要禁止某个机器访问FTP服务器，最直接的方式是配置IP黑名单或使用防火墙拦截该机器的IP地址。
为什么需要禁止某个机器连接FTP服务器
在实际运维中,你可能会遇到一个固定IP反复尝试登录FTP，或者某个内网机器非法占用带宽，无论是出于安全考虑还是资源管理，都需要精准限制特定机器。
- 防止暴力破解：恶意IP会不断尝试用户名和密码，IP限制能直接切断其连接。
- 满足合规要求：在内网环境中，某些敏感机器不应访问FTP，通过IP限制实现隔离。
- 节省服务器资源：禁止不必要的客户端连接，减少无效请求对性能的影响。
多数情况下,FTP服务器软件和操作系统都提供了多种手段来实现这一目标。
FTP服务器怎么禁止某个IP访问
这是最核心的问题,根据你的服务器环境，可以选择不同的操作路径，以下是最常用的三种方式。
通过配置文件实现IP黑名单
主流的FTP服务器软件都支持IP黑名单配置,以vsftpd为例，在/etc/vsftpd/vsftpd.conf中添加以下参数：
banned_ips_file=/etc/vsftpd/banned_ips然后在banned_ips文件中每行写入一个IP地址，保存后重启服务即可生效，对于ProFTPD，可以在/etc/proftpd/modules.conf中启用mod_ban模块，并通过.ban文件指定禁止的IP。
- 优点：配置简单，无需额外工具。
- 缺点：只影响FTP协议层面的连接，无法阻止IP对其他端口访问。
使用防火墙规则拦截
如果你希望更彻底的拦截,可以使用防火墙直接丢弃来自该IP的数据包，在Linux上，iptables命令如下：
iptables -A INPUT -p tcp --dport 21 -s 192.168.1.100 -j DROP在Windows上,可以通过“高级安全Windows防火墙”新建入站规则，指定远程IP地址为阻止对象。
- 优点：在网络层拦截，所有端口都可控制。
- 缺点：如果FTP使用被动模式，需要同时拦截数据端口范围（如
iptables -A INPUT -p tcp --dport 30000-31000 -s IP -j DROP）。
对比不同方法的适用场景
| 方法 | 配置复杂度 | 生效范围 | 维护成本 |
|---|---|---|---|
| FTP软件黑名单 | 低 | 仅FTP | 低 |
| 系统防火墙 | 中 | 所有协议 | 中 |
| 入侵防御系统 | 高 | 所有流量 | 高 |
在单一机器禁用的场景下,前两种方法足以应对大多数需求。
vsftpd屏蔽特定机器的配置步骤
如果你使用的是Linux上的vsftpd,以下步骤能帮你快速实现禁止某个IP连接。
修改/etc/hosts.deny
这是最传统的方法,编辑/etc/hosts.deny，添加一行：
vsftpd: 192.168.1.100保存后,vsftpd会自动拒绝该IP的访问，注意该方法依赖于libwrap，需确认vsftpd编译时支持TCP Wrappers。
配置vsftpd的banned_ip选项
在vsftpd 3.0及以上版本，可以直接在配置文件中指定黑名单文件，具体操作：
- 打开
/etc/vsftpd/vsftpd.conf，确保包含banned_ips_file=/etc/vsftpd/banned_ips。 - 创建
/etc/vsftpd/banned_ips，每行一个IP，例如168.1.100。 - 重启vsftpd服务：
systemctl restart vsftpd。
这种方法更灵活,可以随时添加或移除IP，无需重启服务（部分版本需要重读配置）。
结合iptables实现更严格的限制
如果你希望既在FTP层禁止,又在网络层阻断，可以将上面两种方法结合，在防火墙中额外添加规则：
iptables -A INPUT -p tcp --dport 21 -s 192.168.1.100 -j DROP
iptables -A INPUT -p tcp --dport 30000-31000 -s 192.168.1.100 -j DROP这样即使FTP配置有漏洞,该IP也无法建立连接，行业共识认为，多层防护能显著降低绕过风险。
