debian ftpserver怎么配ssl

在 Debian 上配置 FTP 服务器的 SSL（通常是 FTPS，即 FTP over SSL/TLS），最常用的是 vsftpd。下面以 vsftpd + Let’s Encrypt / 自签证书 为例说明。

一、安装 vsftpd

sudo apt update
sudo apt install vsftpd

二、生成 SSL 证书

方案 1：使用 Let’s Encrypt（推荐，有域名）

sudo apt install certbot
sudo certbot certonly --standalone -d ftp.example.com

证书路径：

公钥：/etc/letsencrypt/live/ftp.example.com/fullchain.pem
私钥：/etc/letsencrypt/live/ftp.example.com/privkey.pem

方案 2：自签证书（测试用）

sudo openssl req -x509 -nodes -days 365 \
  -newkey rsa:2048 \
  -keyout /etc/ssl/private/vsftpd.key \
  -out /etc/ssl/certs/vsftpd.crt

三、配置 vsftpd 支持 SSL

编辑配置文件：

sudo nano /etc/vsftpd.conf

基础 SSL 配置

# 启用 SSL
ssl_enable=YES

# 证书路径
rsa_cert_file=/etc/ssl/certs/vsftpd.crt
rsa_private_key_file=/etc/ssl/private/vsftpd.key

# 如果使用 Let's Encrypt
# rsa_cert_file=/etc/letsencrypt/live/ftp.example.com/fullchain.pem
# rsa_private_key_file=/etc/letsencrypt/live/ftp.example.com/privkey.pem

# 强制使用 TLS（推荐）
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO

# 允许匿名用户使用 SSL（如不需要可关）
allow_anon_ssl=NO

# 本地用户必须使用 SSL
force_local_data_ssl=YES
force_local_logins_ssl=YES

# 被动模式（云服务器必须）
pasv_enable=YES
pasv_min_port=30000
pasv_max_port=31000

四、防火墙设置

sudo ufw allow 21
sudo ufw allow 30000:31000/tcp

如果是云服务器，还要在安全组放行这些端口。

五、重启 vsftpd

sudo systemctl restart vsftpd
sudo systemctl enable vsftpd

六、客户端连接方式

显式 FTPS：ftp.example.com:21
隐式 FTPS（少用）：端口 990
客户端（FileZilla）选择：
- 协议：FTP
- 加密：要求显式 FTP over TLS

七、常见问题

1. 连接后立刻断开

检查证书路径权限
确保私钥权限：600

sudo chmod 600 /etc/ssl/private/vsftpd.key

2. 被动模式连不上

必须开放 PASV 端口
云服务器需配置公网 IP：

pasv_address=你的公网IP

如果你用的是 ProFTPD / Pure-FTPd，或者想要 SFTP（SSH）而不是 FTPS，也可以告诉我，我可以给你对应方案。