华为云Linux云服务器搭建FTP站点：从零到生产级部署完全指南

apphuang2026年07月11日 20:51:178

文件传输协议FTP作为一种经典的文件传输方式，在众多企业运维场景中仍然占据着不可替代的位置。无论是网站资源的上传更新、数据备份的异地存放，还是跨团队的文件协作共享，一个稳定可靠的FTP服务都是基础设施中不可或缺的组成部分。在华为云Linux云服务器上搭建FTP站点，不仅能够充分利用云计算的弹性伸缩和按需付费优势，更能够借助华为云强大的安全防护体系，构建一个安全可控的文件传输通道。

vsftpd全称very secure FTP daemon，是Linux下一款开源、快速、轻量级的FTP服务器软件。凭借极高的安全性和稳定性，vsftpd成为各大Linux发行版中最广泛使用的FTP服务器解决方案。本文将以vsftpd为核心，从零开始，逐步讲解在华为云Linux云服务器上搭建FTP站点的完整流程。

需要先登录华为云控制台，点击：华为云控制台，还没有账号，点击：注册并关联，已有账号点击：登录后关联

一、云服务器环境准备

在华为云上搭建FTP站点，首先需要拥有一台正在运行的弹性云服务器ECS。具体涉及创建Linux弹性云服务器用于搭建FTP站点环境，并为其绑定弹性公网IP以便提供公网访问能力。

1.1 ECS实例选购建议

进入华为云控制台的弹性云服务器ECS页面，可以查看已有实例或购买新实例。操作系统方面，建议选择CentOS 7.x/8.x、Huawei Cloud EulerOS 2.0或Ubuntu 20.04/22.04等主流发行版。服务器需绑定弹性公网IP，并设置好root密码或密钥对。

关于实例规格，FTP服务本身对资源消耗较低，vsftpd进程内存占用通常低于50MB。如果是轻量级使用场景，1核2GB的配置即可满足需求；如果是企业级大规模文件传输场景，建议选择2核4GB及以上的配置，并搭配SSD云硬盘以提升磁盘I/O性能。

1.2 安全组规则配置

安全组是华为云网络安全防护的重要基础，安全组默认拒绝所有来自外部的请求。FTP协议默认使用TCP端口中的20和21这两个端口，其中21端口用于传输控制信息，20端口用于主动模式下的数据传输。

在华为云安全组中需要放行以下入方向端口规则：

方向：入方向
优先级：1
策略：允许
协议端口：TCP:21（控制端口）
协议端口：TCP:20（主动模式数据端口，如使用主动模式）
源地址：0.0.0.0/0 或 指定IP网段

如果采用被动模式（生产环境强烈推荐使用），除了21端口外，还需要放行一段用于被动模式数据传输的端口范围。例如在/etc/vsftpd/vsftpd.conf中设置pasv_min_port和pasv_max_port参数所指定的端口区间。

安全组规则中源地址设置为0.0.0.0/0表示允许所有外部IP地址访问，存在一定的安全风险，建议将源IP设置为已知的IP地址段或特定IP。

1.3 登录服务器

完成安全组配置后，通过SSH登录Linux云服务器：

ssh root@弹性公网IP地址

输入密码后即可进入服务器命令行环境，开始后续的FTP服务搭建工作。

二、安装vsftpd软件并启动服务

2.1 安装vsftpd

vsftpd（Very Secure FTP Daemon）是一个开源、快速、轻量级的FTP服务器软件，是在GPL下发布的，具有极高的安全性和稳定性，是Linux系统中使用最广泛的FTP服务器软件之一。

