ftp 服务器设置与安全配置指南
剛接手公司檔案伺服器那會兒，以為FTP就是開個帳號密碼的小事，直到某天凌晨被警報聲驚醒——系統日誌裡爬滿了來自十幾個國家的異常登入嘗試。那次之後，我花了三個月把全球主流FTP方案的安全機制拆解透徹，今天這篇血淚指南，專治各種FTP安全焦慮症。
選軟體別只盯著免費版。FileZilla Server開源靈活但得手動加固，像在裸奔的伺服器上穿防彈衣；Cerberus FTP自帶TLS加密和IP黑名單，操作介面像手機APP般直覺，適合怕麻煩的團隊；要是傳醫療或金融資料，咬牙上Serv-U吧，它家FIPS 140-2認證的金鑰管理系統，審計員看了都點頭。
安裝時那些預設選項全是坑。見過太多人直接按下一步，結果在C:\\Program Files底下生成ftpuser資料夾，路徑暴露得像在黑客門口掛歡迎牌。我的土法煉鋼是：安裝路徑改到非系統槽，服務名稱從\”FTPSVC\”改成亂碼組合，連Windows事件檢視器裡的紀錄名稱都偽裝成印表機服務。
權限設定才是真戰場。別再用全公司共用的ftpadmin帳號了！去年某廣告公司因此被勒索軟體癱瘓三天。現在我給業務部開的帳號：上傳限縮在/clients/資料夾，禁止覆寫同名檔案，下載速率卡在2MB/s；會計部更狠，IP綁定公司網段+禁止刪除，就算密碼外洩也搬不走資料。
加密配置決定生死線。還在用21埠裸奔FTP？用Wireshark抓封包，帳密全都明碼展示。實測啟用FTPS（FTP over SSL）後，傳輸1GB檔案只慢8秒，但加密通道讓攔截工具直接變廢鐵。進階玩法是自簽憑證+強制加密，客戶端用WinSCP連線時跳出警告？把.cer檔塞進郵件簽名檔，既專業又省去解釋成本。
防火牆別只會關閉。在AWS安全組試過這招：放行1024-65535的動態埠範圍，但要求來源IP必須先通過21埠的TLS握手。搭配每小時輪巡的VPS守護腳本，發現非常規埠掃描直接拉黑，上次攔截到烏克蘭IP的0day漏洞攻擊就靠這層。
日誌監控要嗅出陰謀。某次發現業務帳號凌晨頻繁登入，追查才知是離職員工用自動腳本偷客戶清單。現在日誌分析加入三層過濾：同IP短時間密碼錯誤超5次鎖定，非工作時段傳輸超500MB發告警，異常刪除行為立刻斷線留證據。
最後的保命符在備份策略。用FreeFileSync設定鏡像同步，每15分鐘差異備份到NAS，再透過SFTP加密傳到異地備援機房。曾經伺服器中勒索病毒，用冷備份檔兩小時重建環境，客戶完全沒察覺異常。
FTP伺服器像座金庫，多數人卻只掛了把密碼鎖。當你發現某天日誌裡出現\”230 Login successful\”卻不是你操作的，後悔就來不及了。安全配置沒有終點，每月抽半小時翻日誌，每年重簽憑證，比出事後跪求駭客談贖金划算得多。
評論: