vsftpd（very secure FTP daemon）是Linux下的一款小巧轻快、安全易用的FTP服务器软件。本教程介绍如何在Linux实例上安装并配置vsftpd。
已创建ECS实例并为实例分配了公网IP地址。若尚未创建，请参见实例创建方式介绍。 FTP（File Transfer Protocol）是一种文件传输协议，基于客户端/服务器架构，支持以下两种工作模式： 主动模式：客户端向FTP服务器发送端口信息，由服务器主动连接该端口。 被动模式：FTP服务器开启并发送端口信息给客户端，由客户端连接该端口，服务器被动接受连接。 说明 大多数FTP客户端都在局域网中，没有独立的公网IP地址，且有防火墙阻拦，主动模式下FTP服务器成功连接到客户端比较困难。因此，如无特殊需求，建议您将FTP服务器配置为被动模式。 FTP支持以下三种认证模式： 匿名用户模式：任何人无需密码验证就可以直接登录到FTP服务器。这种模式最不安全，一般只用来保存不重要的公开文件，不推荐在生产环境中使用。 本地用户模式：通过Linux系统本地账号进行验证的模式，相较于匿名用户模式更安全。 虚拟用户模式：FTP服务器的专有用户。虚拟用户只能访问Linux系统为其提供的FTP服务，而不能访问Linux系统的其他资源，进一步增强了FTP服务器的安全性。 本文主要介绍被动模式下，使用本地用户访问FTP服务器的配置方法。关于匿名模式的配置方式、第三方FTP客户端工具使用方式等介绍，请参见常见问题。 本教程示例步骤使用以下资源版本： 实例规格：ecs.g6.large 操作系统：Ubuntu 22.04 64位 vsftpd：3.0.5 说明 当您使用不同软件版本时，可能需要根据实际情况调整命令和参数配置。 远程连接ECS实例。 具体操作，请参见通过密码或密钥认证登录Linux实例。 运行以下命令，更新 运行以下命令，安装vsftpd。 运行以下命令，查看vsftpd的版本。 出现如下回显信息时，表示vsftpd已安装成功。 运行以下命令，设置FTP服务开机自启动。 运行以下命令，启动FTP服务。 说明 执行该命令时如果提示错误信息 21端口被占用时，使用 网络环境不支持IPv6时，在 MAC地址不匹配时，运行 运行以下命令，查看FTP服务监听的端口。 出现类似如下回显信息，表示FTP服务已启动，监听的端口号为21。 此时，vsftpd默认已开启本地用户模式，您还需要继续进行配置才能正常使用FTP服务。 为保证数据安全，本文主要介绍被动模式下，使用本地用户访问FTP服务器的配置方法。 运行以下命令为FTP服务创建一个Linux用户。本示例中，该用户名为 运行以下命令，修改 根据提示输入密码，并完成二次确认。 说明 为了密码安全，输入的密码默认不显示。 运行以下命令，创建一个供FTP服务使用的文件目录。 本示例以/var/ftp/test为例。 运行以下命令，创建测试文件。 本示例创建测试文件为testfile.txt，该测试文件用于FTP客户端访问FTP服务器时使用。 运行以下命令，更改/var/ftp/test目录的拥有者为ftptest。 修改vsftpd.conf配置文件。 运行以下命令，打开vsftpd的配置文件。 按i，进入编辑模式。 配置FTP服务器为被动模式。 具体的配置参数说明如下，除下面提及的参数，其他参数保持默认值即可。 重要 修改和添加配置文件内的信息时，请注意格式问题。例如，添加多余的空格会造成无法重启服务的结果。 修改下列参数的值： 在行首添加 在配置文件的末尾添加下列参数，其中 更多参数信息，请参见vsftp配置文件及参数说明。 按Esc，退出编辑模式，然后输入:wq并回车以保存并关闭文件。 创建chroot_list文件，并在文件中写入例外用户名单。 重要 没有例外用户时，也必须创建chroot_list文件，内容可为空。 运行以下命令，创建chroot_list文件。 按i，进入编辑模式。 输入例外用户名单。此名单中的用户不会被锁定在主目录，可以访问其他目录。 按Esc退出编辑模式，然后输入:wq并回车以保存并关闭文件。 运行以下命令，重启vsftpd服务。 搭建好FTP站点后，在实例安全组的入方向添加规则并放行下列FTP端口。具体操作，请参见添加安全组规则。 说明 大多数客户端位于局域网中，IP地址是经过转换的，因此ipconfig或ifconfig命令返回的IP不一定是客户端的真实公网IP地址。若后续客户端无法登录FTP服务器，请重新确认其公网IP地址。 被动模式需开放21端口，以及配置文件/etc/vsftpd.conf中参数pasv_min_port和pasv_max_port之间的所有端口。