Debian FTP Server 日志查看与排查
一、快速定位日志文件
- 常见 FTP 服务与默认日志路径如下（Debian 常见为 vsftpd）：
- vsftpd：日志通常在 /var/log/vsftpd.log；若启用了传输日志，还会写入 /var/log/xferlog。
- ProFTPD：常见为 /var/log/proftpd/ 下的 access.log、error.log 或 proftpd.log。
- Pure-FTPd：常见为 /var/log/pure-ftpd/ 下的 pure-ftpd.log。
- 不确定路径时，可在配置文件中搜索关键字（如“logfile”“TransferLog”“ErrorLog”）：
- grep -i logfile /etc/vsftpd/vsftpd.conf
- grep -i “TransferLog|ErrorLog” /etc/proftpd/proftpd.conf
- 也可通过 systemd 查看服务日志：journalctl -u vsftpd（服务名替换为 proftpd/pure-ftpd 等）。
二、常用查看与分析命令
- 实时查看最新日志：tail -f /var/log/vsftpd.log（按 Ctrl+C 退出）。
- 分页查看：less /var/log/vsftpd.log（支持 /关键词 搜索、方向键翻页）。
- 查看最近 N 行：tail -n 50 /var/log/vsftpd.log。
- 过滤特定用户：grep ‘username’ /var/log/vsftpd.log。
- 统计某用户出现次数：awk ‘/user1/ {count++} END {print count}’ /var/log/vsftpd.log。
- 查找失败登录尝试：grep -E ‘Failed password|Login incorrect’ /var/log/vsftpd.log。
- 按时间段筛选（示例：2025-11-16 的日志，需按日志实际时间格式调整正则）：
- awk ‘/Nov 16 [0-9]{2}:[0-9]{2}:[0-9]{2}/ {print $0}’ /var/log/vsftpd.log
- 仅查看传输相关记录：tail -f /var/log/xferlog（若已启用 xferlog）。
三、服务状态与系统日志联动排查
- 查看服务是否运行：systemctl status vsftpd；未运行可启动：systemctl start vsftpd。
- 查看服务日志（含启动失败、运行报错等）：journalctl -u vsftpd；按时间范围过滤：journalctl -u vsftpd --since “2025-11-16 00:00:00” --until “2025-11-16 23:59:59”。
- 登录认证类问题可联动系统认证日志：grep -i ftp /var/log/auth.log（vsftpd 常将认证事件写入 auth.log）。
四、日志未生成或需要更详细输出时的配置
- vsftpd 启用与自定义日志（编辑 /etc/vsftpd.conf）：
- 启用传输日志：xferlog_enable=YES
- 指定传输日志文件：xferlog_file=/var/log/xferlog
- 使用标准 xferlog 格式：xferlog_std_format=YES
- 如需会话日志，可设置：log_ftp_protocol=YES（将显著增加日志量）
- 修改后重启服务：systemctl restart vsftpd
- 日志轮转（避免日志过大，创建 /etc/logrotate.d/vsftpd）：
- /var/log/vsftpd.log {
daily
missingok
rotate 7
compress
notifempty
create 640 root adm
}
- 安全加固（可选）：使用 fail2ban 监控日志并封禁暴力破解 IP（/etc/fail2ban/jail.local 中添加 [vsftpd] 段，设置 enabled、logpath、maxretry、bantime，重启 fail2ban）。
