linux ftpserver怎么配ssl

下面以 Linux 上常见的 vsftpd（Very Secure FTP Daemon） 为例，说明如何为 FTP 服务器配置 SSL/TLS（FTPS）。如果你用的是 ProFTPD / Pure-FTPd，我也可以另外说明。

一、生成 SSL 证书

方式 1：使用自签证书（测试用）

sudo openssl req -x509 -nodes -days 365 \
-newkey rsa:2048 \
-keyout /etc/ssl/private/vsftpd.key \
-out /etc/ssl/certs/vsftpd.crt

方式 2：使用 Let’s Encrypt（生产推荐）

sudo certbot certonly --standalone -d ftp.example.com

证书路径通常为：

/etc/letsencrypt/live/ftp.example.com/fullchain.pem
/etc/letsencrypt/live/ftp.example.com/privkey.pem

二、配置 vsftpd 支持 SSL

编辑配置文件：

sudo vim /etc/vsftpd.conf

基础 SSL 配置

# 启用 SSL
ssl_enable=YES

# 证书和私钥
rsa_cert_file=/etc/ssl/certs/vsftpd.crt
rsa_private_key_file=/etc/ssl/private/vsftpd.key

# 强制使用 TLS（推荐）
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO

# 允许匿名/本地用户使用 SSL
force_local_logins_ssl=YES
force_local_data_ssl=YES

# 被动模式（云服务器必配）
pasv_enable=YES
pasv_min_port=30000
pasv_max_port=31000

如果是 Let’s Encrypt：

rsa_cert_file=/etc/letsencrypt/live/ftp.example.com/fullchain.pem
rsa_private_key_file=/etc/letsencrypt/live/ftp.example.com/privkey.pem

三、防火墙设置

开放端口

sudo firewall-cmd --add-port=21/tcp --permanent
sudo firewall-cmd --add-port=30000-31000/tcp --permanent
sudo firewall-cmd --reload

Ubuntu（ufw）：

sudo ufw allow 21/tcp
sudo ufw allow 30000:31000/tcp

四、重启 vsftpd

sudo systemctl restart vsftpd
sudo systemctl enable vsftpd

五、客户端连接方式

类型	说明
FTPS（显式）	端口 21，客户端选择 FTP over TLS
FTPS（隐式）	端口 990（需额外配置）
SFTP	不是 FTP，是 SSH（端口 22）

⚠️ FTPS ≠ SFTP

FTPS = FTP + SSL
SFTP = SSH File Transfer

六、常见问题

1. 连接失败（云服务器）

✅ 必须配置 pasv_address=你的公网IP

2. 证书不受信任

自签证书需在客户端手动信任
生产环境用 Let’s Encrypt

3. 日志排查

journalctl -u vsftpd
/var/log/vsftpd.log

如果你告诉我：

使用的 FTP 软件（vsftpd / proftpd / pure-ftpd）
系统（CentOS / Ubuntu / Debian）
是否云服务器

我可以给你更精确的配置示例。