FTP（File Transfer Protocol，文件传输协议）是一种广泛用于在客户端和服务器之间传输文件的网络协议，特别适合大文件共享、网站代码上传等场景，本文将详细介绍如何在服务器上搭建FTP服务，包括环境准备、安装配置、权限管理及安全加固等步骤，帮助新手快速上手。
环境准备
在开始搭建FTP服务前,需确保服务器满足以下基本条件：
- 操作系统：以Linux（Ubuntu 20.04/CentOS 7）为例，Windows Server用户可参考类似步骤，但服务组件不同。
- 服务器权限：需要root或sudo权限，以便安装软件和修改系统配置。
- 网络环境：服务器需有固定公网IP（或内网IP），并确保防火墙允许FTP端口访问（默认为21，被动模式需额外开放端口范围）。
安装FTP服务
Linux系统常用的FTP服务器软件有vsftpd（Very Secure FTP Daemon）、proftpd等，其中vsftpd因轻量、安全成为首选。
Ubuntu/Debian系统安装
sudo apt update # 更新软件包列表 sudo apt install vsftpd -y # 安装vsftpd
CentOS/RHEL系统安装
sudo yum install vsftpd -y # CentOS 7及以下 # 或（CentOS 8+） sudo dnf install vsftpd -y
安装完成后,启动FTP服务并设置开机自启：
sudo systemctl start vsftpd # 启动服务 sudo systemctl enable vsftpd # 设置开机自启 sudo systemctl status vsftpd # 检查服务状态（显示“active (running)”即成功）
配置用户与权限
默认情况下,vsftpd不允许匿名用户登录，仅允许系统用户通过FTP访问，为安全起见，建议创建专用的FTP用户，并限制其访问目录。
创建FTP专用用户
假设创建一个名为ftpuser的用户，并指定其家目录为/home/ftpdata（可根据需求修改）：
sudo useradd -m -d /home/ftpdata -s /sbin/nologin ftpuser # 创建用户，禁止SSH登录 sudo passwd ftpuser # 设置用户密码（按提示输入两次）
设置目录权限
确保FTP用户对其目录有读写权限,避免因权限问题导致无法上传或下载：
sudo chown -R ftpuser:ftpuser /home/ftpdata # 设置目录所有者为ftpuser sudo chmod -R 755 /home/ftpdata # 设置目录权限（所有者可读写执行，其他用户可读执行）
修改vsftpd配置文件
vsftpd的主配置文件为/etc/vftpd.conf，使用vim或nano打开并修改以下关键参数（可根据需求调整）：
sudo vim /etc/vftpd.conf
以下是核心配置项说明及修改建议：
| 配置项 | 默认值 | 建议值 | 说明 |
|---|---|---|---|
| anonymous_enable | YES | NO | 是否允许匿名用户登录（建议关闭） |
| local_enable | NO | YES | 是否允许本地用户登录 |
| write_enable | NO | YES | 是否允许文件上传（需开启） |
| chroot_local_user | NO | YES | 是否将用户限制在其家目录内（安全关键） |
| allow_writeable_chroot | YES | YES | 是否允许chroot目录可写（需配合chroot_local_user） |
| pasv_min_port | （未设置） | 60000 | 被动模式最小端口（避免与系统端口冲突） |
| pasv_max_port | （未设置） | 61000 | 被动模式最大端口 |
| local_root | （未设置） | /home/ftpdata | 指定本地用户的FTP根目录（可选，若不设置则默认家目录） |
修改完成后保存文件,重启vsftpd服务使配置生效：
sudo systemctl restart vsftpd
配置防火墙
FTP服务默认使用21端口（控制连接），被动模式还需使用pasv_min_port到pasv_max_port之间的端口（如60000-61000），需在防火墙中开放这些端口：
Ubuntu（ufw防火墙）
sudo ufw allow 21/tcp # 开放FTP控制端口 sudo ufw allow 60000:61000/tcp # 开放被动模式端口范围 sudo ufw reload # 重启防火墙
CentOS（firewalld防火墙）
sudo firewall-cmd --permanent --add-service=ftp # 添加FTP服务（自动开放21及相关端口） sudo firewall-cmd --permanent --add-port=60000-61000/tcp # 开放被动模式端口 sudo firewall-cmd --reload # 重载防火墙规则
安全加固
为提升FTP服务安全性,建议进行以下配置：
禁用匿名登录
确保/etc/vftpd.conf中anonymous_enable=NO，防止匿名用户访问服务器。
限制用户访问
若需限制特定用户登录,可在/etc/vftpd.conf中添加：
userlist_enable=YES # 启用用户列表 userlist_file=/etc/vsftpd.user_list # 用户列表文件路径 userlist_deny=NO # 仅允许列表中的用户登录（若为YES则禁止列表中用户登录）
然后创建/etc/vsftpd.user_list文件，每行写入一个允许登录的用户名（如ftpuser）。
启用SSL/TLS加密
为避免传输过程中数据泄露,可配置FTP over SSL/TLS（需服务器已安装 OpenSSL）：
sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/vsftpd/vsftpd.pem -out /etc/vsftpd/vsftpd.pem # 生成自签名证书
然后在/etc/vsftpd.conf中添加：
ssl_enable=YES # 启用SSL allow_anon_ssl=NO # 禁止匿名用户SSL force_local_data_ssl=YES # 强制本地用户数据连接使用SSL force_local_logins_ssl=YES # 强制本地用户登录使用SSL ssl_tlsv1_2=YES # 支持TLS v1.2
测试FTP连接
使用FTP客户端工具（如FileZilla、WinSCP）连接服务器，测试上传、下载功能：
- 主机地址：服务器公网IP
- 用户名/密码：创建的FTP用户名及密码
- 端口：21（默认）
- 加密：若启用SSL，选择“要求 explicit FTP over TLS”
连接成功后,尝试上传/下载文件，验证权限是否正常（如能否在指定目录创建文件、删除文件等）。
相关问答FAQs
Q1：FTP连接时提示“530 Login incorrect”怎么办？
A：可能原因及解决方法：
- 用户名或密码错误：检查
/etc/passwd中用户是否存在，确认密码是否正确。 - 用户被禁止登录：检查
/etc/vsftpd.user_list文件，确保用户名在列表中（若userlist_deny=NO）。 - 目录权限问题：确保FTP用户对家目录有执行权限（
chmod u+x /home/ftpdata），否则无法进入目录。 - SELinux或防火墙拦截：关闭SELinux（
setenforce 0临时关闭）或检查防火墙规则是否放行FTP端口。
Q2：如何解决FTP被动模式连接超时问题？
A：被动模式超时通常因防火墙未开放被动端口或服务器NAT配置导致：
- 检查vsftpd配置文件中的
pasv_min_port和pasv_max_port是否设置正确，并在防火墙中开放该端口范围（如60000-61000）。 - 若服务器位于NAT后,需在路由器或防火墙上做端口映射，将被动端口范围映射到服务器内网IP。
- 客户端连接时,确保被动模式已开启（FileZilla中“编辑-设置-连接-FTP-被动模式”勾选“使用被动模式”）。
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/14609.html
