如何通过SSL加密Ubuntu FTP服务器确保数据传输全程安全？

为什么你的Ubuntu FTP必须上SSL？先聊聊真实痛点

FTP默认明文传输是最大的坑。使用者名密码、上传下载的文件内容在网络中裸奔，用Wireshark随便就能抓包。内网穿透或公网部署时一旦被窃听就是数据泄露事故。

客户投诉连不上、浏览器提示不安全也很常见。自签名证书导致FileZilla疯狂弹警告，使用者不敢点继续；防火墙没开21/990端口。或者被动模式端口范围没放行，结果卡在“正在连接...”。

配置后还是不加密更是让人崩溃。ssl_enable开了却忘了force_local_logins_ssl，导致登录阶段仍走明文；或者同时混用FTPS和SFTP概念，把SSH的22端口当成FTP用。

证书过期、权限错误导致服务中断也很致命。生产环境用自签名几百天就过期，chmod不对vsftpd起不来半夜报警。

至于先选对方案，FTPS还是SFTP？其实，

FTPS = FTP over SSL/TLS。就是给传统FTP加上一层SSL加密，保持21控制端口+被动数据端口，需要单独配置证书。适合已有FTP环境，必须兼容老客户端的场景。

SFTP = SSH File Transfer Protocol。基于SSH协议走22端口，自带加密，无需额外证书，只要SSH服务正常即可。部署最简单，是大多数人的首选。

从痛点提示来看。如果只是想快速做到全程加密且不想折腾证书，直接用SFTP最省心；如果业务强制要求FTP协议，则走下面FTPS方案。

SFTP极简方案：开启SSH即可

sudO systemctl enable ssh && sudo systemctl start ssh sudO ufw allow ssh sudO ufw reload

SFTP客户端选择 SFTP 模式连接22端口即可，全程加密无需证书管理。

从方案一来看，为vsftpd配置FTPS全程加密

1. 安装组件并更新程序

sudO apt update sudO apt install vsftpd openssl sudO apt install ufw -y

2. 生成SSL证书和私钥。避免明文传输风险

sudO mkdir -p /etc/ssl/private sudO openssl req -x509 -nodes -days 365 -newkey rsa:2048 \ -keyout /etc/ssl/private/vsftpd.pem \ -out /etc/ssl/certs/vsftpd.crt

sudO chmod 600 /etc/ssl/private/vsftpd.pem sudO chown root:ssl-cert /etc/ssl/private/vsftpd.pem

说到痛点提示，生产环境请用Let's Encrypt真实CA签发证书，自签名会在客户端触发“不受信任”警告，影响使用者体验。

3. 修改vsftpd配置强制SSL

sudO nano /etc/vsftpd/vsftpd.conf

ssl_enable=YES
allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES
ssl_tlsv1_2=YES
ssl_sslv2=NO
ssl_sslv3=NO
rsa_cert_file=/etc/ssl/certs/vsftpd.crt
rsa_private_key_file=/etc/ssl/private/vsftpd.pem
pasv_min_port=40000
pasv_max_port=40100
require_ssl_reuse=NO # 部分客户端兼容性问题可设为NO

4. 重新启动并验证状态

sudO systemctl restart vsftpd sudO systemctl status vsftpd

5. 配置防火墙。放行控制与数据端口，避免连接超时痛点

sudO ufw allow 21/tcp sudO ufw allow 990/tcp # FTPS显式控制 sudO ufw allow 40000:40100/tcp # 被动模式数据端口范围 sudO ufw reload

。