【运维项目经历|013】：VSFTP安全加固与性能优化项目

项目名称

项目背景

项目目标

项目成果

我的角色与职责

我主要完成的工作内容

本次项目涉及的技术

本次项目遇到的问题与解决方法

本次项目中可能被面试官问到的技术性问题

问题1：什么是FTP？

问题2：什么是VSFTP？

问题3：VSFTP传输模式有哪几种？

问题4：vsftp的默认端口是多少？

问题5：虚拟（virtual）用户验证的作用是？

问题6：主动模式优缺点？

问题7：被动模式优缺点？

问题8：FTP主动模式与被动模式有什么区别，何时采用对应方式？？

问题9：你是如何对VSFTP服务进行安全加固的？

问题10：你是如何优化VSFTP服务的性能的？

问题11：ftp的优缺点是什么？

经验教训与自我提升

展望未来

项目名称

VSFTP安全加固与性能优化项目

项目背景

随着公司业务的快速发展，FTP（文件传输协议）服务的使用频率和数据传输量日益增长。目前，公司使用的VSFTP（Very Secure FTP Daemon）服务存在安全风险与性能瓶颈，无法满足日益增长的数据传输需求。为了提升数据安全性与传输效率，公司决定对VSFTP进行安全加固与性能优化。

项目目标

提升VSFTP服务的安全性，减少潜在的安全风险。
优化VSFTP服务的性能，提高数据传输效率。
提供稳定的FTP服务，保障业务连续性。

项目成果

实现了VSFTP服务的多因素身份验证，增强了账户安全性。
对FTP传输数据进行了加密处理，保障了数据传输的安全性。
优化了VSFTP服务的配置文件，提升了服务性能。
建立了VSFTP服务的监控与告警机制，提高了服务的稳定性。

我的角色与职责

作为运维工程师，我负责项目的具体实施与推进，包括需求分析、方案设计、技术实现、测试验证以及后期维护等工作。

我主要完成的工作内容

对VSFTP服务的现状进行了深入调研，分析了存在的安全风险与性能瓶颈。
设计了VSFTP服务的安全加固与性能优化方案，并得到了项目组的认可。
完成了VSFTP服务的配置文件修改与功能实现，包括多因素身份验证、数据加密等。
对优化后的VSFTP服务进行了全面的测试验证，确保服务的安全性与性能达到预期目标。
建立了VSFTP服务的监控与告警机制，并进行了后期的维护与优化。

本次项目涉及的技术

VSFTP服务配置与管理
多因素身份验证技术
数据加密技术（如TLS/SSL）
系统性能调优技术
监控与告警技术（如Zabbix、Prometheus等）

本次项目遇到的问题与解决方法

问题：多因素身份验证实现复杂度高。解决方法：采用开源的多因素身份验证库进行集成，简化了实现过程。
问题：数据加密后传输速度变慢。解决方法：对加密算法进行优化选择，同时提升服务器硬件性能。
问题：CentOS 7中本地用户模式，创建的/sbin/nologin类型用户无法登录ftp 解决方法：/sbin/nologin属于shell解析器的一种，很可能是操作系统不支持或不加载导致经检查发现/etc/shells文件在centos7中并没有加载此类型的解析器，是本次问题的主要原因。修改/etc/shells文件，添加/sbin/nologin，使其默认支持即可
问题：CentOS 7中开启chroot白名单问题登录失败解决方法：由于版本升级，很可能增加了新的权限或行为控制机制，检查配置文件帮助信息man 5 vsftpd.conf，

修改/etc/vsftpd/vsftpd.conf 添加以下选项
```
allow_writeable_chroot=YES      
#该选项为允许用户切换到自己的可写目录内，但默认是NO，并且需要手动配置的到配置文件中
#对于vsftpd软件的配置文件
```

本次项目中可能被面试官问到的技术性问题

问题1：什么是FTP？

答案：FTP 是File Transfer Protocol（文件传输协议）的英文简称，用于Internet上的文件的双向传输。使用 FTP 来传输时，是具有一定程度的危险性，因为数据在因特网上面是完全没有受到保护的明文传输方式

问题2：什么是VSFTP？

答案：VSFTP是一个基于GPL发布的类Unix系统上使用的FTP服务器软件，它的全称是Very Secure FTP，从名称定义上基本可以看出，这是为了解决ftp传输安全性问题的

问题3：VSFTP传输模式有哪几种？

答案：

Binary模式：（二进制模式）不对数据进行任何处理，适合进行可执行文件、压缩文件、图片等
ASCII模式：进行文本传输时，自动适应目标操作系统的结束符，如回车符等

问题4：vsftp的默认端口是多少？

答案：20、21

问题5：虚拟（virtual）用户验证的作用是？

答案：

创建虚拟用户用来代替本地用户，减少本地用户曝光率
使用本地用户作为虚拟用户的映射用户，为虚拟用户提供工作目录和权限控制
能够设置严格的权限（为每一个用户生成单独的配置文件）

问题6：主动模式优缺点？

答案：

客户端的连接可能会随着数据连接防火墙的拒绝，连接中断；
服务器端开放的端口少较为安全

问题7：被动模式优缺点？

答案：

客户端防火墙不会出现连接中断的情况；
服务器端开放端口较多。
主动模式需要放行服务器端的21端口和客户端的随机端口；
被动模式只需要开放服务器短的21端口和随机端口
主动模式可能因为客户端的防火墙问题，出现数据连接失败

问题8：FTP主动模式与被动模式有什么区别，何时采用对应方式？？

答案：主动模式客户端服务器端

命令连接随机端口 > 21

数据连接随机端口 < 20

被动模式客户端服务器端

命令连接随机端口 > 21

数据连接随机端口 > 随机端口

FTP的主动模式是客户端和服务器端的TCP21端口建立连接用于发送命令，客户端在接收数据时在这个通道上发送PORT命令，服务器端通过自己的TCP20端口链接到客户端的指定端口发送数据
FTP的被动模式是客户端和服务器端的TCP21端口建立链接用于发送命令，建立链接后客户端发送Pasv命令你，服务器收到命令后开放一个临时端口（大于1023小于65535） FTP服务器将通过这个端口传输数据