对于CentOS/RHEL系列系统，使用yum包管理器安装：

yum install -y vsftpd

对于Huawei Cloud EulerOS系统，使用dnf包管理器安装：

dnf install vsftpd -y

对于Ubuntu/Debian系列系统，使用apt包管理器安装：

apt-get update
apt-get install vsftpd -y

2.2 启动FTP服务并设置开机自启

安装完成后，启动vsftpd服务并设置开机自启动：

systemctl start vsftpd
systemctl enable vsftpd

2.3 查看服务状态

执行以下命令查看服务状态，如果显示active (running)则表示启动成功：

systemctl status vsftpd

也可以查看FTP服务端口监听情况：

netstat -antup | grep ftp

三、vsftpd基础配置

vsftpd安装后默认开启了匿名FTP的功能，使用匿名FTP，用户无需输入用户名密码即可登录FTP服务器，但没有权限修改或上传文件。用户如果试图使用Linux操作系统中的账号登录服务器，将会被vsftpd拒绝，但可以在vsftpd里配置用户账号和密码登录。

vsftpd的主配置文件位于/etc/vsftpd/vsftpd.conf。在进行任何配置修改之前，建议先备份原始配置文件：

cp /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf.bak

3.1 创建FTP本地用户

以下操作以在vsftpd里配置用户账号和密码登录FTP服务器为例。执行以下命令创建FTP用户，并按照提示设置密码：

useradd ftpadmin
passwd ftpadmin

也可以创建一个专门用于FTP服务的系统用户，并禁用其shell登录权限：

useradd vsftpd -s /bin/false

3.2 创建FTP文件目录

执行以下命令创建供FTP使用的文件目录：

mkdir -p /var/ftp/work01
touch /var/ftp/work01/test.txt

将创建的文件目录所有者改为用于登录FTP的本地用户：

chown -R ftpadmin:ftpadmin /var/ftp/work01

3.3 修改vsftpd.conf配置文件

执行以下命令打开配置文件：

vi /etc/vsftpd/vsftpd.conf

基础配置参数如下：

# 不允许匿名登录FTP服务器
anonymous_enable=NO

# 允许本地用户登录FTP服务器
local_enable=YES

# 指定FTP本地用户使用的文件目录
local_root=/var/ftp/work01

# 所有用户都被限制在其主目录
chroot_local_user=YES

# 启用例外用户名单
chroot_list_enable=YES

# 例外用户名单文件路径
chroot_list_file=/etc/vsftpd/chroot_list

配置完成后，需要创建chroot_list文件：

touch /etc/vsftpd/chroot_list

如果遇到"500 OOPS: vsftpd: refusing to run with writable root inside chroot()"错误，需要在配置文件末尾增加以下配置：

allow_writeable_chroot=YES

3.4 重启vsftpd服务使配置生效

systemctl restart vsftpd

四、被动模式配置

FTP协议有主动模式和被动模式两种工作方式。主动模式由服务器主动使用20端口连接客户端，但因为要访问客户端高位端口，容易被客户端防火墙拦截。被动模式则由客户端访问服务器，服务器开放一段高位端口供客户端连接。

如果华为云上的服务器需要通过公网IP地址访问华为云上的实例搭建的FTP服务器时，需要将FTP服务器配置为被动模式。这是因为华为云ECS位于NAT网络环境中，主动模式无法正常工作。

4.1 被动模式配置参数

在/etc/vsftpd/vsftpd.conf中添加或修改以下配置：

# 启用被动模式
pasv_enable=YES

# 设置被动模式端口范围
pasv_min_port=30000
pasv_max_port=31000

# 设置公网IP地址（重要！）
pasv_address=你的弹性公网IP

pasv_min_port和pasv_max_port定义了被动模式下FTP服务器开放的数据端口范围。这个端口范围需要在华为云安全组中一并放行。

4.2 安全组放行被动模式端口

在华为云安全组中，需要添加入方向规则放行30000-31000端口范围（TCP协议）。这个端口范围应该与vsftpd.conf中配置的pasv_min_port和pasv_max_port保持一致。

