Ubuntu vsftpd SSL证书配置

以下是在Ubuntu上为vsftpd配置SSL证书的步骤：

1. 安装vsftpd和OpenSSL

   sudo apt update  
   sudo apt install vsftpd openssl  
   

2. 生成SSL证书（自签名/CA证书）

   • 自签名证书（生产环境建议用CA证书）：

     sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/certs/vsftpd.pem  
     

     按提示填写国家、组织等信息。

   • CA证书（如Let’s Encrypt）：
     可通过Certbot获取，需额外配置Nginx/Apache反向代理（略）。

3. 配置vsftpd
   编辑配置文件 /etc/vsftpd.conf：

   sudo nano /etc/vsftpd.conf  
   

   添加/修改以下内容：

   ssl_enable=YES  
   force_local_data_ssl=YES  
   force_local_logins_ssl=YES  
   ssl_tlsv1=YES  
   ssl_sslv2=NO  
   ssl_sslv3=NO  
   rsa_cert_file=/etc/ssl/certs/vsftpd.pem  # 证书路径  
   rsa_private_key_file=/etc/ssl/private/vsftpd.pem  # 私钥路径  
   allow_anon_ssl=NO  
   

4. 设置文件权限

   sudo chmod 600 /etc/ssl/private/vsftpd.pem  
   sudo chmod 600 /etc/ssl/certs/vsftpd.pem  
   

5. 重启服务与防火墙

   sudo systemctl restart vsftpd  
   sudo ufw allow 21/tcp  # FTP控制端口  
   sudo ufw allow 990/tcp # FTPS数据端口  
   sudo ufw reload  
   

6. 测试连接
   使用支持FTPS的客户端（如FileZilla），选择“显式FTP over TLS”，输入服务器地址、端口（990）及证书验证。

注意：

• 生产环境建议使用Let’s Encrypt等CA证书，避免自签名证书被客户端标记为“不安全”。
• 若需被动模式，需额外配置pasv_enable=YES及端口范围，并在防火墙中放行。