在Linux服务器上安装FTP服务是许多管理员需要掌握的基础技能，FTP（File Transfer Protocol）用于在客户端和服务器之间进行文件传输，尤其适合需要频繁上传下载文件的场景，本文将以CentOS 7系统为例，详细讲解FTP服务的安装、配置及安全设置，内容涵盖软件包安装、用户权限管理、防火墙配置等关键步骤,确保服务既可用又安全。
需要确认系统是否已安装FTP服务，在CentOS 7中，常用的FTP服务器软件是vsftpd（Very Secure FTP Daemon），其名称已体现“非常安全”的特性，是许多企业的首选，打开终端，执行以下命令检查是否已安装vsftpd：rpm -q vsftpd，如果未安装，使用yum install vsftpd -y命令进行安装，yum会自动解决依赖关系并完成安装，安装成功后，启动vsftpd服务并设置为开机自启，命令分别为systemctl start vsftpd和systemctl enable vsftpd，此时可通过netstat -tuln | grep 21确认FTP默认端口21是否已监听。
接下来进行基础配置，vsftpd的主配置文件位于/etc/vsftpd/vsftpd.conf，建议先备份原文件：cp /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf.bak，使用vim /etc/vsftpd/vsftpd.conf打开配置文件，根据需求修改以下关键参数：
anonymous_enable=NO：禁止匿名用户登录，提升安全性；local_enable=YES：允许本地用户登录；write_enable=YES：允许本地用户上传文件；chroot_local_user=YES：将用户限制在自家目录，防止越权访问；allow_writeable_chroot=YES：当用户被限制在家目录时，允许目录可写（需配合write_enable=YES）；pasv_min_port=6000和pasv_max_port=6010：设置被动模式端口范围，避免端口冲突；userlist_enable=YES和userlist_file=/etc/vsftpd/user_list：启用用户列表，仅允许列表中的用户登录。
配置完成后保存文件，并创建用户列表文件/etc/vsftpd/user_list，将允许登录的用户名逐行写入，例如echo "ftpuser" >> /etc/vsftpd/user_list，若需为FTP用户创建独立账号，可执行useradd -m -s /sbin/nologin ftpuser，-m自动创建家目录，-s /sbin/nologin禁止SSH登录，仅用于FTP传输，设置用户密码：passwd ftpuser。
防火墙和SELinux的配置是确保FTP服务可用的关键步骤，CentOS 7默认使用firewall作为防火墙，需开放FTP相关端口：firewall-cmd --permanent --add-service=ftp和firewall-cmd --reload，若使用自定义被动端口范围，还需添加：firewall-cmd --permanent --add-port=6000-6010/tcp，对于SELinux，执行setsebool -P ftpd_full_access on允许FTP访问用户目录，或使用semanage fcontext -a -t public_content_rw_t "/home/ftpuser(/.*)?"和restorecon -R /home/ftpuser为用户目录设置正确的安全上下文。
测试FTP服务时，可在本地Windows系统使用FileZilla，或在Linux客户端使用ftp 服务器IP命令，登录成功后，可通过put上传文件、get下载文件验证功能，若遇到问题，检查/var/log/vsftpd.log日志文件，常见错误包括权限不足（检查chroot配置）、端口被占用（修改pasv_port）或防火墙规则未生效（重启firewall）。
为提升安全性，建议额外采取以下措施：禁用匿名用户、限制用户登录IP（通过tcp_wrappers实现，编辑/etc/hosts.allow和/etc/hosts.deny）、定期更新vsftpd软件包（yum update vsftpd）、以及配置SSL/TLS加密（需生成证书并启用ssl_enable=YES）,这些措施能有效防止未授权访问和数据泄露风险。
相关问答FAQs
Q1: 如何解决FTP用户被限制在家目录后无法上传文件的问题？
A: 当chroot_local_user=YES时，用户默认被锁定在家目录，若目录权限不正确会导致上传失败，需确保家目录所有者为FTP用户，且权限为755，执行chown ftpuser:ftpuser /home/ftpuser和chmod 755 /home/ftpuser，若仍无法上传，检查SELinux上下文，使用restorecon -R /home/ftpuser修复，或在配置文件中添加allow_writeable_chroot=YES（需vsftpd版本≥3.0.0）。
Q2: FTP服务启动后，客户端连接超时，如何排查？
A: 首先检查防火墙是否开放端口，执行firewall-cmd --list-all确认FTP和被动端口已添加；其次确认SELinux状态，使用getsebool -a | grep ftpd检查相关布尔值是否开启；最后检查vsftpd日志/var/log/vsftpd.log，若出现“500 OOPS: cannot change directory”错误，通常是chroot目录权限问题，按Q1方法修复；若显示“425 Security: Bad IP connecting”,需检查被动模式端口范围是否与防火墙规则一致。