安全组规则配置示例：

方向：入方向
策略：允许
协议端口：TCP:30000-31000
源地址：0.0.0.0/0 或 指定IP段

五、虚拟用户配置

vsftpd支持虚拟用户，可以通过虚拟用户来限制FTP用户的访问权限。虚拟用户不依赖系统账户，具有更高的安全性和更好的管理灵活性。

5.1 创建虚拟用户映射账号

首先创建一个系统用户作为虚拟用户的映射账号，用于访问系统资源，但不能登录系统：

useradd vsftpd -s /bin/false

5.2 创建虚拟用户数据库文件

创建虚拟用户数据库文件并添加虚拟用户信息：

touch /etc/vsftpd/virtual_users.txt

编辑该文件，每行一个用户，奇数行为用户名，偶数行为密码：

user1
password1
user2
password2

5.3 生成虚拟用户数据库

使用db_load命令将文本格式的虚拟用户文件转换为db数据库格式：

db_load -T -t hash -f /etc/vsftpd/virtual_users.txt /etc/vsftpd/virtual_users.db

5.4 配置PAM认证

编辑/etc/pam.d/vsftpd文件，配置使用虚拟用户数据库进行认证：

auth required pam_userdb.so db=/etc/vsftpd/virtual_users
account required pam_userdb.so db=/etc/vsftpd/virtual_users

5.5 修改vsftpd.conf启用虚拟用户

在配置文件中添加以下参数：

# 启用虚拟用户
guest_enable=YES

# 虚拟用户映射的系统用户
guest_username=vsftpd

# 虚拟用户使用本地用户权限
virtual_use_local_privs=YES

# 虚拟用户主目录
local_root=/home/vsftpd

# 指定PAM服务名称
pam_service_name=vsftpd

5.6 重启服务

systemctl restart vsftpd

六、SSL/TLS加密配置

传统的FTP协议以明文方式传输数据，包括用户名和密码在内的所有信息都暴露在网络中，存在严重的安全隐患。在生产环境中，强烈建议启用SSL/TLS加密，将FTP升级为FTPS（FTP over SSL/TLS）。

6.1 安装OpenSSL

确保系统已安装OpenSSL工具：

CentOS/RHEL：

yum install -y openssl

Ubuntu/Debian：

apt-get install -y openssl

6.2 生成SSL证书

使用OpenSSL生成自签名证书和私钥：

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
-keyout /etc/ssl/private/vsftpd.pem \
-out /etc/ssl/certs/vsftpd.pem

执行命令后，按照提示填写国家、省份、城市、组织、域名等信息。证书和私钥合并为一个PEM文件，便于管理。

设置私钥权限为600（仅root可读写），证书设置为可读：

chmod 600 /etc/ssl/private/vsftpd.pem
chmod 644 /etc/ssl/certs/vsftpd.pem

6.3 配置vsftpd启用SSL/TLS

在/etc/vsftpd/vsftpd.conf中添加或修改以下配置：

# 启用SSL
ssl_enable=YES

# 强制数据传输使用SSL
force_local_data_ssl=YES

# 强制登录使用SSL
force_local_logins_ssl=YES

# 禁用SSLv2和SSLv3（不安全）
ssl_sslv2=NO
ssl_sslv3=NO

# 启用TLSv1
ssl_tlsv1=YES

# 加密套件
ssl_ciphers=HIGH

# 证书和私钥路径
rsa_cert_file=/etc/ssl/certs/vsftpd.pem
rsa_private_key_file=/etc/ssl/private/vsftpd.pem

# 禁止匿名用户使用SSL
allow_anon_ssl=NO

# 部分客户端兼容性设置
require_ssl_reuse=NO

注意：部分教程使用布尔值TRUE/FALSE，而常见发行版示例多用YES/NO；若启动报错，请统一为发行版示例所用写法。

6.4 防火墙放行FTPS端口

显式FTPS（FTPES）控制通道端口为21/tcp，隐式FTPS端口为990/tcp。被动模式仍需开放高位端口范围。

UFW防火墙配置示例：

ufw allow 21/tcp
ufw allow 990/tcp
ufw allow 30000:31000/tcp

firewalld防火墙配置示例：

firewall-cmd --permanent --add-service=ftp
firewall-cmd --permanent --add-service=ftps
firewall-cmd --permanent --add-port=30000-31000/tcp
firewall-cmd --reload

