Ubuntu 下 vsftpd 连接问题的系统化排查与修复
一 快速自检与定位
- 确认服务状态与开机自启：sudo systemctl status vsftpd；如未运行执行 sudo systemctl start vsftpd；建议 sudo systemctl enable vsftpd。
- 本机连通性测试：ftp localhost 或 ftp 服务器IP；若本机不通，多半是服务未起或配置错误。
- 实时查看日志：sudo tail -f /var/log/vsftpd.log 或 sudo journalctl -u vsftpd -f，优先从日志中的关键字（如 530、500 OOPS、331）判断问题类型。
- 端口与监听：ss -ltnp | grep :21 检查 21 端口是否被 vsftpd 监听；若端口被占用或监听异常，需释放端口或修正配置后重启服务。
二 防火墙与云安全组放行
- UFW（Ubuntu 常见）：sudo ufw allow 21/tcp；主动模式还需 sudo ufw allow 20/tcp；如使用 TLS/SSL 则放行 990/tcp；执行 sudo ufw reload。
- firewalld（若使用）：sudo firewall-cmd --permanent --add-service=ftp 或按端口放行；sudo firewall-cmd --reload。
- 云服务器安全组：在控制台放行 21/TCP（以及 990/TCP 若启用 FTPS，或被动端口段如 60000–61000/TCP 若启用被动模式）。
- 主动 vs 被动要点：主动模式由服务器从 20/TCP 主动连客户端数据端口；被动模式由客户端连服务器高位端口，需在防火墙放行对应端口段。
三 配置文件关键项与常见修复
- 基础开关（/etc/vsftpd.conf）：确保 listen=YES；local_enable=YES（允许本地用户）；write_enable=YES（允许写入）；anonymous_enable=NO（更安全）。
- 被动模式（推荐在 NAT/云环境使用）：pasv_enable=YES；pasv_min_port=60000；pasv_max_port=61000；并在防火墙放行该端口段。
- 登录失败 530 Login incorrect：
- 检查用户名/密码；
- 查看 PAM 与黑名单：编辑 /etc/pam.d/vsftpd，注释掉 auth required pam_listfile.so item=user sense=deny file=/etc/ftpusers onerr=succeed 这一行以排除被 /etc/ftpusers 拒绝的情况；
- 确认 /etc/vsftpd.conf 中 local_enable=YES。
- 上传失败或 553 Could not create file：确保目标目录对 FTP 登录用户可写（chown/chmod 正确），以及 write_enable=YES。
- 配置变更后重启：sudo systemctl restart vsftpd。
四 常见报错对照与处理
| 现象 |
可能原因 |
快速处理 |
| 连接超时/被拒绝 |
服务未启动/端口未放行/端口被占用 |
systemctl start vsftpd；ufw/firewalld/安全组放行 21/TCP；ss -ltnp 检查占用并释放 |
| 331 后 530 Login incorrect |
用户名/密码错误；PAM 黑名单；local_enable 关闭 |
核对凭据；检查 /etc/pam.d/vsftpd 与 /etc/ftpusers；确保 local_enable=YES |
| 能登录但不能列目录或上传（553） |
目录无写权限；write_enable 关闭 |
chown/chmod 修正目录权限；write_enable=YES |
| 被动模式卡在传输或数据连接失败 |
未配置/未放行被动端口段 |
设置 pasv_min_port/pasv_max_port（如 60000–61000）并放行 |
| TLS 握手失败或提示“不安全的服务器” |
客户端与服务器加密策略不一致 |
客户端选择“只使用明文 FTP（不安全）”或启用 TLS 并开放 990/TCP |
| 日志出现 500 OOPS |
配置错误/权限问题/沙箱限制 |
依据日志定位；必要时在 /etc/vsftpd.conf 中设置 seccomp_sandbox=NO 并重启 |
五 验证与最小化配置示例
