vsftp与Ubuntu防火墙如何设置

一、安装与配置VSFTPD

1. 安装VSFTPD

在Ubuntu上安装VSFTPD（Very Secure FTP Daemon），使用以下命令更新软件包列表并安装：

sudo apt update
sudo apt install vsftpd

2. 配置VSFTPD

编辑VSFTPD的主配置文件/etc/vsftpd.conf（使用nano或vim等编辑器）：

sudo nano /etc/vsftpd.conf

根据需求调整以下关键配置（常见选项说明）：

• 基础配置：
  listen=YES：启用独立监听模式（替代xinetd）；
  listen_ipv6=NO：禁用IPv6（若无需IPv6支持）；
  anonymous_enable=NO：禁止匿名用户登录（提升安全性）；
  local_enable=YES：允许本地系统用户登录；
  write_enable=YES：允许用户上传/修改文件；
  chroot_local_user=YES：将本地用户限制在其主目录（防止越权访问）；
  allow_writeable_chroot=YES：允许chroot目录可写（若用户主目录需写入文件）。
• 被动模式配置（可选，推荐用于大多数场景）：
  pasv_enable=YES：启用被动模式（解决主动模式下的防火墙穿透问题）；
  pasv_min_port=50000：设置被动模式最小端口（建议取值50000+）；
  pasv_max_port=50100：设置被动模式最大端口（与最小端口间隔足够，避免端口冲突）。

配置完成后，保存文件并退出编辑器。

3. 重启VSFTPD服务

使配置生效，重启VSFTPD服务：

sudo systemctl restart vsftpd
# 设置开机自启（可选但推荐）
sudo systemctl enable vsftpd

二、Ubuntu防火墙（UFW）设置

1. 启用UFW防火墙

若未安装UFW，先安装：

sudo apt install ufw

启用防火墙（默认拒绝所有入站连接，允许所有出站连接）：

sudo ufw enable

2. 允许FTP相关端口

VSFTPD需要开放控制连接端口（21/tcp）和数据连接端口（主动模式20/tcp、被动模式动态范围）：

• 基础端口（主动模式必需）：

  sudo ufw allow 21/tcp    # FTP控制连接
  sudo ufw allow 20/tcp    # FTP数据连接（主动模式）
  

• 被动模式端口范围（推荐）：
  根据vsftpd.conf中的pasv_min_port和pasv_max_port设置，开放对应的动态端口范围（如50000-50100）：

  sudo ufw allow 50000:50100/tcp  # 被动模式端口范围
  

3. 重新加载防火墙规则

应用新的防火墙规则：

sudo ufw reload

4. 验证防火墙状态

检查规则是否生效，确保FTP端口已开放：

sudo ufw status

预期输出示例：

Status: active

To                         Action      From
--                         ------      ----
21/tcp                     ALLOW       Anywhere
50000:50100/tcp            ALLOW       Anywhere
21/tcp (v6)                ALLOW       Anywhere (v6)
50000:50100/tcp (v6)       ALLOW       Anywhere (v6)

三、测试FTP连接

使用FTP客户端（如FileZilla或命令行ftp）测试连接：

• 命令行测试：

  ftp localhost
  

  输入本地用户名和密码，验证是否能正常登录及传输文件（上传/下载）。
• 图形客户端测试：
  配置FileZilla等客户端的“主机”为服务器IP、“端口”为21、“协议”为FTP、“加密”为“需要显式FTP over TLS”（若启用FTPS），登录后测试文件操作。

注意事项

• 被动模式必要性：若客户端位于防火墙或NAT后，必须启用被动模式（pasv_enable=YES）并开放对应端口范围，否则无法正常下载文件。
• 端口范围选择：被动模式端口范围应避开系统常用端口（如1-1023），建议选择50000-51000之间的范围，避免与其他服务冲突。
• SELinux（可选）：若系统启用SELinux，需额外配置SELinux策略（如setsebool -P ftpd_full_access on），但Ubuntu默认使用AppArmor，无需此步骤。
• 日志排查：若连接失败，可通过sudo tail -f /var/log/vsftpd.log查看VSFTPD日志，定位问题根源（如端口未开放、配置错误）。