6.5 重启服务

systemctl restart vsftpd
systemctl enable vsftpd

七、日志审计配置

对于生产环境的FTP服务，日志审计是必不可少的一环。通过日志可以追踪用户操作、排查问题、进行安全审计。

7.1 启用vsftpd日志

在/etc/vsftpd/vsftpd.conf中添加以下配置：

# 启用上传下载日志
xferlog_enable=YES

# 日志文件路径
xferlog_file=/var/log/vsftpd.log

# 使用标准日志格式
xferlog_std_format=YES

# 启用详细日志
log_ftp_protocol=YES

# 会话日志
vsftpd_log_file=/var/log/vsftpd_session.log

7.2 日志轮转配置

为防止日志文件无限增长，可以配置logrotate进行日志轮转。创建/etc/logrotate.d/vsftpd文件：

/var/log/vsftpd.log {
    weekly
    rotate 52
    compress
    missingok
    notifempty
    create 0644 root root
    postrotate
        /bin/systemctl reload vsftpd > /dev/null 2>&1 || true
    endscript
}

八、性能调优

对于高并发或大文件传输场景，合理的性能调优至关重要。

8.1 并发连接控制

在/etc/vsftpd/vsftpd.conf中配置：

# 最大并发客户端连接数
max_clients=200

# 每个IP地址最大连接数
max_per_ip=5

# 每个用户最大带宽（字节/秒），0表示不限制
local_max_rate=0

8.2 超时参数优化

# 数据连接超时（秒）
data_connection_timeout=120

# 空闲会话超时（秒）
idle_session_timeout=600

# 登录超时（秒）
connect_timeout=60

8.3 内核参数优化

编辑/etc/sysctl.conf，调整以下TCP内核参数：

# 增大连接队列长度
net.core.somaxconn=65535

# 增大接收缓冲区
net.core.rmem_max=16777216

# 增大发送缓冲区
net.core.wmem_max=16777216

# TCP接收缓冲区
net.ipv4.tcp_rmem=4096 87380 16777216

# TCP发送缓冲区
net.ipv4.tcp_wmem=4096 65536 16777216

使内核参数生效：

sysctl -p

九、安全加固最佳实践

9.1 禁用匿名访问

除非有特殊需求，否则应始终禁用匿名FTP访问：

anonymous_enable=NO

9.2 限制用户目录

使用chroot将用户禁锢在自己的主目录中，防止用户访问系统其他目录：

chroot_local_user=YES
allow_writeable_chroot=YES

9.3 IP访问控制

可以通过/etc/hosts.allow和/etc/hosts.deny控制FTP访问：

/etc/hosts.allow：

vsftpd: 192.168.1.0/24
vsftpd: 10.0.0.0/8

/etc/hosts.deny：

vsftpd: ALL

9.4 使用非默认端口

将FTP服务迁移到非标准端口可以降低被扫描攻击的风险：

listen_port=10021

相应地，安全组需要放行修改后的端口。

9.5 定期更新软件

定期更新vsftpd和操作系统以修复已知安全漏洞：

CentOS/RHEL：

yum update vsftpd -y

Ubuntu/Debian：

apt-get upgrade vsftpd -y

十、客户端连接与验证

10.1 命令行FTP客户端测试

使用Linux自带的ftp命令测试连接：

ftp 弹性公网IP地址

输入用户名和密码后，可以执行ls、cd、get、put等命令进行文件操作。

10.2 浏览器访问

在浏览器地址栏输入：

ftp://FTP服务器IP地址:端口

如果不填端口则默认访问21端口。弹出输入用户名和密码的对话框表示配置成功，正确输入用户名和密码后，即可对FTP文件进行相应权限的操作。

10.3 FTP客户端工具

生产环境中推荐使用专业的FTP客户端工具，如FileZilla、WinSCP等。这些工具支持FTPS加密连接，能够更好地保障数据传输安全。

连接时需注意：

显式SSL/TLS（FTPES）：选择FTP over explicit TLS/SSL，端口21
隐式SSL/TLS（FTPS）：端口990，客户端需支持隐式模式

