搭建FTP服务器，难度不算高，但踩坑点不少。很多人软件装好，就是连不上，或是连上之后传不了文件，大多是参数配置不对。先吃透几个核心参数再动手，能少走很多弯路。
端口这块，21只是敲门砖
FTP和别的服务不一样，需要建立两组连接。控制连接默认走21端口，账号密码登录、下发指令都走这条通道。真正用来传输文件的是数据连接，分主动和被动两种模式，端口规则完全不同。
主动模式，服务器通过20端口主动连接客户端。现在大多用户处在路由器内网，客户端没有公网IP，服务器没法主动建立连接。实际部署，被动模式才是主流。被动模式要划定一段端口范围，例如50000到51000，服务器会在这个区间随机分配端口等待客户端接入。这一段端口，防火墙和安全组都要放行，不然用户能登录，但是卡在读取目录列表，没法上传下载。
服务器部署在NAT环境内，配置文件还要填写被动模式外部IP，告诉服务器对外宣告的公网地址。不填写的话，服务器返回内网IP给客户端，客户端根本无法建立数据连接。
用户和权限，别偷懒
FTP有三种用户体系。匿名用户最简单，无需密码任何人都可以接入，但权限必须锁死，一般只开放读取，关闭上传、删除权限。本地用户直接复用系统账号，配置省事，但FTP传输默认明文，账号密码裸奔，等于直接泄露服务器登录凭证。
虚拟用户是最推荐的方案。单独一套账号密码，不和系统账号绑定，每个虚拟用户映射至一个系统用户，权限可以单独管控。就算FTP账号泄露，攻击者也拿不到服务器系统权限。
每个用户必须限定根目录。默认情况下用户登录之后，可以浏览整个文件系统，风险很高。配置文件限制用户锁定在自己的主目录，禁止切换上级目录。读写、删除、重命名、新建文件夹权限按需分配。只提供下载就只开读权限，需要上传再加写权限，删除和重命名权限谨慎开启，很多误删事故，都是权限放开太大造成。
速率和连接数，不设会出事
不限制连接数，单个用户开几十个线程下载，带宽直接占满，其他人无法使用。配置文件一般设置总连接上限、单IP最大连接数、单用户最大连接数。常规设置总连接100到200，单个IP不超过10，单个用户最多5，数值根据带宽和业务调整。
速率限制分上传、下载双向，可以按用户组或者单个用户配置。内部少量人员使用，不限速也没关系。对外开放服务，下载限速必须配置，单用户就能把上行带宽占满。
空闲超时也要配置。用户登录之后闲置，连接持续占用资源。控制连接空闲超时设置300秒左右，数据连接空闲超时120秒，超时自动断开，释放资源。
字符编码，中文文件名乱码的根源
FTP协议早期基于ASCII，后续虽然支持UTF-8，但客户端和服务器默认编码经常不一致。服务器端最好强制开启UTF-8支持，配置文件一般有UTF8或者字符集相关选项。客户端也要选用UTF-8编码，两边统一，中文文件名不会乱码。老版本FlashFXP、部分国产工具默认GBK编码，需要手动切换。
加密，有比没有强
纯FTP传输，账号密码、文件内容全程明文。同一局域网抓包，账号密码直接被获取。解决办法启用FTPS，也就是FTP over SSL/TLS。生成或者购买SSL证书，在服务器配置填写证书路径，强制加密连接。控制连接和数据连接都会加密，配置步骤繁琐，但安全性提升明显。
还有SFTP，基于SSH协议，端口22，和FTP不是一类东西。服务器已经开启SSH，SFTP不用额外安装软件，默认加密。缺点是传输效率低于FTP，权限体系绑定系统账号，灵活性比不上虚拟用户。
日志和磁盘配额，事后追溯用
日志功能打开，记录登录账号、时间、文件传输行为、失败登录记录。排查故障的时候日志是第一手依据。磁盘配额防止单个用户占用全部硬盘空间，给每个用户分配最大存储空间，例如5GB或者10GB，超出之后禁止上传。
具体怎么搭，选个工具
Linux环境，vsftpd使用最多，配置简洁，文档资源充足。安装后主配置文件 /etc/vsftpd.conf，前面提到的参数基本都在这里修改。修改完成重启服务 systemctl restart vsftpd。防火墙放行21端口以及被动模式端口段。
Windows平台，FileZilla Server是免费方案里比较省心的，图形界面，用户权限鼠标点击配置，被动端口范围在设置页面填写。Serv-U功能更强，但属于付费软件。
不想敲命令行，宝塔面板、1Panel这类运维面板自带FTP模块，点几下创建用户和目录，默认参数基本够用。适合快速部署，不需要深度调优。
搭完之后先自测
换一台设备或者手机流量，用FTP客户端连接。能登录不等于文件传输正常，上传下载都要完整测试。登录成功但传文件卡住，大概率被动端口没有放行。中文文件名乱码，回头核对编码设置。完全连不上，优先检查防火墙、安全组，确认服务正常监听。
搭建FTP服务器核心要点就这些。参数配置到位，后期基本不用维护。配置出错，后续会反复收到故障反馈。