CentOS FTP用户登录失败如何排查解决？

在 CentOS 系统中配置 FTP 服务以实现用户安全登录，是一项常见且重要的系统管理任务，本文将详细介绍从安装、配置到测试的完整流程，重点在于 vsftpd（Very Secure FTP Daemon）服务，因其安全性与稳定性而被广泛采用。

安装与基础配置

我们需要在 CentOS 系统上安装 vsftpd 软件包，可以通过 yum 或 dnf 包管理器轻松完成。

sudo yum install vsftpd -y

安装完成后,启动服务并设置其开机自启。

sudo systemctl start vsftpd
sudo systemctl enable vsftpd

vsftpd 的核心配置文件位于 /etc/vsftpd/vsftpd.conf，为了实现用户登录，我们需要修改其中的一些关键参数，以下是一个基础且安全的配置示例：

修改配置文件后,需要重启 vsftpd 服务使更改生效。

sudo systemctl restart vsftpd

创建与管理FTP用户

出于安全考虑,不建议直接使用现有的系统用户作为 FTP 用户，最佳实践是创建专用的 FTP 账户，并禁止其通过 SSH 登录系统。

1. 创建用户并指定主目录：

   sudo useradd -d /var/ftp/ftpuser -s /sbin/nologin ftpuser

   此命令创建了一个名为 ftpuser 的用户，其主目录为 /var/ftp/ftpuser，并指定其 shell 为 /sbin/nologin，从而禁止其登录服务器 Shell。

   

2. 设置用户密码：

   sudo passwd ftpuser

3. 设置目录权限：
   确保用户主目录的权限设置正确。vsftpd 要求主目录不能被其他用户 writable，否则会引发安全错误。

   sudo chmod 755 /var/ftp/ftpuser
   sudo chown -R ftpuser:ftpuser /var/ftp/ftpuser

防火墙与SELinux配置

这是 CentOS 环境下最容易出错的环节，必须正确配置防火墙和 SELinux，否则即使服务运行正常，客户端也无法连接。

1. 配置防火墙：
   需要开放 FTP 服务端口（21）以及我们在 vsftpd.conf 中配置的被动模式端口范围。

   sudo firewall-cmd --permanent --add-service=ftp
   sudo firewall-cmd --permanent --add-port=30000-31000/tcp
   sudo firewall-cmd --reload

2. 配置SELinux：
   SELinux 默认策略可能会阻止 FTP 服务访问用户主目录，我们需要设置相应的布尔值来允许。

   sudo setsebool -P allow_ftpd_full_access on
   sudo setsebool -P ftp_home_dir on

   -P 参数表示永久生效，避免重启后失效。

完成以上所有步骤后,即可使用 FTP 客户端（如 FileZilla）或命令行工具（ftp）通过 ftpuser 账户和设定的密码登录服务器，登录成功后，用户将被限制在 /var/ftp/ftpuser 目录内，可以进行文件的下载、上传和删除等操作。

相关问答FAQs

Q1: 登录成功，但无法列出目录内容，客户端显示“500 OOPS: vsftpd: refusing to run with writable root inside chroot()”错误，这是什么原因？

A: 这是一个典型的 vsftpd 安全机制导致的错误，当 chroot_local_user=YES 时，vsftpd 默认不允许用户的根目录（即其主目录）对其自身有写权限，以防止潜在的安全漏洞，解决方法有两种：

1. 推荐方法：在用户的家目录下创建一个具有写权限的子目录，让用户在此子目录中进行文件操作，同时移除家目录本身的写权限。

   sudo chmod a-w /var/ftp/ftpuser
   sudo mkdir /var/ftp/ftpuser/upload
   sudo chown ftpuser:ftpuser /var/ftp/ftpuser/upload

2. 配置方法：在 /etc/vsftpd/vsftpd.conf 文件中添加 allow_writeable_chroot=YES，此方法允许用户的根目录可写，但会略微降低安全性，请根据实际环境权衡。

Q2: 如何创建多个FTP用户，并让他们共享同一个目录，但无法访问其他目录？

A: 要实现多用户共享目录，可以通过创建一个共享组，并将相关用户加入该组来完成。

1. 创建共享组和共享目录：

   sudo groupadd ftpshared
   sudo mkdir /var/ftp/shared_directory

2. 创建用户并加入共享组：

   sudo useradd -d /var/ftp/shared_directory -s /sbin/nologin -G ftpshared user2
   sudo useradd -d /var/ftp/shared_directory -s /sbin/nologin -G ftpshared user3
   sudo passwd user2
   sudo passwd user3

3. 设置目录权限：
   将共享目录的所有者设置为 root，所属组设置为 ftpshared，并为组添加读写执行权限。

   sudo chown root:ftpshared /var/ftp/shared_directory
   sudo chmod 775 /var/ftp/shared_directory

   这样,user2 和 user3 登录后都会被 chroot 限制在 /var/ftp/shared_directory 内，并且由于同属 ftpshared 组，他们可以互相读写彼此创建的文件。