已部署FileZilla Server需立即启用TLS加密与IP访问控制：一、启用FTP over TLS并强制TLS 1.2+；二、配置全局IP白名单；三、为用户设置专属IP过滤；四、绑定内网专用监听地址；五、隐藏服务器Banner版本信息。
如果您已部署FileZilla Server，但尚未启用传输加密与访问控制，则存在明文密码泄露、暴力破解及非法连接等高风险。以下是针对TLS证书启用与IP访问限制的具体加固步骤：
一、启用TLS/SSL加密强制认证
启用TLS可确保用户登录凭证和文件内容全程加密传输，杜绝中间人窃听与明文抓包风险。必须禁用不安全的SSLv2/v3，并仅允许TLS 1.2及以上版本。
1、打开FileZilla Server管理界面，进入“编辑”→“设置”→“FTP over TLS设置”。
2、勾选“启用FTP over TLS支持”。
3、点击“浏览”按钮，选择有效的PEM格式证书文件（如/etc/ssl/private/vsftpd.pem或自行生成的证书）。
4、在“TLS设置”区域，将“最低TLS版本”设为TLS 1.2，取消勾选SSLv2与SSLv3选项。
5、在“客户端要求”中，根据安全等级选择：“仅允许显式FTP over TLS连接”（推荐），或更严格的“强制使用TLS”。
二、配置全局IP过滤器限制访问源
通过白名单机制仅允许可信IP段连接，可直接阻断90%以上的扫描与爆破尝试，尤其适用于固定办公网络或云服务器私有IP接入场景。
1、在管理界面中，进入“编辑”→“设置”→“IP过滤器”。
2、清空右侧上部“拒绝以下IP地址”的所有条目（避免误拒）。
3、在右侧下部“允许以下IP地址”框内，逐行输入受信IP或CIDR网段，例如：192.168.1.0/24、203.0.113.45、2001:db8::/32（IPv6需确保FileZilla版本支持）。
4、勾选“启用IP过滤器”，点击“确定”保存。
三、为单个用户绑定可信IP范围
当不同用户需差异化访问策略时（如外包人员仅限某出口IP登录），用户级IP过滤可覆盖全局规则，实现细粒度控制。
1、进入“编辑”→“用户”，选中目标用户名，点击右侧“编辑”。
2、切换至“IP过滤器”选项卡。
3、勾选“为此用户启用IP过滤器”。
4、在“允许以下IP地址”中填入该用户的专属授权IP，例如：198.51.100.12。
5、取消勾选“允许来自任意IP的连接”，点击“确定”生效。
四、关闭默认监听地址并限定绑定接口
避免服务器在公网网卡（如eth0）或0.0.0.0上暴露FTP服务，防止非预期接口被探测；仅绑定内网或负载均衡后端专用地址可大幅缩小攻击面。
1、进入“编辑”→“设置”→“常规设置”→“IP绑定”。
2、删除默认显示的“*”（即监听所有地址）。
3、手动输入需监听的精确IP，例如：10.10.5.20（内网管理地址）或127.0.0.1（仅本地管理）。
4、点击“确定”，重启FileZilla Server服务使绑定生效。
五、隐藏服务器Banner与版本信息
默认FTP Banner会返回FileZilla Server版本号（如“FileZilla Server 3.9.0.6”），为攻击者提供漏洞利用依据；屏蔽该信息可延缓自动化攻击链路。
1、进入“编辑”→“设置”→“常规设置”→“欢迎信息”。
2、在“自定义欢迎信息”文本框中，删除所有含%v（版本变量）或%s（服务器名）的占位符。
3、输入静态提示文字，例如："Authorized access only."。
4、勾选“在日志中隐藏欢迎信息”，防止日志泄露线索。
