在CentOS服务器上搭建一个稳定、安全的文件传输服务是许多系统管理员的常见需求，特别是用于上传和管理网站图片、附件等静态资源，vsftpd（very secure FTP daemon）以其高度的安全性、稳定性和优异的性能，成为了Linux环境下FTP服务器的首选方案，本文将详细介绍如何在CentOS系统中配置vsftpd，专门用于图片文件的上传和管理，整个过程涵盖安装、防火墙设置、用户管理、核心配置以及故障排查，旨在提供一个完整、可操作的实践指南。
第一步：安装vsftpd服务
在开始配置之前,首先需要确保系统中已经安装了vsftpd软件包，根据CentOS版本的不同，我们使用yum或dnf包管理器进行安装，对于CentOS 7及更早版本，使用yum；对于CentOS 8及以上版本，则推荐使用dnf。
打开终端,执行以下命令来安装vsftpd：
# 对于CentOS 7 sudo yum install vsftpd -y # 对于CentOS 8/Stream sudo dnf install vsftpd -y
安装完成后,需要启动vsftpd服务并将其设置为开机自启动，确保服务器重启后FTP服务能自动运行。
# 启动vsftpd服务 sudo systemctl start vsftpd # 设置为开机自启动 sudo systemctl enable vsftpd
为了确认服务已经成功启动并运行,可以检查其状态：
sudo systemctl status vsftpd
如果输出中显示active (running)，则表示服务运行正常。
第二步：配置防火墙与SELinux
FTP协议使用21号端口进行命令传输,20号端口进行数据传输，为了应对复杂的网络环境（如客户端位于NAT之后），我们通常需要启用被动模式，被动模式会使用一个预设的端口范围进行数据连接，因此这些端口也需要在防火墙中开放。
配置防火墙（firewalld）
# 永久开放21和20端口 sudo firewall-cmd --permanent --add-port=21/tcp sudo firewall-cmd --permanent --add-port=20/tcp # 永久开放被动模式端口范围（10000-10100） sudo firewall-cmd --permanent --add-port=10000-10100/tcp # 重新加载防火墙规则使配置生效 sudo firewall-cmd --reload
配置SELinux
CentOS的SELinux（Security-Enhanced Linux）安全机制可能会默认阻止FTP用户写入文件，为了允许FTP服务对用户主目录进行读写操作，需要设置一个SELinux布尔值，这一步至关重要，否则即使所有权限都正确，也可能无法上传文件。
sudo setsebool -P ftpd_full_access on
这个命令会永久地允许vsftpd守护进程访问所有用户的文件和目录。
第三步：创建FTP专用用户和图片存储目录
出于安全考虑,不建议使用root或系统已有用户作为FTP账号，最佳实践是创建一个专门用于FTP的用户，并将其家目录设置为图片存储的根目录，同时禁止该用户通过SSH登录服务器。
创建图片存储目录
我们选择
/var/ftp/images作为图片存储的根目录。sudo mkdir -p /var/ftp/images
创建FTP专用用户
创建一个名为
ftpuser的用户，并将其家目录指定为刚刚创建的/var/ftp/images。-s /sbin/nologin参数表示禁止该用户通过Shell登录系统。sudo useradd -d /var/ftp/images -s /sbin/nologin ftpuser
设置用户密码
为新创建的用户设置一个强密码。
sudo passwd ftpuser
设置目录权限
确保新用户对家目录拥有完全的读写权限。
# 将目录所有者更改为ftpuser sudo chown -R ftpuser:ftpuser /var/ftp/images # 设置目录权限为755，允许所有者读写执行，其他用户读和执行 sudo chmod -R 755 /var/ftp/images
第四步：配置vsftpd核心文件
vsftpd的核心配置文件位于/etc/vsftpd/vsftpd.conf，在修改之前，建议先备份原始文件。
sudo cp /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf.bak
使用文本编辑器（如vim）打开配置文件，并根据下表和指导进行修改。
| 配置项 | 原始值 | 建议值 | 说明 |
|---|---|---|---|
anonymous_enable | YES | NO | 禁止匿名用户登录，提高安全性 |
local_enable | YES | YES | 允许本地用户（即我们创建的ftpuser）登录 |
write_enable | YES | YES | 允许本地用户进行写操作（上传、删除等） |
