1. 环境准备与目标
本文围绕 CentOS 上如何使用 vsftpd 实现文件传输加密？完整配置与注意事项这一主题展开，聚焦在通过 TLS 保护 FTP 的控制与数据通道。核心目标是让客户端在传输过程中不会暴露用户名、密码以及文件内容。
在开始前需要明确，加密传输涉及显式 TLS 与隐式 TLS 两种方案，二者在端口、握手时机和客户端兼容性上存在差异，需要根据实际运维场景选择。
1.1 适用场景与目标
显式 TLS 适合对现有 FTP 客户端兼容性要求较高的场景，在连接建立后通过 TLS 协商来加密控制通道，同时保护数据传输。隐式 TLS 则是在连接建立时就进行 TLS 握手，通常使用专用端口，提供更强的初始加密保障。
无论选择哪种方案，必须确保被动模式端口与控制端口的防火墙策略相匹配，以避免数据传输被阻断。
1.2 选择显式 TLS 与隐式 TLS 的方案
显式 TLS（FTPS）在控制通道上开启 TLS，兼容性较好，配置起来也相对简单。隐式 TLS（Implicit FTPS）把握在默认端口 990 上，安全性更高但对客户端的支持度可能较低。
本文在后续章节给出两种方案的完整配置示例，帮助你在 CentOS 上实现稳定的加密传输。务必理解两种方案的差异与防火墙端口影响，以避免生产环境中的连接异常。
2. 安装 vsftpd 与基础配置
2.1 安装包与依赖
在 CentOS 上安装 vsftpd，首先确保系统网络可用并更新到最新版本，以获取最新补丁与安全性修复，这对于后续 TLS 配置尤为重要。
sudo yum install -y vsftpd
sudo systemctl enable --now vsftpd
安装完成后，启用 vsftpd 并设置开机自启，确保服务在需要时可用。
2.2 基础配置文件结构
vsftpd 的主要配置文件通常位于 /etc/vsftpd/vsftpd.conf；理解核心选项如 listen、anonymous_enable、local_enable、write_enable 等，有助于后续 TLS 配置的稳定性。
# /etc/vsftpd/vsftpd.conf
listen=YES
anonymous_enable=NO
local_enable=YES
local_umask=022
dirmessage_enable=YES
xferlog_enable=YES
chroot_local_user=YES
3. 生成证书与证书配置
3.1 自签证书生成
为了避免依赖外部 CA，可以先生成自签证书，证书与私钥需要妥善保存并设定权限，以降低泄露风险。
sudo openssl req -x509 -nodes -days 3650 -newkey rsa:2048 \-keyout /etc/pki/tls/private/vsftpd.key \-out /etc/pki/tls/certs/vsftpd.crt \-subj "/C=CN/ST=Beijing/L=Beijing/O=MyOrg/OU=Dev/CN=ftp.local"自签证书的有效期较长且部署简单，是快速启用 TLS 的常见做法。务必将私钥权限设为 600，证书权限同样受控。
3.2 使用外部 CA 证书
若对信任度有更高要求，可以使用外部 CA 签发的证书；确认证书链完整性、私钥权限为 600，以确保客户端信任并避免中间人攻击风险。
# 将 CA 证书链配置进 vsftpd
rsa_cert_file=/etc/ssl/certs/mydomain.crt
rsa_private_key_file=/etc/ssl/private/mydomain.key
4. 显式 TLS 与隐式 TLS 的完整配置
4.1 显式 TLS（Explicit FTPS）配置
显式 TLS 通常在控制通道上协商加密，常用选项包括 ssl_enable、force_local_data_ssl、force_local_logins_ssl 等；应开启强制数据通道加密以防止明文传输。
# /etc/vsftpd/vsftpd.conf
listen=YES
ssl_enable=YES
allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_ciphers=HIGH
rsa_cert_file=/etc/pki/tls/certs/vsftpd.crt
rsa_private_key_file=/etc/pki/tls/private/vsftpd.key
pasv_enable=YES
pasv_min_port=30000
pasv_max_port=30100
在显式 TLS 场景下，被动端口范围需在防火墙中放行，以确保数据传输不被拦截。
4.2 隐式 TLS（Implicit FTPS）配置
隐式 TLS 在连接建立时即进行 TLS 握手，通常需要指定专用端口（如 990），并将 implicit_ssl=YES 与 listen_port 设置为相应端口。
# /etc/vsftpd/vsftpd.conf
listen=YES
listen_port=990
implicit_ssl=YES
ssl_enable=YES
rsa_cert_file=/etc/pki/tls/certs/vsftpd.crt
rsa_private_key_file=/etc/pki/tls/private/vsftpd.key
5. 端口与防火墙、SELinux 设置
5.1 防火墙端口配置
显式 TLS 的控制端口通常为 21，被动数据端口为设定的范围，需在防火墙中放行 21、被动端口段以及若使用隐式 TLS 的 990端口。
sudo firewall-cmd --permanent --add-service=ftp
sudo firewall-cmd --permanent --add-port=30000-30100/tcp
sudo firewall-cmd --permanent --add-port=21/tcp
# 使用隐式 TLS 的 990 端口
sudo firewall-cmd --permanent --add-port=990/tcp
sudo firewall-cmd --reload
5.2 SELinux 设置
在 CentOS 上，SELinux 可能会阻止 vsftpd 访问某些目录或端口，因此需要进行配置，确保 vsftpd 可以访问家目录并放行被动端口。
sudo setsebool -P ftp_home_dir 1
sudo semanage port -a -t ftp_port_t -p tcp 30000-30100
# 若 semanage 未安装，先安装 policycoreutils-python
sudo yum install -y policycoreutils-python
6. 用户与权限配置
6.1 用户账户与家目录
为 FTP 用户建立独立账户并将其家目录设定为可访问的区域，禁用匿名访问，确保仅本地用户可用，以提升安全性。
sudo useradd -m -d /home/ftpuser -s /sbin/nologin ftpuser
sudo passwd ftpuser
sudo chown ftpuser:ftpuser /home/ftpuser
6.2 只读/只写权限控制
通过配置 umask、chroot 以及权限策略来控制写权限；如需开启写权限，需在确保目录结构安全的前提下开启 write_enable。
# /etc/vsftpd/vsftpd.conf
write_enable=YES
local_enable=YES
chroot_local_user=YES
7. 测试与验证
7.1 测试工具
使用 OpenSSL s_client、lftp、FileZilla 等工具测试 TLS 握手和数据传输，务必在多种客户端上验证显式与隐式 TLS 的兼容性。
openssl s_client -connect ftp.example.com:21 -starttls ftp
# 若配置了隐式 FTPS
openssl s_client -connect ftp.example.com:990 -tls1_2
7.2 常见问题排查
连接失败时，首先检查证书路径、私钥权限和防火墙规则，日志文件通常位于 /var/log/vsftpd.log 或 /var/log/xferlog，结合客户端错误信息定位问题。
