Ubuntu FTPServer SSL证书安装

Ubuntu 上 FTPS 服务器安装与配置 SSL 证书

一 准备与证书获取

• 安装 vsftpd 与 OpenSSL
  • 执行：sudo apt update && sudo apt install vsftpd openssl
• 获取 SSL 证书（两种常见方式）
  • Let’s Encrypt 证书（推荐用于公网）
    • 安装 Certbot：sudo apt install certbot python3-certbot-nginx
    • 申请证书：sudo certbot certonly --standalone -d yourdomain.com
    • 证书路径：/etc/letsencrypt/live/yourdomain.com/fullchain.pem（证书链）与 /etc/letsencrypt/live/yourdomain.com/privkey.pem（私钥）
  • 自签名证书（测试或内网）
    • 生成命令：sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem
    • 证书与私钥合并在同一文件，便于 vsftpd 使用

二 配置 vsftpd 启用 SSL/TLS

• 备份配置：sudo cp /etc/vsftpd.conf /etc/vsftpd.conf.orig
• 编辑配置：sudo nano /etc/vsftpd.conf，确保包含以下关键项（按需调整）
  • 基础启用
    • ssl_enable=YES
    • allow_anon_ssl=NO
    • force_local_logins_ssl=YES
    • force_local_data_ssl=YES
  • 协议与套件
    • ssl_tlsv1=YES
    • ssl_sslv2=NO
    • ssl_sslv3=NO
    • ssl_ciphers=HIGH
  • 证书路径（按你的证书来源二选一）
    • Let’s Encrypt：
      • rsa_cert_file=/etc/letsencrypt/live/yourdomain.com/fullchain.pem
      • rsa_private_key_file=/etc/letsencrypt/live/yourdomain.com/privkey.pem
    • 自签名：
      • rsa_cert_file=/etc/ssl/private/vsftpd.pem
      • rsa_private_key_file=/etc/ssl/private/vsftpd.pem
  • 其他常用安全项（可选但推荐）
    • anonymous_enable=NO
    • local_enable=YES
    • write_enable=YES
    • chroot_local_user=YES
    • allow_writeable_chroot=NO
    • xferlog_enable=YES
• 重启服务：sudo systemctl restart vsftpd
• 设置开机自启：sudo systemctl enable vsftpd

三 防火墙与被动模式端口

• UFW 放行端口
  • 控制通道：sudo ufw allow 21/tcp
  • 显式 TLS 控制通道：sudo ufw allow 990/tcp
  • 被动模式数据端口范围（示例）：sudo ufw allow 40000:50000/tcp
  • 应用规则：sudo ufw reload
• 云服务器安全组
  • 同样放行上述端口（21、990、40000–50000）
• vsftpd 被动模式（建议配置）
  • 在 /etc/vsftpd.conf 增加：
    • pasv_enable=YES
    • pasv_min_port=40000
    • pasv_max_port=50000
    • pasv_address=YOUR_SERVER_PUBLIC_IP（NAT/云主机建议填写公网 IP）

四 客户端连接与验证

• FileZilla 连接
  • 协议选择：FTP – FTPS（显式 TLS）
  • 主机：你的域名或服务器 IP
  • 端口：990
  • 登录类型：正常（用户名/密码）
  • 首次连接若使用自签名证书，需确认并信任
• 命令行验证（可选）
  • 使用支持 TLS 的客户端（如 lftp）：lftp -u youruser,yourpass ftps://yourdomain.com:990
• 证书有效期提醒
  • Let’s Encrypt 证书默认有效期 90 天，建议配置自动续期：sudo certbot renew --dry-run 测试，加入定时任务自动续期

五 常见问题与排查

• 无法建立数据连接
  • 检查被动端口范围（如 40000–50000）已在防火墙与安全组放行
  • 确认 pasv_address 与公网出口 IP 一致（NAT 环境）
• vsftpd 启动失败
  • 检查证书路径与权限：ls -l /etc/letsencrypt/live/yourdomain.com/、/etc/ssl/private/vsftpd.pem
  • 查看日志：sudo journalctl -u vsftpd -xe
• 客户端报证书不受信任
  • 自签名证书属正常；生产环境建议使用 Let’s Encrypt 或企业 CA 并在客户端导入根证书
• 需要更简单的替代方案
  • 若不需要 FTP 协议，可改用 SFTP（基于 SSH）：sudo apt install openssh-server，默认端口 22，用户使用 SFTP 客户端连接即可，免配 SSL 证书