Ubuntu 下 vsftpd 连接问题排查与修复
一 快速自检清单
- 确认服务运行与开机自启：sudo systemctl status vsftpd；如未运行执行 sudo systemctl start vsftpd 与 sudo systemctl enable vsftpd。
- 核对配置文件：/etc/vsftpd.conf 基础项建议 anonymous_enable=NO、local_enable=YES、write_enable=YES；修改后执行 sudo systemctl restart vsftpd。
- 查看日志定位：sudo journalctl -u vsftpd -f 或 tail -f /var/log/vsftpd.log。
- 防火墙放行：sudo ufw allow 21/tcp；主动模式需 20/tcp；被动模式需放行端口段（见下文示例）。
- 端口占用检查：sudo ss -tulpen | grep ‘:21’。
- 客户端连通性：ftp 命令或 nc -vz 服务器IP 21 测试。
二 常见故障与修复
- 无法建立连接（超时/拒绝）
- 服务未启动或端口被占用：启动服务并排查占用（见上条）。
- 防火墙未放行：在 UFW 放行 21/tcp，主动模式放行 20/tcp；被动模式需放行端口段（见下文）。
- 云服务器安全组/NACL：在控制台放行 21/tcp 与被动端口段。
- 路由器/NAT 端口转发：外网访问需转发 21/tcp 与被动端口段到内网服务器。
- 530 Login incorrect（登录失败）
- 账户与密码：确认密码正确，必要时重置（passwd 用户名）。
- 黑名单与白名单：检查 /etc/vsftpd.ftpusers（黑名单）是否包含该用户；若启用白名单，确保 /etc/vsftpd.user_list 包含该用户且 userlist_deny=NO。
- PAM 配置：Ubuntu 常见为 pam_service_name=ftp；若异常可重装 vsftpd 以恢复默认 PAM 文件。
- 500 OOPS 等配置错误
- 语法与路径：核对 vsftpd.conf 等号两侧无空格，目录存在且权限正确；修改后重启服务。
- 匿名根目录可写：匿名根目录（如 /var/ftp）不可全局可写，建议 chown root:root /var/ftp && chmod 755 /var/ftp。
- 被动模式失败（能登录但列目录/传输卡住）
- 服务端启用被动模式并固定端口段：pasv_enable=YES，pasv_min_port=60000，pasv_max_port=61000；在防火墙放行该段。
- 客户端使用被动模式（PASV）；NAT/云环境需将端口段做端口转发。
- 登录很慢
- 关闭反向解析：在 vsftpd.conf 增加 reverse_lookup_enable=NO。
三 关键配置示例
listen=YES
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
dirmessage_enable=YES
xferlog_enable=YES
connect_from_port_20=YES
xferlog_std_format=YES
listen_ipv6=NO
pam_service_name=ftp
userlist_enable=YES
userlist_deny=NO
userlist_file=/etc/vsftpd.user_list
listen=YES
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=022
pasv_enable=YES
pasv_min_port=60000
pasv_max_port=61000
pam_service_name=ftp
userlist_enable=YES
userlist_deny=NO
userlist_file=/etc/vsftpd.user_list
sudo ufw allow 21/tcp
sudo ufw allow 20/tcp
sudo ufw allow 60000:61000/tcp
sudo ufw reload
- 目录与权限要点
- 本地用户家目录属主应为该用户，权限建议 755（上传目录可按需放宽但要避免 777）。
- 匿名根目录（/var/ftp）属主 root、权限 755，避免全局可写。
四 日志分析与验证
- 实时查看服务日志：sudo journalctl -u vsftpd -f；或 tail -f /var/log/vsftpd.log。
- 常见日志关键词：
- “530 Login incorrect” → 账户/密码/白名单/PAM 问题；
- “500 OOPS” → 配置错误或目录权限问题；
- 被动模式失败 → 未放行被动端口段或 NAT 未转发。
- 命令行连通性测试：ftp 服务器IP 或 nc -vz 服务器IP 21；必要时在客户端抓包（如 tcpdump）进一步定位。
五 安全与加固建议
- 优先使用被动模式并限制端口段，配合防火墙精确放行。
- 如需加密传输，启用 TLS/SSL（配置 ssl_enable=YES 等），客户端选择“显式/隐式 FTP over TLS”；若客户端不支持 TLS，可临时使用明文 FTP 进行排查，但生产环境不建议。
- 禁用匿名访问（anonymous_enable=NO），通过 userlist 白名单精细控制可登录用户。
- 避免将用户家目录或匿名根目录设置为 777；按需设置属主与权限，必要时使用 chroot 限制访问范围。
