VSFTP在CentOS上的端口设置
一、修改控制连接端口
- 编辑配置文件：/etc/vsftpd/vsftpd.conf，设置控制通道监听端口（默认端口为21）。示例将端口改为8021：
- 添加或修改：listen_port=8021
- 建议同时明确：listen=YES、listen_ipv6=NO（避免与IPv6监听冲突）
- 如希望系统服务名也反映新端口，可编辑/etc/services，将 ftp 行改为：ftp 8021/tcp 与 ftp 8021/udp（可选，部分客户端会据此识别服务）
- 重启服务：systemctl restart vsftpd
- 注意：若新端口与系统已有服务冲突（如已被 SSH 占用），请更换为未占用端口。
二、配置被动模式端口范围
- 在 vsftpd.conf 中开启并限定被动模式端口范围（建议选择大于1024的一段连续端口，便于防火墙放行）：
- pasv_enable=YES
- pasv_min_port=40000
- pasv_max_port=40100
- 重启服务：systemctl restart vsftpd
- 说明：被动模式数据连接将仅使用上述范围内的端口，便于精确放行与审计。
三、防火墙放行端口
- firewalld（CentOS 7+ 常用）
- 放行控制端口：firewall-cmd --permanent --add-port=8021/tcp
- 放行被动端口范围：firewall-cmd --permanent --add-port=40000-40100/tcp
- 使配置生效：firewall-cmd --reload
- 云服务器安全组
- 在云厂商控制台将8021与40000-40100加入入站规则（TCP）。
四、SELinux与端口类型（如启用SELinux）
- 安装端口管理工具（若未安装）：yum install -y policycoreutils-python
- 将自定义控制端口加入 SELinux 的 ftp_port_t 类型：
- semanage port -a -t ftp_port_t -p tcp 8021
- 验证：semanage port -l | grep ftp
- 说明：若未设置 SELinux 端口类型，vsftpd 可能无法绑定到新端口。
五、验证与常见问题
- 本机连通性测试：ftp localhost 8021（或使用 lftp、FileZilla 指定端口8021）
- 监听检查：ss -lntp | grep :8021（应看到 vsftpd 监听新端口）
- 日志排查：tail -f /var/log/vsftpd.log（登录、被动端口分配失败等均有记录）
- 常见问题
- 连接超时或数据通道失败：多为被动端口范围未放行或云安全组未放通
- 端口被占用：更换未被占用的端口，并同步更新防火墙/SELinux
- IPv6 冲突：确认 listen_ipv6=NO，或正确配置 IPv6 监听
- 客户端仍连 21：客户端需显式指定新端口（如 8021），或更新其服务名解析