十一、常见问题排查

11.1 公网无法访问FTP服务

如果华为云上的服务器需要通过公网IP地址访问FTP服务器，需要配置被动模式。同时检查安全组是否放行了21端口和被动模式端口范围。

11.2 防火墙拦截FTP连接

ECS的防火墙可能阻止FTP进程。需要启用FTP防火墙支持，并在防火墙中开放21端口和被动模式端口范围。

11.3 chroot目录可写错误

如果遇到"500 OOPS: vsftpd: refusing to run with writable root inside chroot()"错误，在配置文件末尾添加：

allow_writeable_chroot=YES

11.4 被动模式连接失败

检查vsftpd.conf中是否正确配置了pasv_address为弹性公网IP。当FTP服务器启用了NAT时，客户端必须使用被动模式连接，需要在服务器上添加公网IP到公网IP地址列表。

11.5 文件上传权限问题

确保FTP用户对目标目录具有写权限：

chown -R ftpadmin:ftpadmin /var/ftp/work01
chmod -R 755 /var/ftp/work01

十二、总结

本文详细介绍了在华为云Linux云服务器上使用vsftpd搭建FTP站点的完整流程，涵盖从环境准备、软件安装、基础配置、被动模式设置、虚拟用户配置、SSL/TLS加密部署、日志审计、性能调优到安全加固的全方位内容。通过遵循本文的指导，读者可以在华为云上快速构建一个安全、稳定、高性能的FTP文件传输服务。

在实际生产环境中，建议根据业务需求灵活调整配置参数，并持续关注安全更新和性能优化。FTP作为经典的文件传输协议，在与云计算的结合中焕发出新的活力，而vsftpd凭借其轻量、安全、高效的特点，仍然是Linux平台上搭建FTP服务的不二之选。

常见问题解答

问1：华为云Linux云服务器搭建FTP站点需要开放哪些端口？
答：至少需要开放21端口（控制端口）。如果使用主动模式，还需开放20端口；如果使用被动模式（推荐），还需开放vsftpd.conf中pasv_min_port和pasv_max_port之间定义的一段端口范围，例如30000-31000。所有端口都需在华为云安全组中配置入方向规则。

问2：vsftpd的本地用户和虚拟用户有什么区别？
答：本地用户是Linux系统账户，拥有系统登录权限（除非设置为/sbin/false），管理相对简单但安全性较低。虚拟用户不依赖系统账户，所有用户信息存储在独立的数据库中，与系统用户隔离，安全性更高，更适合多用户场景下的权限管理。

问3：为什么华为云ECS上的FTP服务必须使用被动模式？
答：华为云ECS位于NAT网络环境中，主动模式下FTP服务器尝试主动连接客户端的高位端口，但由于NAT的存在，服务器无法直接访问客户端，导致数据传输失败。被动模式由客户端主动连接服务器开放的端口，可以正常穿透NAT，因此华为云ECS上的FTP服务必须配置为被动模式。

问4：如何为vsftpd启用SSL/TLS加密？
答：首先使用OpenSSL生成自签名证书和私钥，然后在vsftpd.conf中设置ssl_enable=YES、force_local_data_ssl=YES、force_local_logins_ssl=YES，并指定证书和私钥路径。最后在防火墙中放行相关端口（21/tcp和990/tcp），重启vsftpd服务即可。客户端需要使用FTPS协议连接。

问5：vsftpd服务启动失败如何排查？
答：首先使用systemctl status vsftpd查看详细错误信息。常见原因包括：配置文件语法错误（检查vsftpd.conf是否有拼写错误或非法参数）、端口被占用（使用netstat -tlnp查看21端口是否被占用）、chroot目录配置错误（检查allow_writeable_chroot设置）、证书文件路径错误或权限不足等。

问6：如何限制FTP用户的访问目录？
答：使用chroot功能可以将用户禁锢在其主目录中。在vsftpd.conf中设置chroot_local_user=YES可限制所有本地用户只能访问其主目录。如需设置例外用户，可同时设置chroot_list_enable=YES和chroot_list_file=/etc/vsftpd/chroot_list，将例外用户写入该文件。注意如果chroot目录可写，需要设置allow_writeable_chroot=YES。