chroot_local_user | NO | YES | 将所有本地用户限制在其家目录内，防止访问系统其他文件 |
allow_writeable_chroot | # (注释) | YES | 允许在chroot环境下写入，新版vsftpd要求根目录不可写，加上此选项可放宽限制，方便管理 |
pasv_enable | YES | YES | 启用被动模式 |
pasv_min_port | # (注释) | 10000 | 设置被动模式使用的最小端口 |
pasv_max_port | # (注释) | 10100 | 设置被动模式使用的最大端口 |
userlist_enable | YES | YES | 启用用户列表功能 |
userlist_file | /etc/vsftpd/user_list | /etc/vsftpd/user_list | 指定用户列表文件路径 |
userlist_deny | YES | NO | 关键设置，设为NO表示user_list文件是“允许列表”，只有列表中的用户才能登录 |
修改完毕后的关键配置段应大致如下：
# 禁止匿名登录 anonymous_enable=NO # 允许本地用户登录 local_enable=YES # 允许写入 write_enable=YES # 将用户禁锢在家目录 chroot_local_user=YES # 允许chroot目录可写 allow_writeable_chroot=YES # --- 被动模式配置 --- pasv_enable=YES pasv_min_port=10000 pasv_max_port=10100 # --- 用户访问控制 --- userlist_enable=YES userlist_file=/etc/vsftpd/user_list userlist_deny=NO
需要将我们创建的ftpuser添加到user_list“允许列表”中。
echo "ftpuser" | sudo tee -a /etc/vsftpd/user_list
第五步：重启服务并测试
所有配置完成后,必须重启vsftpd服务以使更改生效。
sudo systemctl restart vsftpd
可以使用FTP客户端（如FileZilla、CuteFTP或在命令行中使用ftp命令）连接到服务器进行测试。
- 主机: 您的服务器IP地址
- 用户名:
ftpuser - 密码: 您为
ftpuser设置的密码 - 端口: 21 (或留空，使用默认)
连接成功后,您应该能看到一个空的目录（即/var/ftp/images），并且可以尝试上传一张图片进行验证，如果上传成功，说明整个配置流程圆满完成。
相关问答FAQs
我能够成功登录FTP服务器，但无法列出文件列表或上传文件，连接会超时或卡住，这是为什么？
解答： 这是最常见的FTP问题，几乎总是在于防火墙或NAT设备阻止了被动模式下的数据连接，请逐一排查以下几点：
- 服务器防火墙：确认您已经通过
firewall-cmd命令开放了主端口（20, 21）以及您在vsftpd.conf中配置的被动模式端口范围（本例中为10000-10100），可以使用sudo firewall-cmd --list-ports命令检查。 - 云服务提供商安全组：如果您的CentOS部署在云服务器（如阿里云、腾讯云、AWS）上，除了系统内部的
firewalld，还需要在云平台的管理控制台中配置相应的安全组规则，放行相同的端口。 - vsftpd.conf配置：检查
vsftpd.conf中的pasv_min_port和pasv_max_port是否与防火墙开放的端口范围完全一致。
登录时提示“530 Login incorrect”，用户名和密码明明是正确的，怎么办？
解答： “530 Login incorrect” 错误通常意味着认证失败，除了用户名密码错误外，在CentOS上最可能的原因是以下几点：
- SELinux限制：即便设置了目录权限，SELinux可能仍在阻止写入，请确保已执行
sudo setsebool -P ftpd_full_access on命令，如果问题依旧，可以临时将SELinux设置为permissive模式（sudo setenforce 0）来测试是否为SELinux导致，如果是，请查看/var/log/audit/audit.log获取更详细的拒绝信息。 - 用户列表配置：请检查
/etc/vsftpd/user_list文件中是否包含了您的用户名，并且确认vsftpd.conf中的userlist_deny参数设置为您预期的行为（本指南中设为NO，作为白名单），如果userlist_deny=YES，则该文件为黑名单，用户名不应出现在其中。 - PAM模块问题：检查
/etc/pam.d/vsftpd文件，确保没有不寻常的认证模块配置导致登录失败，通常默认配置即可工作。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
发表回复