FTP（File Transfer Protocol）是一种广泛使用的文件传输协议，用于在客户端和服务器之间进行文件的上传、下载和管理，配置服务器端的FTP服务需要综合考虑功能需求、安全性及访问控制等因素，本文以Linux系统下常用的vsftpd（Very Secure FTP Daemon）为例，详细讲解FTP服务器的配置步骤。
安装FTP服务器软件
vsftpd是Linux系统中轻量级、高安全性的FTP服务器软件，支持匿名访问、本地用户访问及虚拟用户等多种模式，首先根据系统发行版选择安装命令：
- Ubuntu/Debian系统：
sudo apt update && sudo apt install vsftpd -y
- CentOS/RHEL系统：
sudo yum install vsftpd -y
安装完成后,启动vsftpd服务并设置开机自启：
sudo systemctl start vsftpd sudo systemctl enable vsftpd
修改主配置文件
vsftpd的核心配置文件为/etc/vsftpd.conf，备份原文件后使用sudo vim /etc/vsftpd.conf进行编辑，以下为关键参数说明及推荐配置：
| 参数 | 默认值 | 说明 | 推荐配置 |
|---|---|---|---|
anonymous_enable |
YES | 是否允许匿名用户登录 | NO（禁用匿名，提升安全性） |
local_enable |
YES | 是否允许本地用户登录 | YES（启用本地用户访问） |
write_enable |
YES | 是否允许文件写入（上传、删除等） | YES（需根据需求开启） |
chroot_local_user |
NO | 是否限制本地用户仅能访问主目录 | YES（防止用户越权访问系统目录） |
allow_writeable_chroot |
NO | 是否允许被限制在主目录的用户写入 | YES（需配合chroot_local_user使用，注意目录权限） |
pasv_enable |
YES | 是否启用被动模式（推荐用于防火墙环境） | YES |
pasv_min_port |
0 | 被动模式最小端口 | 10000（自定义范围，避免冲突） |
pasv_max_port |
0 | 被动模式最大端口 | 10100 |
userlist_enable |
YES | 是否启用用户列表文件 | YES（配合user_file限制登录用户） |
user_file |
/etc/vsftpd.user_list |
用户列表文件路径 | /etc/vsftpd.user_list |
创建FTP用户及目录
为提升安全性,建议创建专用FTP用户，而非直接使用系统用户，例如创建用户ftpuser，并指定主目录为/home/ftpdata：
sudo useradd -m -d /home/ftpdata -s /sbin/nologin ftpuser # 创建用户，禁止SSH登录 sudo passwd ftpuser # 设置用户密码 sudo chown -R ftpuser:ftpuser /home/ftpdata # 设置目录所有者 sudo chmod -R 755 /home/ftpdata # 设置目录权限（所有者可读写执行，其他用户可读执行）
若需限制特定用户登录,可在/etc/vsftpd.user_list文件中添加用户名（每行一个），并确保/etc/vsftpd.conf中配置userlist_deny=NO（仅允许列表中的用户登录）。
配置防火墙规则
FTP服务默认使用21端口（命令端口），被动模式需额外开放数据端口范围（如10000-10100），根据系统防火墙类型执行以下命令：
- Ubuntu/Debian（ufw）：
sudo ufw allow 21/tcp sudo ufw allow 10000:10100/tcp sudo ufw reload
- CentOS/RHEL（firewalld）：
sudo firewall-cmd --permanent --add-port=21/tcp sudo firewall-cmd --permanent --add-port=10000-10100/tcp sudo firewall-cmd --reload
安全优化配置
- 禁用匿名登录：确保
anonymous_enable=NO，避免匿名用户上传恶意文件。 - 启用日志记录：在
vsftpd.conf中添加以下参数，记录FTP操作日志：xferlog_enable=YES xferlog_file=/var/log/vsftpd.log xferlog_std_format=YES
- 限制传输速率：通过
local_max_rate参数限制本地用户传输速率（单位：字节/秒，如102400表示100KB/s）：local_max_rate=102400
启动与测试
配置完成后,重启vsftpd服务使配置生效：
sudo systemctl restart vsftpd
使用FTP客户端（如FileZilla）进行测试：主机IP地址、用户名ftpuser、密码、端口21，传输模式选择“被动模式”，若能成功上传/下载文件，说明配置成功。
相关问答FAQs
问题1：FTP连接时提示“530 Login incorrect”，如何排查？
解答：首先确认用户名和密码是否正确；检查用户是否被锁定（可通过passwd -S ftpuser查看）；确认vsftpd.conf中local_enable=YES已启用；检查防火墙是否放行21端口；若使用用户列表限制，确认用户是否在/etc/vsftpd.user_list中且userlist_deny=NO。
问题2：如何让FTP用户只能访问指定目录，无法切换到上级目录？
解答：确保vsftpd.conf中chroot_local_user=YES（限制用户主目录），并将用户主目录的权限设置为755（所有者ftpuser，组ftpuser），避免其他用户有写入权限，若用户主目录下存在符号链接可能导致逃逸，需定期检查目录结构，或使用chroot_list_file指定白名单用户。
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/39652.html
