Windows2000系统提供了FTP服务功能，由于基本易用，与Windows系统本身结合紧密，深受广大用户的喜爱。但运用 IIS5.0 架设的FTP服务器真的安全吗?它的默认配置其实存在很多安全隐患，很容易成为黑客们的攻击目标。如何 让FTP服务器更加安全，只要稍加改造，就能做到。

　　一 取消匿名访问功能

　　默认情况下，Windows2000系统的FTP服务器是允许匿名访问的，虽然匿名访问为用户上传、下载文件提供方便，但却存在极大的安全隐患。用户不须要申请正当的账号，就能访问FTP服务器，甚至还可以上传、下载文件，特别对于一些存储主要资料的FTP服务器，很容易出现泄密的情况，因此建议用户取消匿名访问功能。

　　在Windows2000系统中，点击“开始→程序→管理工具→Internet服务管理器”，弹出管理控制台窗口。然后展开窗口左侧的本地计算机选项，就能看到IIS5.0自带的FTP服务器，下面网侠以默认FTP站点为例，介绍如何 取消匿名访问功能。

　　右键点击“默认FTP站点”项，在右键菜单中选择“属性”，接着弹出默认FTP站点属性对话框，切换到“安全账号”标签页，取消“允许匿名连接”前的勾选，最后点击“确定”按钮，这样用户就不能运用匿名账号访问FTP服务器了，必须拥有正当账号。

　　二 启用日志记录

　　Windows日志记录着系统运行的一切信息，但很多管理员对日志记录功能不够重视，为了节省服务器资源，禁用了FTP服务器日志记录功能，这是万万要不得的。FTP服务器日志记录着所有用户的访问信息，如访问时间、客户机IP地址、运用的登录账号等，这些信息对于FTP服务器的稳定运行具有很主要的意义，一旦服务器出现疑问，就可以查看FTP日志，找到故障所在，及时排除。因此一定要启用FTP日志记录。

　　在默认FTP站点属性对话框中，切换到“FTP站点”标签页，一定要确保“启用日志记录”选项被选中，这样就可以在“事件查看器”中查看FTP日志记录了。

　　三 正确配置用户访问权限

　　每个FTP用户账号都具有一定的访问权限，但对用户权限的不合理配置，也可以导致FTP服务器出现安全隐患。如服务器中的CCE文件夹，只允许 CCEUSER账号对它有读、写、修改、列表的权限，禁止其他用户访问，但系统默认配置，还是允许其他用户对CCE文件夹有读和列表的权限，因此必须重新配置该文件夹的用户访问权限。

　　右键点击CCE文件夹，在弹出菜单中选择“属性”，然后切换到“安全”标签页，首先删除Everyone用户账号，接着点击“添加”按钮，将 CCEUSER账号添加到名称列表框中，然后在“权限”列表框中选中修改、读取及运行、列出文件夹目录、读取和写入选项，最后点击“确定”按钮。这样一来，CCE文件夹只有CCEUSER用户才能访问。

　　四 启用硬盘配额

　　FTP服务器硬盘

空间资源是宝贵的，无限定的让用户运用，势必造成巨大的浪费，因此要对每位FTP用户运用的硬盘空间执行 限定。下面网侠以CCEUSER用户为例，将其限定为只能运用 100M硬盘空间。

　　在资源管理器窗口中，右键点击CCE文件夹所在的硬盘盘符，在弹出的菜单中选择“属性”，接着切换到“配额”标签页，选中“启用配额管理”复选框，激活“配额”标签页中的所有配额配置选项，为了不让某些FTP用户占用过多的服务器硬盘空间，一定要选中“拒绝将硬盘空间给超过配额限定的用户”复选框。

　　然后在“为该卷上的新用户选择默认配额限定 ”框中选择“将硬盘空间限定为”单选项，接着在后面的栏中输入100，硬盘容量单位选择为“MB”，然后执行 警告等级配置，在“将警告等级配置为”栏中输入“96”，容量单位也选择为“MB”，这样就完成了默认配额配置。此外，还要选中“用户超出配额限定时记录事件”和“用户超过警告等级时记录事件”复选框，以便将配额告警事件记录到Windows日志中。

　　点击配额标签页下方的“配额项”按钮，打开硬盘配额项目对话框，接着点击“配额→新建配额项”，弹出选择用户对话框，选中CCEUSER用户后，点击“确定”按钮，接着在“添加新配额项”对话框中为CCEUSER用户配置配额参数，选择“将硬盘空间限定为”单选项，在后面的栏中输入 “100”，接着在“将警告等级配置为”栏中输入“96”，它们的硬盘容量单位为“MB”，最后点击“确定”按钮，完成硬盘配额配置，这样CCEUSER 用户就只能运用 100MB硬盘空间，超过96MB就会发出警告。

　　五 TCP/IP访问限定

　　为了保证FTP服务器的安全，还可以拒绝某些IP地址的访问。在默认FTP站点属性对话框中，切换到“目录安全性”标签页，选中“授权访问”单选项，然后在“以下所列除外”框中点击“添加”按钮，弹出“拒绝以下访问”对话框，这里可以拒绝单个IP地址或一组IP地址访问，以单个IP地址为例，选中“单机”选项，然后在“IP地址”栏中输入该机器的IP地址，最后点击“确定”按钮。这样添加到列表中的IP地址都不能访问FTP服务器了。

　　六 合理配置组策略

　　通过对组策略项目的修改，也可以增强FTP服务器的安全性。在Windows2000系统中，进入到“控制面板→管理工具”，运行本地安全策略工具。

　　1. 审核账户登录事件

　　在本地安全配置窗口中，依次展开“安全配置 →本地策略→审核策略”，然后在右侧的框体中找到“审核账户登录事件”项目，双击打开该项目，在配置对话框中选中“成功”和“失败”这两项，最后点击“确定”按钮。该策略生效后，FTP用户的每次登录都会被记录到日志中。

　　2. 增强账号密码的复杂性

　　一些FTP账号的密码配置的过于基本，就有可能被“不法之徒”所破解。为了提高FTP服务器的安全性，必须强制用户配置复杂的账号密码。

　　在本地安全配置窗口中，依次展开“安全配置 →账户策略→密码策略”，在右侧框体中找到“密码必须符合复杂性要求”项，双击打开后，选中“已启用”单选项，最后点击“确定”按钮。

　　然后，打开“密码长度最小值”项，为FTP账号密码配置最短字符限定。这样以来，密码的安全性就大大增强了。

　　3. 账号登录限定

　　有些非法用户运用黑客工具，反复登录FTP服务器，来猜测账号密码。这是非常危险的，因此建议大家对账号登录次数执行 限定。

　　依次展开“安全配置 →账户策略→账户锁定策略”，在右侧框体中找到“账户锁定阈值”项，双击打开后，配置账号登录的最大次数，如果超过此数值，账号会被自动锁定。接着打开“账户锁定时间”项，配置 FTP账号被锁定的时间，账号一旦被锁定，超过这个时间值，才能重新运用。

　　通过以上几步配置后，用户的FTP服务器就会更加安全，再也不用怕被非法入侵了。