最终配置效果预览

在Debian上配置FTPS（FTP over SSL/TLS）时，核心难点在于FTP协议的特殊性：它使用独立的控制连接和数据连接。为了安全起见，必须通过防火墙精确放行这些端口，同时限制被动模式的端口范围，以缩小攻击面。

前置准备与服务器配置

在配置防火墙之前，首先需要确保你的FTP服务器软件（如vsftpd或ProFTPD）已经正确配置了被动端口范围。这能防止防火墙规则过于宽泛，提升安全性。

第1步：配置FTP服务器的被动端口范围

FTP在主动模式下使用20/TCP和21/TCP，但在被动模式（Passive Mode）下，服务器会随机开放高位端口供客户端连接。为了防火墙管理方便，我们需要在服务器配置文件中指定一个固定的端口段（例如 50000–50100）。

• 若使用 vsftpd：编辑 /etc/vsftpd.conf 文件，添加或修改以下参数：
  • pasv_enable=YES
  • pasv_min_port=50000
  • pasv_max_port=50100
• 若使用 ProFTPD：编辑 /etc/proftpd/proftpd.conf 文件，添加以下参数：
  • PassivePorts 50000 50100

配置完成后，重启服务使更改生效：sudo systemctl restart vsftpd 或 sudo systemctl restart proftpd。

使用 UFW 配置防火墙规则

UFW（Uncomplicated Firewall）是Debian系统推荐的前端防火墙管理工具，配置简单且易于维护。

第2步：安装并启用 UFW

如果尚未安装，请先更新软件源并安装UFW，然后启用它：

1. sudo apt update && sudo apt install ufw -y
2. sudo ufw enable

注意：启用UFW前请确保已配置好SSH规则（通常默认允许），以免被锁在服务器外。

第3步：放行 FTP 控制与数据端口

FTPS需要放行控制端口、主动模式数据端口以及你刚才配置的被动端口范围。依次执行以下命令：

1. 放行控制端口：sudo ufw allow 21/tcp
2. 放行主动模式数据端口：sudo ufw allow 20/tcp
3. 放行自定义被动端口范围：sudo ufw allow 50000:50100/tcp

第4步：重载并验证 UFW 状态

应用规则并查看当前状态，确认端口已正确添加：

1. sudo ufw reload
2. sudo ufw status verbose

此时，你应该在列表中看到 21/tcp、20/tcp 以及 50000:50100/tcp 处于 ALLOW 状态。

使用 iptables 配置防火墙规则

如果你需要更底层的控制，或者服务器未安装UFW，可以直接使用iptables配置规则。这种方法在重启后不会自动保存，因此需要额外步骤进行持久化。

第5步：添加 iptables 放行规则

依次执行以下命令，允许控制连接、主动模式数据连接以及被动模式端口范围：

1. sudo iptables -A INPUT -p tcp --dport 21 -j ACCEPT
2. sudo iptables -A INPUT -p tcp --dport 20 -j ACCEPT
3. sudo iptables -A INPUT -p tcp --dport 50000:50100 -j ACCEPT

第6步：配置默认策略与回环接口

为了安全，建议允许回环接口（localhost）和已建立的相关连接，并拒绝其他所有输入：

1. sudo iptables -A INPUT -i lo -j ACCEPT
2. sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
3. sudo iptables -A INPUT -j REJECT --reject-with icmp-host-prohibited

第7步：保存并持久化 iptables 规则

iptables 规则在重启后会丢失，因此需要安装持久化工具并保存当前规则：

1. 安装持久化包：sudo apt install -y iptables-persistent
2. 保存当前规则：sudo netfilter-persistent save
3. 重载规则以确保生效：sudo netfilter-persistent reload

验证规则是否生效：sudo iptables -L -n -v。

验证连接与常见问题排查

第8步：客户端连接测试

使用支持FTPS的客户端（如 FileZilla）进行连接测试：

• 主机：填写服务器IP地址。
• 端口：21。
• 加密方式：选择 FTP over TLS (Explicit)（显式FTPS）。
• 使用有效账号登录，尝试列出目录并传输文件。

第9步：被动端口连通性检查

如果客户端无法列出目录或传输文件，通常是被动端口未放行。在服务器上临时监听配置的端口段（例如 50000），从外部测试连通性：nc -vz your_server_ip 50000。如果连接失败，请检查云厂商的安全组或外部防火墙是否也放行了该端口段。

注意事项

• 端口范围：避免开放过大的端口范围（如 1024:65535），优先使用自定义的窄范围（如 50000–50100），并在服务器配置与防火墙两侧保持一致。
• SFTP 区别：如果你使用的是基于 SSH 的 SFTP，请改为放行 22/TCP，这与 FTPS 的端口策略完全不同。

总结

在Debian上配置FTPS防火墙，关键在于精确控制端口。通过服务器配置文件限制被动端口范围，再配合UFW或iptables放行对应的控制端口（21/TCP）、数据端口（20/TCP）及自定义被动端口段，可以确保FTPS服务既安全又可用。建议定期验证连接状态，并根据实际业务需求调整端口范围。

以上就是Debian配置FTPS防火墙的详细内容，更多关于FTP服务器配置的资料请关注本站其它相关文章！