd/ftpusers 文件中创建黑名单，将被禁止的用户拒之门外。
数据传输安全是 FTP 的固有短板。由于默认传输为明文，必须立即开启 SSL/TLS 加密：将 ssl_enable 设为 YES。如此一来，用户名、密码及文件内容在传输过程中均被加密，安全性大幅提升。
防火墙配置同样不能忽略。FTP 服务默认使用 20 和 21 端口，需在防火墙中放行相应流量：
sudo ufw allow 20/tcp
sudo ufw allow 21/tcp日志是安全监控的重要工具。启用 xferlog_enable 为 YES，记录所有文件传输活动，包括上传、下载等操作，便于事后审计与异常排查。
最后，务必定期更新系统及 vsftpd 软件包。安全漏洞动态演变，保持最新版本才能及时封堵已知缺口。
用户权限管理
用户管理方面，首先创建专用 FTP 账户：sudo adduser，密码需设置足够复杂，避免被轻易破解。创建完成后，使用 sudo chown 和 sudo chmod 设置主目录权限，确保用户对自己目录拥有读写权限，但无法越界访问其他系统路径。
若需进一步精细控制，可在 vsftpd.conf 中启用 userlist_enable，并通过 userlist_file 指定用户列表文件。该文件中仅列出的用户允许登录，其余用户一概拒绝访问。
额外的安全建议
除上述配置外，还需关注以下细节。密码策略是基础防线——所有用户的密码必须复杂且唯一，这是成本最低的安全防护手段。定期查看日志文件，通常位于 /var/log/vsftpd.log，若发现异常登录或频繁失败记录，及时排查并处理。
另外，建议为被动模式（PASV）指定一个端口范围，避免使用所有可用端口带来的混乱与安全隐患。在配置文件中添加：
pasv_min_port=30000
pasv_max_port=31000
然后在防火墙中放开该端口段，既安全又易于管理。
完成上述配置后，重启 vsftpd 服务使更改生效：
sudo systemctl restart vsftpd经过这一系列组合配置，vsftpd 的安全性已显著提升。当然，具体部署环境可能存在特殊需求，但以上措施已能有效抵御绝大多数常见攻击。
