搭建FTP服务器，参数选项看着繁多，但真正容易出故障的就几处。很多人本地测试连接正常，换一台设备就连不上；能登录服务器却看不到目录列表；小文件传输没问题，大文件中途断开。绝大多数这类故障根源，都落在被动模式、端口范围、根目录锁定三个配置项，其余参数属于锦上添花。
先说监听端口。FTP默认21端口作为控制连接，负责传输指令、账号密码。数据连接是另外一套，主动模式下服务器使用20端口主动连接客户端，现在基本很难正常工作，客户端大多部署在路由器内网，没有公网IP，服务器无法主动建立连接。部署FTP必须开启被动模式，服务器开放高位端口等待客户端接入。端口范围手动指定，例如50000至51000，防火墙和云安全组同步放行该端口段。不固定端口范围，服务器随机启用端口，防火墙无法提前放行，客户端登录成功但目录列表加载失败，卡在Entering Passive Mode提示。
被动模式还有一处容易忽略配置项：外部IP地址。服务器部署在NAT环境内，配置文件必须填写公网IP，不然服务器向客户端返回内网IP，客户端拿到地址无法建立数据连接。vsftpd配置项为pasv_address，FileZilla Server叫被动模式外部IP，漏填或者填写错误，现象就是登录成功，但目录空白。
用户权限体系是第二个高频踩坑位置。FTP用户分为匿名用户、本地系统用户、虚拟用户三类。匿名用户任何人都可以接入，权限严格限制，一般只开放读取，关闭上传删除权限。本地系统用户直接复用服务器系统账号密码，配置简单但风险高，FTP默认明文传输，账号密码裸传，一旦泄露等于交出系统登录权限。正规部署推荐虚拟用户，单独一套账号密码，映射到无shell权限系统用户，就算FTP账号泄露，攻击者也拿不到服务器系统访问权限。
每个用户必须指定独立根目录，禁止跳出目录。vsftpd配置项chroot_local_user开启后，用户登录锁定在自家目录，无法访问上级目录。新版本vsftpd有个坑，家目录具备写权限时会拒绝用户登录，报错提示模糊，需要额外添加配置allow_writeable_chroot=YES才能正常使用。权限按需分配，读、写、删除、重命名、新建目录分开管控。只提供下载就只给读权限，需要上传再开启写权限，删除、重命名权限谨慎开启，大量误删文件都是权限放开过大造成。
并发连接和速率限制不配置很容易出问题。不限制连接数量，单个用户多线程下载会占满带宽，其他人无法使用。配置文件一般设置总最大连接、单IP最大连接、单用户最大连接。常规参考总连接100到200，单IP不超过10，单用户不超过5，根据带宽和业务调整。上传下载速率分开限制，对外提供服务的服务器，下载限速是必要操作，防止单用户耗尽上行带宽。
空闲超时同样需要设置。用户连接后长时间无操作，持续占用连接资源。控制连接空闲超时设300秒左右，数据连接空闲超时120秒，超时自动断开连接释放资源。中文文件名乱码根源是字符编码，服务器强制开启UTF-8，客户端同步选用UTF-8编码，两边编码保持一致，文件名才不会乱码。
加密方面，原生FTP传输，账号密码和文件内容全程明文。启用FTPS需要生成或者购买SSL证书，配置文件填写证书路径，强制本地用户使用TLS登录。客户端连接会弹出证书警告，自签名证书属于正常现象，确认即可；正式环境使用可信证书更好，自签名证书安全性也好过明文传输。日志功能开启，记录登录账号、时间、文件操作、失败访问记录。磁盘配额防止单个用户占满硬盘，给每个用户设置最大存储空间，超出限额禁止上传。
防火墙和安全组配置要同步。21端口以及被动模式端口段放行，TCP协议。服务器在NAT环境，端口映射配置正确，内外端口一一对应。测试不要只在本机访问，换一台外部机器测试上传下载。登录成功但传文件卡住，基本是被动端口没有放行。中文文件名乱码，回头核对编码设置。完全无法连接，优先检查防火墙、安全组，确认服务正常监听。搭建FTP重点就是这几项，参数配置到位后续维护工作量很小，配置不当故障会反复出现。