在Linux系统中搭建FTP服务并实现外网访问，是企业或个人用户进行文件传输的常见需求，本文将从环境准备、服务配置、防火墙设置到安全加固，详细讲解整个实现过程，确保操作清晰、结构规范。
环境准备与安装FTP服务
首先需要确认Linux系统是否已安装FTP服务，以CentOS系统为例，默认安装的是vsftpd（Very Secure FTP Daemon），可通过以下命令检查：
rpm -q vsftpd
若未安装，使用yum进行安装：
yum install -y vsftpd
安装完成后，启动服务并设置开机自启：
systemctl start vsftpd systemctl enable vsftpd
FTP服务基础配置
核心配置文件为/etc/vsftpd/vsftpd.conf，需修改以下关键参数：
- 允许匿名访问：若需匿名用户上传下载，设置
anonymous_enable=YES，否则设为NO（推荐默认关闭）。 - 本地用户权限：启用
local_enable=YES允许本地用户登录，write_enable=YES赋予写权限。 - 用户目录限制：通过
chroot_local_user=YES将用户限制在主目录，提升安全性。 - 端口配置：默认监听21端口，可通过
listen_port=2121修改（需同步防火墙规则）。
修改后保存文件，重启vsftpd服务使配置生效：
systemctl restart vsftpd
防火墙与SELinux设置
外网访问需开放FTP相关端口，同时注意被动模式的数据端口配置。
防火墙规则
# 开放FTP服务端口（21）和被动模式端口范围（建议10000-20000） firewall-cmd --permanent --add-service=ftp firewall-cmd --permanent --add-port=10000-20000/tcp firewall-cmd --reload
SELinux配置
若SELinux处于启用状态，需调整策略以允许FTP访问：
setsebool -P ftpd_full_access on
被动模式配置（外网访问关键）
默认主动模式（PORT）可能因NAT或防火墙导致连接失败，建议启用被动模式（PASV），在vsftpd.conf中添加：
pasv_enable=YES pasv_min_port=10000 pasv_max_port=20000 pasv_address=服务器外网IP # 若为云服务器，需配置为弹性公网IP
配置后重启服务，客户端连接时选择“被动模式”即可正常传输文件。
用户与权限管理
创建FTP专用用户
useradd -d /home/ftpuser -s /sbin/nologin ftpuser # 创建不可登录系统用户 passwd ftpuser # 设置密码
目录权限设置
确保用户目录权限正确（755），文件权限（644）：
chmod 755 /home/ftpuser chown -R ftpuser:ftpuser /home/ftpuser
禁止特定用户访问
在/etc/vsftpd/ftpusers文件中添加用户名，可阻止其登录FTP。
安全加固措施
为提升安全性，建议采取以下措施：
- 禁用匿名访问：确保
anonymous_enable=NO。 - 启用日志审计：设置
xferlog_enable=YES记录传输日志。 - 限制传输速率：通过
local_max_rate=102400限制本地用户上传速度（单位：字节/秒）。 - IP访问控制：在
vsftpd.conf中添加tcp_wrappers=YES，并通过/etc/hosts.allow和/etc/hosts.deny限制IP访问。
常见问题排查
| 问题现象 | 可能原因及解决方法 |
|---|---|
| 外网无法连接 | 检查防火墙、SELinux设置；确认云服务器安全组开放端口 |
| 用户登录失败 | 确认用户密码、目录权限；检查/etc/vsftpd/ftpusers |
| 被动模式数据连接超时 | 检查pasv_address是否为外网IP；确认端口范围未被占用 |
通过以上步骤，即可完成Linux FTP服务的外网访问配置，实际操作中需结合网络环境灵活调整参数，并定期检查日志与安全策略,确保服务稳定运行。
