核心结论与概念澄清
- VSFTPD 是运行在 Linux/Unix 上的 FTP 服务器软件（Very Secure FTP Daemon），负责提供 FTP/SFTP/FTPS 等文件传输服务；FTPES 是 显式 SSL/TLS 加密的 FTP（Explicit FTPS），属于传输层安全方案。两者不在同一维度：一个是“服务器软件”，一个是“加密方式”。在安全合规要求下，应使用 FTPES（或 SFTP）；若仅比较“明文 FTP”与“FTPES”，显然后者更优。
关键差异对比
| 维度 |
VSFTPD（软件） |
FTPES（协议） |
| 本质 |
FTP 服务器程序（支持 FTP/SFTP/FTPS 等能力，取决于配置与编译） |
FTP 的安全扩展，通过显式 TLS/SSL 加密控制与数据通道 |
| 加密与认证 |
可启用 SSL/TLS（即 FTPES/FTPS）；支持证书认证 |
强制 TLS/SSL；支持证书与用户名/口令 |
| 端口与连接 |
明文 FTP：控制 21/TCP，数据 20/TCP；被动模式需开放一段高位端口范围 |
显式：控制 990/TCP（AUTH TLS 后升级），数据端口由客户端在 PASV 响应中获取；被动模式同样需开放高位端口范围 |
| 防火墙/NAT 友好性 |
被动模式更利于穿越防火墙；主动模式常因客户端侧入站限制失败 |
同左（加密发生在应用层，通道行为与 FTP 一致） |
| 兼容性 |
客户端需支持 AUTH TLS 才能使用 FTPES |
需支持显式 TLS 的客户端（如 FileZilla、WinSCP 等） |
| 典型场景 |
内网可信环境可用明文 FTP；公网/合规环境建议启用 FTPES |
公网、合规、跨公网传输、需要加密审计的场景 |
说明：FTP 的 PORT/PASV 机制与端口分配规则在两种情形下一致；FTPES 只是在建立控制通道后通过 AUTH TLS 显式升级为加密通道。
如何选择
- 需要加密与合规（如传输敏感数据、跨公网、审计要求）：优先选择 FTPES（显式 FTPS）；在 Linux 上可用 VSFTPD 启用 FTPES 实现。若环境支持 SSH，也可选 SFTP（基于 SSH，端口 22/TCP，部署与穿透更简单）。
- 仅内网、可信网络且对加密无要求：可使用明文 FTP 搭配 VSFTPD，并务必使用 PASV 模式 与严格的访问控制。
- 客户端兼容性优先：选择 FTPES 时，确保客户端明确支持显式 TLS（AUTH TLS）。
快速启用 FTPES 的要点（基于 VSFTPD）
- 准备证书（自签或 CA 签发）：例如生成 /etc/pki/tls/certs/localhost.crt 与 /etc/pki/tls/private/localhost.key。
- 配置 vsftpd（/etc/vsftpd/vsftpd.conf）启用加密与强制策略：
- ssl_enable=YES
- allow_anon_ssl=NO
- force_local_data_ssl=YES
- force_local_logins_ssl=YES
- ssl_tlsv1=YES（禁用 sslv2/sslv3）
- rsa_cert_file=/etc/pki/tls/certs/localhost.crt
- rsa_private_key_file=/etc/pki/tls/private/localhost.key
- 防火墙放行：控制通道 21/TCP 与 990/TCP；被动端口范围（如 3000–3010/TCP）需固定并放行。
- 客户端连接：使用支持 FTPES/显式 TLS 的客户端，连接后执行 AUTH TLS 再登录。
