在Linux中部署VSFTPD时，需确保正确设置被动端口范围和防火墙规则。
1. 安装VSFTPD
sudo yum install vsftpd2. 配置被动模式
编辑配置文件 /etc/vsftpd.conf：
sudo nano /etc/vsftpd.conf以下是对 VSFTPD 核心配置参数的详细解析，涵盖常见场景和安全优化建议。建议结合实际需求调整 /etc/vsftpd.conf 文件。
基础连接与权限
参数 | 说明 | 示例值 |
listen=YES | 以独立守护进程模式运行（IPv4）。 | YES |
listen_ipv6=NO | 禁用IPv6监听（若未使用IPv6）。 | NO |
anonymous_enable | 允许匿名用户访问（默认禁用）。强烈建议关闭。 | NO |
local_enable | 允许本地用户登录（需系统用户）。 | YES |
write_enable | 允许文件写入（上传/删除）。 | YES |
local_umask | 本地用户上传文件的默认权限（如 022 对应 755）。 | 022 |
目录限制与安全
参数 | 说明 | 示例值 |
chroot_local_user=YES | 将本地用户限制在其主目录（需配合其他参数）。 | YES |
allow_writeable_chroot=YES | 允许被限制的用户在其主目录中写入（避免权限冲突）。 | YES |
user_sub_token | 动态用户目录（结合 local_root 使用变量 $USER）。 | local_root=/var/ftp/$USER |
userlist_enable | 启用用户列表（userlist_file 指定文件）。 | YES |
userlist_deny=NO | 仅允许 userlist_file 中的用户登录（白名单模式）。 | NO |
被动模式（PASV）配置
参数 | 说明 | 示例值 |
pasv_enable=YES | 启用被动模式（客户端通过随机端口连接数据）。 | YES |
pasv_min_port | 被动模式最小端口号（需与防火墙配合）。 | 10000 |
pasv_max_port | 被动模式最大端口号（范围建议 1000 以内）。 | 10100 |
pasv_address | 服务器公网IP（若在NAT后，需指定客户端连接的IP）。 | 203.203.203.203 |
日志与性能
参数 | 说明 | 示例值 |
xferlog_enable=YES | 启用传输日志（记录上传/下载操作）。 | YES |
xferlog_file | 指定日志文件路径。 | /var/log/vsftpd.log |
dual_log_enable | 同时生成两种格式的日志（兼容性）。 | NO |
max_clients | 最大并发连接数（防DDoS）。 | 50 |
max_per_ip | 单IP最大并发连接数。 | 5 |
高级安全选项
参数 | 说明 | 示例值 |
ssl_enable | 启用SSL/TLS加密（需证书）。 | YES |
rsa_cert_file | SSL证书路径（需自行生成或购买）。 | /etc/ssl/certs/vsftpd.pem |
require_ssl_reuse=NO | 禁用SSL会话重用（增强安全性）。 | NO |
tcp_wrappers=YES | 通过 /etc/hosts.allow 和 hosts.deny 控制访问。 | YES |
其他实用参数
参数 | 说明 | 示例值 |
idle_session_timeout | 空闲会话超时时间（秒）。 | 300 |
data_connection_timeout | 数据传输超时时间（秒）。 | 120 |
anon_upload_enable | 允许匿名用户上传（需 write_enable=YES）。 | NO |
anon_mkdir_write_enable | 允许匿名用户创建目录。 | NO |
配置文件示例
# 基础配置
listen=YES
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
# 安全限制
chroot_local_user=YES
allow_writeable_chroot=YES
userlist_enable=YES
userlist_file=/etc/vsftpd.user_list
userlist_deny=NO
# 被动模式
pasv_enable=YES
pasv_min_port=10000
pasv_max_port=10100
pasv_address=203.0.113.5
# SSL加密
ssl_enable=YES
rsa_cert_file=/etc/ssl/certs/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.key
force_local_data_ssl=YES
force_local_logins_ssl=YES关键配置项
# 启用被动模式
pasv_enable=YES
# 指定被动模式端口范围（例如10000-10100）
pasv_min_port=10000
pasv_max_port=10100
# 如果服务器位于NAT/防火墙后，需指定公网IP（客户端连接的IP）
pasv_address=你的公网IP地址
# 例如：pasv_address=203.203.203.203
# 本地用户相关配置
local_enable=YES
write_enable=YES
chroot_local_user=YES
allow_writeable_chroot=YES3. 防火墙配置
开放FTP控制端口（21）和被动端口范围:
sudo firewall-cmd --permanent --add-port=21/tcp
sudo firewall-cmd --permanent --add-port=10000-10100/tcp
sudo firewall-cmd --reload4. 处理SELinux
允许FTP服务使用非标准端口：
sudo setsebool -P ftpd_use_passive_mode on
sudo semanage port -a -t ftp_port_t -p tcp 10000-101005. 重启VSFTPD服务
sudo systemctl restart vsftpd
# 设置开机自启
sudo systemctl enable vsftpd6. 测试被动模式
使用FTP客户端（如FileZilla）测试连接，确保客户端模式为 Passive (PASV)。或通过命令行测试：
#创建ftp本地用户
sudo useradd -s /sbin/nologin -d /var/ftpdata -g ftptest ftptest
#创建用户密码
sudo passwd ftptest
#连接FTP服务器
ftp://服务器IP
ftp -u 用户名,密码
# 输入 `ls` 测试数据传输常见问题排查
- 连接超时或无法传输数据
- 检查防火墙是否开放了被动端口范围（10000-10100）。
- 确认 pasv_address 设置为服务器的公网IP（如果服务器在NAT后）。
- SELinux阻止访问:
- 临时禁用SELinux测试：sudo setenforce 0（生产环境不推荐）。
- 日志查看:
- sudo tail -f /var/log/vsftpd.log
安全建议
- 禁用匿名访问：设置 anonymous_enable=NO。
- 限制用户目录：通过 chroot_local_user=YES 防止用户访问上级目录。
- 使用TLS加密：配置SSL/TLS以增强安全性（需生成证书，可以使用openssl生成自签名证书）。