vsftp与Ubuntu防火墙如何兼容 - 问答

vsftpd 与 Ubuntu 防火墙的兼容配置

一、关键原理

FTP 有两种工作模式：主动模式（服务器从20/tcp主动连客户端高位端口）与被动模式（服务器在pasv_min_port–pasv_max_port范围内开放端口，等待客户端连入）。在开启防火墙时，被动模式最容易配置且穿透性最好；主动模式常因客户端位于 NAT/严格防火墙后而失败。
Ubuntu 常用防火墙为 UFW 或 iptables。无论哪种，都需同时放行控制通道与数据通道端口，并在 vsftpd 中显式声明被动端口范围，二者端口范围必须一致。

二、UFW 放行步骤

安装与启用
- 安装 vsftpd：sudo apt update && sudo apt install vsftpd
- 启用 UFW：sudo ufw enable（注意先放行 SSH 22/tcp，避免被锁）
放行控制与被动端口
- 控制通道：sudo ufw allow 21/tcp
- 被动端口范围（示例）：sudo ufw allow 50000:50050/tcp
- 重载规则：sudo ufw reload 或 sudo ufw status verbose 查看
说明
- 主动模式理论上还需放行服务器到客户端高位端口的出站连接，实际在 NAT/云安全组下常不可行，优先使用被动模式。

三、iptables 放行步骤

放行规则
- 控制通道：sudo iptables -A INPUT -p tcp --dport 21 -j ACCEPT
- 被动端口范围（示例）：sudo iptables -A INPUT -p tcp --dport 50000:50050 -j ACCEPT
- 已建立/相关连接：sudo iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
持久化
- 安装持久化工具：sudo apt install iptables-persistent
- 保存规则：sudo netfilter-persistent save（或 sudo iptables-save > /etc/iptables/rules.v4）
说明
- 若使用主动模式，还需允许从服务器到客户端高位端口的出站连接，配置复杂且受限于网络环境，通常不建议。

四、vsftpd 配置要点

基本安全
- anonymous_enable=NO
- local_enable=YES
- write_enable=YES
- chroot_local_user=YES
- allow_writeable_chroot=YES
被动模式端口范围（与防火墙一致）
- pasv_enable=YES
- pasv_min_port=50000
- pasv_max_port=50050
可选加密（FTPS）
- ssl_enable=YES
- force_local_data_ssl=YES
- force_local_logins_ssl=YES
- rsa_cert_file=/etc/ssl/private/vsftpd.pem
- rsa_private_key_file=/etc/ssl/private/vsftpd.pem
- 生成自签名证书：sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem
应用配置
- 重启服务：sudo systemctl restart vsftpd

五、验证与排错

本地连通性测试：ftp localhost（或使用 FileZilla 连接），验证登录、列目录、上传/下载是否正常。
规则与端口核对
- UFW：sudo ufw status verbose
- iptables：sudo iptables -L -v -n
- 确认 vsftpd 已监听：sudo ss -lntp | grep :21
日志排查
- 启用日志：xferlog_enable=YES、xferlog_file=/var/log/vsftpd.log，查看传输与连接问题。

六、更稳妥的替代方案

若防火墙/合规要求严格，建议优先使用 SFTP（基于 SSH） 或 FTPS（显式/隐式 SSL/TLS），仅开放 22/tcp（SFTP）或 21/tcp + 证书（FTPS），避免 FTP 多端口与主动模式带来的穿透难题。

0 赞

0 踩