在 Ubuntu 上使用 SSL/TLS 设置安全 FTP 服务器

在本教程中，我们将介绍如何使用 SSL 保护 FTP 服务器（VSFTPD 代表“非常安全的 FTP 守护进程”） Ubuntu 16.04/16.10 中的 /TLS。

如果您想为基于 CentOS 的发行版设置安全的 FTP 服务器，您可以阅读 – 在 CentOS 上使用 SSL/TLS 保护 FTP 服务器

遵循本指南中的各个步骤后，我们将了解在 FTP 服务器中启用加密服务以实现安全数据传输的关键基础知识。

要求

1. 您必须在 Ubuntu 中安装和配置 FTP 服务器

在我们进一步操作之前，请确保本文中的所有命令都将以 root 或 sudo 特权帐户运行。

第 1 步：在 Ubuntu 上为 FTP 生成 SSL/TLS 证书

1. 我们将首先在 /etc/ssl/ 下创建一个子目录来存储 SSL/TLS 证书和密钥文件（如果没有）不存在：

sudo mkdir /etc/ssl/private

2. 现在让我们通过运行以下命令在单个文件中生成证书和密钥。

sudo openssl req -x509 -nodes -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem -days 365 -newkey rsa:2048

上面的命令将提示您回答以下问题，不要忘记输入适用于您的场景的值。

Country Name (2 letter code) [XX]:IN
State or Province Name (full name) []:Lower Parel
Locality Name (eg, city) [Default City]:Mumbai
Organization Name (eg, company) [Default Company Ltd]:TecMint.com
Organizational Unit Name (eg, section) []:Linux and Open Source
Common Name (eg, your name or your server's hostname) []:tecmint
Email Address []:[email 

步骤 2：在 Ubuntu 上配置 VSFTPD 以使用 SSL/TLS

3.在我们执行任何VSFTPD配置之前，对于启用了UFW防火墙的用户，您必须打开端口990和40000 -50000 允许 TLS 连接和被动端口的端口范围分别在 VSFTPD 配置文件中设置：

sudo ufw allow 990/tcp
sudo ufw allow 40000:50000/tcp
sudo ufw status

4. 现在，打开 VSFTPD 配置文件并在其中定义 SSL 详细信息：

sudo vi /etc/vsftpd/vsftpd.conf
OR
sudo nano /etc/vsftpd/vsftpd.conf

然后，添加或找到选项 ssl_enable 并将其值设置为 YES 以激活 SSL 的使用，同样，由于 TLS 比 SSL 更安全，我们将限制 VSFTPD通过启用 ssl_tlsv1 选项来使用 TLS：

ssl_enable=YES
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO

5. 接下来，使用 # 字符注释掉下面的行，如下所示：

#rsa_cert_file=/etc/ssl/private/ssl-cert-snakeoil.pem
#rsa_private_key_file=/etc/ssl/private/ssl-cert-snakeoil.key

然后，添加以下行来定义 SSL 证书和密钥文件的位置：

rsa_cert_file=/etc/ssl/private/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.pem

6. 现在，我们还必须阻止匿名用户使用 SSL，然后强制所有非匿名登录使用安全 SSL 连接进行数据传输并在登录期间发送密码：

allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES

7. 此外，我们可以使用以下选项在 FTP 服务器中添加更多安全功能。使用选项 require_ssl_reuse=YES 时，所有 SSL 数据连接都需要展示 SSL 会话重用；证明他们知道与控制通道相同的主秘密。所以，我们应该禁用它。

require_ssl_reuse=NO

此外，我们可以使用 ssl_ciphers 选项设置 VSFTPD 允许加密 SSL 连接的 SSL 密码。这将有助于挫败试图强制使用特定密码的攻击者的任何努力，他们可能在以下位置发现了漏洞：

ssl_ciphers=HIGH

pasv_min_port=40000
pasv_max_port=50000

debug_ssl=YES

systemctl restart vsftpd

ftp 192.168.56.10
Connected to 192.168.56.10  (192.168.56.10).
220 Welcome to TecMint.com FTP service.
Name (192.168.56.10:root) : ravi
530 Non-anonymous sessions must use encryption.
Login failed.
421 Service not available, remote server has closed connection
ftp>

--------- On Debian/Ubuntu ---------
sudo apt-get install filezilla   

--------- On CentOS/RHEL/Fedora --------- 
yum install epel-release filezilla

--------- On Fedora 22+ --------- 
sudo dnf install filezilla

Host:  192.168.56.10
Protocol:  FTP – File Transfer Protocol
Encryption:  Require explicit FTP over   #recommended 
Logon Type: Ask for password	        #recommended 
User: username