如何启用Debian FTP Server SSL加密

发布时间:2025-04-17 07:36:57

阅读量:86

要在Debian上启用FTP服务器的SSL加密，您需要使用FTPS（FTP over SSL）或SFTP（SSH File Transfer Protocol）。以下是两种方法的详细步骤：

方法一：使用FTPS

安装必要的软件包：打开终端并运行以下命令来安装vsftpd和SSL证书相关的软件包：
```
sudo apt update
sudo apt install vsftpd openssl
```

生成SSL证书：使用openssl生成自签名证书或从CA获取证书。以下是生成自签名证书的示例：

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/certs/vsftpd.pem

配置vsftpd：编辑vsftpd配置文件：

sudo nano /etc/vsftpd.conf

确保以下配置项存在并正确设置：

ssl_enable=YES
allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO
rsa_cert_file=/etc/ssl/certs/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.pem

重启vsftpd服务：保存并关闭配置文件后，重启vsftpd服务以应用更改：
```
sudo systemctl restart vsftpd
```
配置防火墙：确保防火墙允许FTP和SSL流量。例如，使用ufw：
```
sudo ufw allow 21/tcp
sudo ufw allow 990/tcp
sudo ufw reload
```

方法二：使用SFTP

安装OpenSSH服务器：打开终端并运行以下命令来安装openssh-server：
```
sudo apt update
sudo apt install openssh-server
```

配置SSH：编辑SSH配置文件：

sudo nano /etc/ssh/sshd_config

确保以下配置项存在并正确设置：

Port 22
Protocol 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key
UsePrivilegeSeparation sandbox
KeyRegenerationInterval 3600
ServerKeyBits 1024
SyslogFacility AUTH
LogLevel INFO
LoginGraceTime 120
PermitRootLogin no
StrictModes yes
RSAAuthentication yes
PubkeyAuthentication yes
IgnoreRhosts yes
RhostsRSAAuthentication no
HostbasedAuthentication no
PermitEmptyPasswords no
ChallengeResponseAuthentication no
PasswordAuthentication yes
X11Forwarding yes
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
TCPKeepAlive yes
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL
Subsystem sftp /usr/lib/openssh/sftp-server

重启SSH服务：保存并关闭配置文件后，重启ssh服务以应用更改：
```
sudo systemctl restart ssh
```
配置防火墙：确保防火墙允许SSH流量。例如，使用ufw：
```
sudo ufw allow 22/tcp
sudo ufw reload
```