配置项
| 配置项 | 建议值 | 作用 |
|---|---|---|
| anonymous_enable | NO | 关闭匿名登录 |
| local_enable | YES | 仅允许本机账号 |
| chroot_local_user | YES | 把账号锁在家目录 |
| pasv_min_port / pasv_max_port | 50000-50100 | 固定被动端口便于放行 |
| pasv_address | 公网 IP 或域名 | 修正 NAT 下的 PASV 应答 |
| ssl_enable / force_local_logins_ssl | YES | 强制 FTPS 登录 |
| write_enable | 按需 | 只读场景直接关闭写入 |
加固后回归验证
加固后回归验证
nc -zv host 21
lftp -u u,p host -e 'set ftp:ssl-force true; ls; bye'
# 匿名登录应被拒：客户端里试 anonymousFTP 凭据与数据默认明文：公网服务不强制 FTPS 等于把口令与文件暴露给链路上任何人，优先迁移到 SFTP。