debian ftpserver如何开启ssl

在 Debian 上搭建 FTP 服务器并开启 SSL/TLS（通常称为 FTPS），最常见的是使用 vsftpd。下面以 vsftpd + SSL 为例，说明完整开启步骤。

一、安装 vsftpd

sudo apt update
sudo apt install vsftpd

二、生成 SSL 证书

方式 1：使用自签名证书（测试用）

sudo openssl req -x509 -nodes -days 365 \
  -newkey rsa:2048 \
  -keyout /etc/ssl/private/vsftpd.key \
  -out /etc/ssl/certs/vsftpd.crt

设置权限：

sudo chmod 600 /etc/ssl/private/vsftpd.key

方式 2：使用 Let’s Encrypt（生产推荐）

sudo apt install certbot
sudo certbot certonly --standalone -d ftp.example.com

证书路径一般为：

/etc/letsencrypt/live/ftp.example.com/fullchain.pem
/etc/letsencrypt/live/ftp.example.com/privkey.pem

三、配置 vsftpd 启用 SSL

编辑配置文件：

sudo nano /etc/vsftpd.conf

关键配置如下（按需修改）：

# 启用 SSL
ssl_enable=YES

# 使用 TLS（推荐）
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO

# 证书路径
rsa_cert_file=/etc/ssl/certs/vsftpd.crt
rsa_private_key_file=/etc/ssl/private/vsftpd.key

# 强制使用 SSL（可选）
force_local_logins_ssl=YES
force_local_data_ssl=YES

# 允许匿名用户使用 SSL（如不需要可关闭）
# allow_anon_ssl=NO

# 被动模式（云服务器必须）
pasv_enable=YES
pasv_min_port=40000
pasv_max_port=50000

如果使用 Let’s Encrypt：

rsa_cert_file=/etc/letsencrypt/live/ftp.example.com/fullchain.pem
rsa_private_key_file=/etc/letsencrypt/live/ftp.example.com/privkey.pem

四、重启 vsftpd

sudo systemctl restart vsftpd
sudo systemctl enable vsftpd

五、防火墙设置

sudo ufw allow 21
sudo ufw allow 40000:50000/tcp

云服务器还需在 安全组 放行 21 和被动端口范围。

六、客户端连接方式

显式 FTPS：ftp://your_server_ip（端口 21）
隐式 FTPS：端口 990（需额外配置 listen_port=990）

FileZilla 示例：

协议：FTP
加密：要求显式 FTP over TLS
端口：21

七、常见问题

1. 连接失败

检查防火墙
检查被动端口
查看日志：sudo tail -f /var/log/vsftpd.log

2. 证书不受信任

自签名证书客户端会报警
生产环境使用 Let’s Encrypt

如果你用的是 ProFTPD 或 Pure-FTPd，或者需要 SFTP（SSH） 而不是 FTPS，也可以告诉我。