Debian FTP Server 使用中的常见误区
一 协议与安全认知误区
- 将明文 FTP当作“FTPS”。FTPS 是FTP over SSL/TLS，需要显式启用证书并配置加密选项；很多环境实际只开了明文 FTP，或把 SFTP（基于 SSH 的完全不同协议）与 FTPS 混为一谈。正确做法是：启用 TLS/SSL（如设置 ssl_enable=YES，配置 rsa_cert_file/rsa_private_key_file），或优先采用 SFTP 方案。另需注意，启用 chroot 后若主目录可写，vsftpd 会出于安全考虑拒绝运行，常见报错为“500 OOPS: vsftpd: refusing to run with writable root inside chroot()”。
二 被动模式与防火墙配置误区
- 只放行21 端口却忽略被动模式数据端口，导致登录成功但列目录/传输卡住或超时。应在防火墙放行控制端口21/tcp的同时，放行一段被动端口范围（如40000–50000/tcp），并在服务器配置中设置 pasv_min_port/pasv_max_port；若经由 NAT，还需在路由器做相应映射。另一个常见问题是未放行数据连接端口20/tcp（主动模式），或云厂商安全组未同步开放相关端口，都会造成传输失败。
三 权限与目录结构误区
- 误以为“给目录 777 就一定能写”。在高安全配置下（如启用 chroot），vsftpd 对“可写根目录”非常敏感，直接对家目录赋 777 可能触发“500 OOPS: refusing to run with writable root inside chroot()”。推荐做法是：让家目录对 FTP 用户不可写，单独为上传创建可写子目录（如将家目录 a-w，创建 …/uploads 并 chown 给相应用户）。此外，启用匿名访问时，anon_root 指向的目录权限过严（如 700）会导致匿名登录失败，应放宽至至少755并确保匿名用户可进入与读取。
四 认证与访问控制误区
- 忽视PAM 与黑名单导致账号“明明存在却 530 Login incorrect”。应检查 /etc/pam.d/vsftpd 与 /etc/vsftpd/ftpusers（该文件列出的用户将被拒绝登录），必要时调整策略。使用用户列表时，若配置了 userlist_enable=YES 且 userlist_deny=NO，则必须在 /etc/vsftpd.user_list 中显式写入允许登录的用户，否则会出现“无法读取用户列表文件”或“拒绝登录”等错误。还有人误把“允许写入”与“允许登录”混为一谈，需在 vsftpd.conf 中同时正确设置 local_enable、write_enable 等选项。
五 日志、配置与运行误区
- 忽视日志与启动状态，出故障只能“盲猜”。应养成习惯：用“systemctl status vsftpd”查看服务状态，用“tail -n 50 /var/log/vsftpd.log”定位登录/权限/传输错误；若日志目录或文件不可写，会出现“500 OOPS: cannot open xferlog log file”。同时，配置文件 /etc/vsftpd.conf 的属主与权限不当（非 root 或权限过宽）也可能引发启动失败或安全告警，建议设为 root:root 且 644。最后，很多人部署后忘记开放防火墙或云安全组规则，导致“能本地连、外网连不上”，需确认已放行 21/tcp、20/tcp 与被动端口范围。
