centos下vsftp如何进行故障排查

CentOS 下 vsFTPd 故障排查清单

一 快速定位流程

• 确认服务状态与监听：执行systemctl status vsftpd；若未运行，执行systemctl start vsftpd。查看是否监听21端口：ss -tulpen | grep :21（或 netstat）。若端口被占用，处理占用进程或调整 vsftpd 监听端口。
• 校验配置文件：检查**/etc/vsftpd/vsftpd.conf关键项（示例）：listen=YES、anonymous_enable=NO、local_enable=YES、write_enable=YES、按需设置chroot_local_user=YES**。修改后执行systemctl restart vsftpd生效。
• 检查访问控制：核对**/etc/vsftpd.ftpusers**（黑名单）与**/etc/vsftpd.user_list**（黑白名单取决于配置）是否阻止了目标用户。
• 目录与权限：确保登录用户对其根目录具备读/执行权限，对上传目录具备写权限；示例：chown -R ftpuser:ftpuser /data/ftp && chmod -R 755 /data/ftp。
• 防火墙放行：放行控制端口21；若使用被动模式（PASV），还需放行pasv_min_port–pasv_max_port的数据端口范围。
• SELinux：确认是否启用（getenforce），必要时临时设为宽容模式setenforce 0验证；或按需设置布尔值（如ftp_home_dir）。
• 日志定位：查看**/var/log/vsftpd.log**获取具体报错与客户端信息。

二 常见症状与处理要点

• 无法连接/超时：优先排查防火墙与监听地址；确认服务在21端口监听；若仅内网可达，检查云安全组/外部ACL。
• 530 Login incorrect：核对用户名/密码；确认local_enable=YES；检查**/etc/vsftpd.ftpusers与/etc/vsftpd.user_list**；查看日志中认证失败原因。
• 500 OOPS: cannot change directory：多为 SELinux 或目录权限问题；临时setenforce 0验证；或执行setsebool -P ftp_home_dir on；同时确保用户对家目录有x权限。
• 553 Could not create file：上传目录不可写或属主错误；执行chown ftpuser:ftpuser /path && chmod 755 /path（上传子目录可775）；避免对上层目录使用777。
• 500 OOPS: vsftpd: not found: directory given in ‘secure_chroot_dir’：在vsftpd.conf设置secure_chroot_dir=/opt/usr/share/empty，并创建目录mkdir -p /opt/usr/share/empty。
• 被动模式失败（LIST/STOR 卡住）：在vsftpd.conf配置pasv_enable=YES、设置pasv_min_port与pasv_max_port，并在防火墙放行该端口段。

三 防火墙与 SELinux 配置要点

• firewalld（推荐）：放行 FTP 服务与被动端口段
  • 命令：firewall-cmd --permanent --add-service=ftp && firewall-cmd --permanent --add-port=30000-31000/tcp && firewall-cmd --reload（示例被动端口段为30000–31000，请与 vsftpd.conf 一致）。
• 传统 iptables：放行21与控制通道所需数据端口范围（PORT 模式需确保服务器可连客户端高位端口；PASV 模式放行服务器侧被动端口段）。
• SELinux：
  • 状态检查：getenforce、/usr/sbin/sestatus -v；
  • 目录/家目录访问：setsebool -P ftp_home_dir on；
  • 更宽松策略（仅在排障或确有需要时）：setsebool -P allow_ftpd_full_access on；
  • 配置/文件上下文异常导致服务异常时，可用restorecon -R /etc/vsftpd或touch /.autorelabel && reboot修复。

四 日志与配置文件关键点

• 日志：优先查看**/var/log/vsftpd.log**，关注530/550/500 OOPS等关键字及客户端 IP、用户名、目录路径，定位认证、权限、目录与 SELinux 问题。
• 核心配置示例（按需调整）：
  • 监听与控制：listen=YES、listen_ipv6=NO；
  • 访问开关：anonymous_enable=NO、local_enable=YES、write_enable=YES；
  • 根目录与隔离：local_root=/data/ftp、chroot_local_user=YES；
  • 被动模式：pasv_enable=YES、pasv_min_port=30000、pasv_max_port=31000；
  • 日志开关：xferlog_enable=YES、xferlog_std_format=YES、log_ftp_protocol=YES（便于抓包级分析）。
• 认证与访问控制：核对**/etc/pam.d/vsftpd是否被修改；检查/etc/vsftpd.ftpusers**（拒绝）与**/etc/vsftpd.user_list**（黑白名单由userlist_enable/userlist_deny决定）。

五 一键排查命令清单

• 服务与端口：systemctl status vsftpd；ss -tulpen | grep :21
• 配置与语法：vsftpd -t（语法检查）；grep -nE ‘^(listen|anonymous_enable|local_enable|write_enable|chroot_local_user|pasv_enable|pasv_min_port|pasv_max_port)’ /etc/vsftpd/vsftpd.conf
• 访问控制：grep -nE ‘^(userlist_enable|userlist_deny)’ /etc/vsftpd/vsftpd.conf；cat /etc/vsftpd.ftpusers /etc/vsftpd.user_list
• 防火墙：firewall-cmd --list-all 或 iptables -S
• SELinux：getenforce；/usr/sbin/sestatus -v；必要时setsebool -P ftp_home_dir on
• 日志：tail -n50 /var/log/vsftpd.log | egrep -i ‘530|550|500 OOPS’
• 权限示例：ls -ld /data/ftp /data/ftp/upload；chown -R ftpuser:ftpuser /data/ftp && chmod -R 755 /data/ftp && chmod 775 /data/ftp/upload