Debian 上 vsftpd 连接问题的排查与修复
一 快速自检清单
- 确认服务已安装并运行：sudo apt-get update && sudo apt-get install vsftpd；sudo systemctl status/start/enable vsftpd。若失败，执行 sudo systemctl restart vsftpd 并观察状态输出。
- 核对配置文件路径与语法：常见为 /etc/vsftpd.conf 或 /etc/vsftpd/vsftpd.conf；修改后务必重启服务。
- 先用命令行定位网络层：telnet 服务器IP 21 或 nc -vz 服务器IP 21，能连上说明端口开放，问题多在服务/配置；连不上优先查防火墙/云安全组。
- 查看日志：tail -f /var/log/vsftpd.log；同时观察系统日志 tail -f /var/log/syslog、journalctl -u vsftpd。
- 客户端建议：先用 FileZilla 的“显式 FTP over TLS”或普通 FTP 测试，便于区分明文/加密问题。
二 配置要点与最小可用示例
- 建议的最小可用配置（按需增删）：
- 监听与协议：listen=YES；listen_ipv6=NO（仅 IPv4 环境）。
- 访问开关：anonymous_enable=NO；local_enable=YES；write_enable=YES。
- 目录限制：chroot_local_user=YES；secure_chroot_dir=/var/run/vsftpd/empty。
- 日志与 PAM：xferlog_enable=YES；pam_service_name=vsftpd。
- 被动模式（云服务器/有 NAT 时强烈建议开启）：pasv_enable=YES；pasv_min_port=10000；pasv_max_port=10005。
- 应用与验证：sudo systemctl restart vsftpd；再次查看状态与日志，确认无报错。
三 防火墙与云安全组放行
- UFW：sudo ufw allow 21/tcp；如启用被动模式，还需放行端口段：sudo ufw allow 10000:10005/tcp。
- firewalld：sudo firewall-cmd --permanent --add-service=ftp；sudo firewall-cmd --reload。
- iptables：sudo iptables -A INPUT -p tcp --dport 21 -j ACCEPT；被动端口段同样放行。
- 云厂商安全组：在控制台放行 TCP 21 与 10000–10005（或你自定义的被动端口范围）。
四 常见错误与对应修复
- 连接超时/被拒绝：服务未启动或端口未放行。执行 sudo systemctl status vsftpd；核对 ufw/firewalld/iptables/云安全组是否放行 21。
- 530 Login incorrect：检查用户名/密码；确认用户不在 /etc/ftpusers（该文件列出的用户将被拒绝）；必要时在 /etc/vsftpd.conf 中设置 userlist_enable=YES、userlist_deny=NO 并将用户写入 /etc/vsftpd.user_list。
- 500 OOPS: cannot change directory: 家目录权限或属主不当，或启用了 chroot 但目录不可访问。修正：chown user:user /home/user；chmod 755 /home/user；确保用户对家目录有进入与读写权限。
- 553 Could not create file：上传目录不可写。修正目标目录权限（如 chmod 755 或按需更宽松），并确保用户拥有写权限。
- 登录很慢：禁用反向解析，在 vsftpd.conf 增加 reverse_lookup_enable=NO。
- IPv6 相关失败：listen_ipv6=NO（仅 IPv4 时）。
五 被动模式与日志定位
- 被动模式必配：pasv_enable=YES；pasv_min_port=10000；pasv_max_port=10005；同时在防火墙/安全组放行该端口段，否则数据通道会卡住或失败。
- 日志与系统日志：实时查看 tail -f /var/log/vsftpd.log 与 tail -f /var/log/syslog，结合 journalctl -u vsftpd 获取启动参数与运行报错，按日志提示修正配置或权限。
- 配置与权限安全：/etc/vsftpd.conf 建议属主 root:root、权限 644；日志目录/文件确保 vsftpd 可写；PAM 使用默认 vsftpd 配置即可满足本地用户登录。