Windows FTP服务器限制客户端连接设置
Windows环境下的FTP服务器同样提供了IP限制功能,操作路径有所不同。
IIS FTP的IP地址限制
在IIS管理器中,选择对应的FTP站点，双击“IP地址限制”功能：
- 在右侧操作窗格点击“添加拒绝条目”。
- 输入要禁止的IP地址或地址范围。
- 设置规则名称,点击确定。
IIS会立即生效,无需重启，你可以同时配置允许和拒绝列表，优先级根据规则顺序决定。
FileZilla Server的IP过滤规则
FileZilla Server提供了图形化的IP过滤界面：
- 打开FileZilla Server界面，依次点击“编辑”->“设置”。
- 在左侧导航中选择“IP过滤”。
- 在“拒绝以下IP”列表中添加IP，每行一个。
- 点击确定,自动生效。
FileZilla还支持通配符和子网掩码,例如168.1.可以禁止整个C段。
通过用户权限间接禁止机器访问
除了IP限制,还可以通过用户登录权限来控制，在FTP服务器中创建特定用户，只允许该用户从指定IP登录，在vsftpd中，可以通过user_config_dir为用户单独配置限制：
- 在
/etc/vsftpd/vsftpd.conf中设置user_config_dir=/etc/vsftpd/user_config。 - 创建文件
/etc/vsftpd/user_config/baduser为local_root=/var/empty和deny_file={}。 - 将需要禁止的机器使用的用户名指向该配置。
这种方法更精细,但配置稍复杂，适合需要保留用户账户但限制其来源的场景。
实战：当遇到固定IP恶意扫描时如何应对
假设你发现FTP日志中有一个IP连续尝试登录,需要立即阻止。
- 首先确认IP地址：查看
/var/log/vsftpd.log或/var/log/messages，找出可疑IP，如0.0.99。 - 决定使用哪种方式,如果只是临时阻挡，可以用防火墙命令：
iptables -A INPUT -s 10.0.0.99 -j DROP。 - 如果你想长期列入黑名单,在vsftpd的黑名单文件中添加
0.0.99，并确保配置生效。 - 验证是否生效：从该IP尝试连接，观察是否被拒绝，如果仍有连接，检查防火墙规则顺序或FTP配置是否重载。
业内专家指出,这类操作应在几秒内完成，避免影响正常业务。
常见问题：FTP服务器禁止某个机器后是否绝对安全？
答案是否定的,IP限制只是基础手段，无法阻止IP伪造或通过代理访问，更安全的做法是结合用户认证、SSL/TLS加密和Fail2ban等工具，但IP限制能阻挡绝大多数非定向攻击，性价比很高。
Q&A: FTP服务器禁止某个机器的常见问题
问：在vsftpd中禁止IP后，为什么对方还能连接？
答：可能的原因包括：未重启vsftpd服务；使用了banned_ips_file但文件路径写错；或者对方通过IPv6连接，而你只限制了IPv4，检查配置文件和日志，确认规则加载成功。
问：禁止IP和禁止用户登录，哪种更安全？
答：两种方式互补，IP限制在网络层拦截，即使用户名密码正确也无法连接；用户限制则保留账户但锁定来源，对于高安全场景，建议同时使用。
问：禁止某个机器后，它还能通过FTP下载文件吗？
答：如果只是禁止了IP，该机器无法建立任何FTP控制连接，所以无法下载或上传，如果使用用户权限间接禁止，其他用户仍可正常使用，IP限制是更彻底的阻断方式。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/ftp%e6%9c%8d%e5%8a%a1%e5%99%a8%e7%a6%81%e6%ad%a2%e6%9f%90%e4%b8%aa%e6%9c%ba%e5%99%a8%e4%b8%8a%e6%80%8e%e4%b9%88%e8%ae%be%e7%bd%ae%ef%bc%9f%ef%bc%8c%e6%98%af%e4%bb%80%e4%b9%88%e5%8e%9f%e5%9b%a0/
