CentOS 上 vsftpd 连不上的排查与修复
一 快速自检清单
- 确认服务已安装并运行：执行sudo systemctl status vsftpd，若未运行则sudo systemctl start vsftpd并设为开机自启sudo systemctl enable vsftpd。
- 本机连通性测试：在本机执行telnet 127.0.0.1 21或nc -vz 127.0.0.1 21，能连上说明服务在监听；连不上多半是服务未启动或配置问题。
- 端口监听检查：执行sudo ss -tulpen | grep :21，应看到vsftpd监听0.0.0.0:21或:::21。
- 云服务器额外检查：在云控制台放行TCP 21及被动端口范围，并确认使用的是服务器公网 IP而非内网地址。
以上步骤能快速判断是“服务未起/配置错误”还是“网络被阻断”。
二 防火墙与云安全组放行
- firewalld 放行 FTP：
- 放行服务：sudo firewall-cmd --permanent --add-service=ftp
- 或直接放行端口：sudo firewall-cmd --permanent --add-port=21/tcp
- 重载规则：sudo firewall-cmd --reload
- 被动模式端口范围（示例开放10060–10070）：
- 配置 vsftpd：在**/etc/vsftpd/vsftpd.conf**中设置
- pasv_enable=YES
- pasv_min_port=10060
- pasv_max_port=10070
- 放行端口：sudo firewall-cmd --permanent --add-port=10060-10070/tcp
- 重载规则：sudo firewall-cmd --reload
- 云服务器安全组：在控制台同时放行21/tcp与所配置的被动端口范围。
- 说明：FTP 控制通道用21/tcp，数据通道在被动模式由服务器提供端口范围，必须显式放行，否则会出现“能登录但列目录卡住/失败”。
三 配置文件关键项与常见报错
- 建议的基础配置（/etc/vsftpd/vsftpd.conf）：
- listen=YES
- anonymous_enable=NO
- local_enable=YES
- write_enable=YES
- chroot_local_user=YES
- 被动模式：pasv_enable=YES、pasv_min_port=10060、pasv_max_port=10070
- 常见报错与处理：
- 530 Login incorrect：用户名/密码错误或配置限制。检查凭据，确认**/etc/vsftpd/user_list**、/etc/vsftpd/ftpusers未误拦合法用户；必要时在客户端选择主动模式测试。
- 500 OOPS: cannot change directory：常见于 SELinux 或目录权限。可执行setsebool -P ftp_home_dir on；同时确保用户家目录对 FTP 进程可访问。
- refusing to run with writable root inside chroot()：启用 chroot 后根目录不可写。可在配置中加入allow_writeable_chroot=YES（注意安全影响）。
- 修改配置后务必sudo systemctl restart vsftpd生效。
四 SELinux 与权限检查
- SELinux：
- 查看相关布尔值：getsebool -a | grep ftp
- 允许本地用户家目录访问：setsebool -P ftp_home_dir on
- 需要更宽松时可临时测试：setenforce 0（不建议长期关闭，排查完请恢复）。
- 目录与所有权：
- 示例：sudo chown -R ftpuser:ftpuser /data/ftp
- 权限建议：chmod 755 /data/ftp（目录），文件按业务需要设置，避免全局可写。
- 日志定位：
- 查看服务日志：sudo tail -f /var/log/vsftpd.log
- 或查看系统日志：sudo journalctl -u vsftpd -f
日志能直接指明是认证、权限、端口还是策略问题。
五 网络连通性进阶排查
- 外网连通性：从客户端执行telnet 服务器公网IP 21或nc -vz 服务器公网IP 21；不通时优先检查云安全组与运营商/本地防火墙。
- 被动模式数据通道：确保客户端使用被动模式（PASV），且服务器与防火墙已放行所配置的pasv_min_port–pasv_max_port；否则会出现“登录成功但无法列目录/传输”。
- 路由器/网关：若非云环境，需在边界设备做21/tcp与被动端口范围的DNAT/放行。
- 最小化验证：临时将pasv_min_port与pasv_max_port设为同一端口（如1025）并放行该端口，便于快速验证被动端口是否生效。