Windows 環境下 FTP 伺服器搭建與安全加固完整指南
一、作業系統選擇
- FTP 伺服器安全性基於 OS 安全性；
- Win98/Me 安全性弱，易受攻擊，不建議；
- WinNT 齋肋，略過；
- 推薦 Windows 2000 及以上版本，務必及時打補丁；
- Unix/Linux 不在本文討論範圍。
二、防火牆埠口配置：第一道防線
原則：僅開放必要埠，其餘全封鎖。介紹 Windows 內建兩種方法：
1. TCP/IP 篩選功能 (Win2000/XP)
- 「本地連線」屬性 →「Internet 協議 (TCP/IP)」→「進階」→「選項」→「TCP/IP 篩選」→「內容」；
- 啟用篩選，TCP 埠選「僅允許」，新增埠 21 (FTP)；
- 需開其他埠依此類推。缺點：功能單一、大量埠需手工逐個新增。
2. Internet 連線防火牆 (ICF) (WinXP SP2+)
- 控制台 → 網路連線 → 右鍵撥號連線 →「進階」→ 勾選「透過限制來自 Internet 的存取保護我的電腦」；
- 點「設定」→「進階設定」→ 勾選「FTP 伺服器」編輯，IP 位址欄填入伺服器公網 IP；
- 非標準埠 (如 22)：「服務」頁籤 →「新增」→ 填服務名、公網 IP、外部/內部埠均填 22。
三、FTP 伺服器軟體本身安全設定
1. IIS FTP 安全設定
- 及時打補丁：IIS 漏洞頻出，微軟出補丁必須第一時間套用；
- 安裝目錄放非系統盤，關閉不需要的服務（減少攻擊面）；
- 僅允許匿名連線：避免明文傳輸密碼洩露系統帳號（屬性→「安全性帳戶」勾選）；
- 謹慎設定主目錄權限：優先用本地 NTFS 非系統分區，按用戶/群組精細授權，非必要不給「寫入」；
- 避開預設埠 21，啟用日誌記錄備查。
2. Serv-U 安全設定（安全性優於 IIS）
- 本地伺服器設定：勾選「攔截 FTP bounce 攻擊與 XP」；「進階」頁勾選「加密密碼」(MD5) 與「啟用安全」；
- 域帳號密碼類型：管理權限帳號必選「OTP S/KEY MD4」或「MD5」（需客戶端如 CuteFTP Pro 支援）；
- 主目錄權限同 IIS 原則：最小授權；
- 啟用日誌記錄到檔案，設定檔名、路徑、參數，便於追查異常。
安全無小事，從 OS、防火牆、應用層三層疊加防護，才能構建可靠的 FTP 服務基礎設施。