配置详情如下表所示。 规则方向 授权策略 协议类型 端口范围 授权对象 入方向 允许 自定义TCP 21/21 所有要访问FTP服务器的客户端公网IP地址，多个地址之间用逗号隔开。 允许所有客户端访问时，授权对象为0.0.0.0/0。 入方向 允许 自定义TCP 50000/50010 所有要访问FTP服务器的客户端公网IP地址，多个地址之间用逗号隔开。 允许所有客户端访问时，授权对象为0.0.0.0/0。 FTP客户端、Windows命令行工具或浏览器均可用来测试FTP服务器。本文以Windows Server 2012 R2 64位系统的本地主机作为FTP客户端，介绍FTP服务器的访问步骤。 在本地主机中，打开文件管理器。 在地址栏中输入 说明 如果无法访问FTP站点，建议您检查以下几方面： 安全组21端口设置是否正确。具体操作，请参见步骤三：设置安全组。 配置文件vsftpd.conf配置是否正确。具体操作，请参见修改vsftpd.conf配置文件。 本地主机是否有防火墙拦截。 在弹出的登录身份对话框中，输入已设置的FTP用户名和密码，然后单击登录。 登录后，您可以查看到FTP服务器指定目录下的文件，例如：测试文件testfile.txt。前提条件
背景信息
步骤一：安装vsftpd
apt软件包列表。sudo apt update
sudo apt install -y vsftpd
vsftpd -v
sudo systemctl enable vsftpd.service
sudo systemctl start vsftpd.service
Job for vsftpd.service failed because the control process exited with error code，请排查是否存在下述问题。lsof -i:21命令查看是否存在进程，如果存在进程，使用kill -9 <进程号>命令杀掉进程。/etc/vsftpd.conf配置文件中，将listen_ipv6=YES修改为listen_ipv6=NO。ifconfig命令查看MAC地址，并在/etc/sysconfig/network-scripts/ifcfg-xxx配置文件中新增或修改HWADDR=<MAC地址>。sudo netstat -antup | grep ftp
步骤二：配置vsftpd
ftptest。sudo adduser ftptest
ftptest用户的密码。sudo passwd ftptest
sudo mkdir -p /var/ftp/test
sudo touch /var/ftp/test/testfile.txt
sudo chown -R ftptest:ftptest /var/ftp/test
sudo vim /etc/vsftpd.conf
#禁止匿名登录FTP服务器。anonymous_enable=NO#允许本地用户登录FTP服务器。local_enable=YES#监听IPv4 sockets。listen=YES
#注释掉以下参数，关闭监听IPv6 sockets：#listen_ipv6=YES
pasv_address需修改为FTP服务器的公网IP地址。#设置本地用户登录后所在目录。local_root=/var/ftp/test#全部用户被限制在主目录。chroot_local_user=YES#启用例外用户名单。chroot_list_enable=YES#指定例外用户列表文件，列表中用户不被锁定在主目录。chroot_list_file=/etc/chroot_list#开启被动模式。pasv_enable=YES
allow_writeable_chroot=YES#本教程中为Linux实例的公网IP。pasv_address=<FTP服务器公网IP地址>#设置被动模式下，建立数据传输可使用的端口范围的最小值。#建议您把端口范围设置在一段比较高的范围内，例如50000~50010，有助于提高访问FTP服务器的安全性。pasv_min_port=50000#设置被动模式下，建立数据传输可使用的端口范围的最大值。pasv_max_port=50010
sudo vim /etc/chroot_list
sudo systemctl restart vsftpd.service
步骤三：设置安全组
步骤四：客户端测试
ftp://<FTP服务器公网IP地址>:FTP端口，本文中为Linux实例的公网IP地址。例如：ftp://121.43.XX.XX:21。
