在云服务器上跑FTP，常见场景包括快速上传下载大文件、备份网站资源、以及把本地开发环境与云端保持同步。本教程以阿里云ECS为例，覆盖从基础安装到安全强固的一整套流程。文中所述操作适用于常见的Linux发行版，如Ubuntu、Debian、CentOS、Rocky等，具体命令可能因发行版略有差异，请结合实际系统版本调整。
第一步是选择操作系统和初步准备。阿里云控制台新建ECS实例时，选用LTS版本的Linux镜像通常最稳妥。通常会开启一个管理端口，如SSH的22端口，日常运维以SSH为主，而FTP是对外提供文件传输的服务，因此计划好端口暴露范围尤为重要。此处要提醒你，直接暴露20/21端口容易成为被动攻击的入口，最好配合安全组规则和后续的加固措施。
接下来，打开防火墙与安全组。阿里云的安全组像一个虚拟防火墙，放行21端口仅仅是起点。你需要在云服务器所在的地域的安全组规则中添加入站端口21和被动模式所用的端口范围(如10090-10100)，并限制来源IP或IP段以增加安全性。若你打算使用TLS/SSL的FTPS，还需要开放相关端口（如990用于被动模式的TLS控制，或自定义端口池）。此外，关闭匿名登录、确保本地用户只在其家目录有写权限，是常见的安全做法。
在操作系统层面，先安装 vsftpd 等开源FTP服务器。不同发行版的安装命令略有差异：在 Ubuntu/Debian 系列，执行 sudo apt-get update && sudo apt-get install -y vsftpd；在 CentOS/RHEL 系列，执行 sudo yum install -y vsftpd。安装完成后，启动并设置开机自启：sudo systemctl start vsftpd && sudo systemctl enable vsftpd。
接着编辑 vsftpd 的主配置文件 /etc/vsftpd.conf，确保以下关键参数：anonymous_enable=NO（禁止匿名访问）、local_enable=YES（允许本地用户登录）、write_enable=YES（允许写入），local_umask=022（创建文件的权限掩码）。若你希望 FTP 用户被锁定在家目录内，可以使用 chroot_local_user=YES；若担心家目录下的可写性会影响安全，可以启用 allow_writeable_chroot=YES 或将用户改为只读目录。设置被动模式的端口区间：pasv_min_port=10090、pasv_max_port=10100，并在防火墙中开放这段端口。此外，开启数据加密对于 FTP 安全也很关键。完成修改后，重启 vsftpd：sudo systemctl restart vsftpd。
给 FTP 用户配置账号与目录。创建一个专用的 FTP 用户，例如 ftpuser，并创建其家目录 /home/ftpuser，设置权限为 755（或 750，视你要对外开放的程度而定）。把 ftpuser 的主目录设置为可访问的路径，并将需要上传的目录的拥有者改为 ftpuser：sudo useradd -m -d /home/ftpuser -s /sbin/nologin ftpuser；sudo passwd ftpuser；sudo chown -R ftpuser:ftpuser /home/ftpuser。若你希望某些子目录具备写权限，可以单独调整子目录的权限与所有权。
安全加固还包括 TLS/SSL 支持。vsftpd 支持 FTPS，通过证书实现数据传输加密。你需要生成或购买证书，配置 ssl_enable=YES、rsa_cert_file=/path/to/cert.pem、rsa_private_key_file=/path/to/key.pem，并将 ssl_tlsv1=YES、ssl_sslv2=NO、ssl_sslv3=NO 等选项设定为安全版本。完成后，使用 ftps://your-server 来连接，而不是传统的 ftp://。如果你对安全要求极高，更推荐使用 SFTP（SSH File Transfer Protocol），它基于 SSH，通常更简单安全，且不需要再额外开启 FTP 的数据通道。
关于被动模式端口，除了在 vsftpd.conf 中定义 pasv_min_port 和 pasv_max_port，你还需要在云服务器的安全组中开放同样的端口范围，并在本机防火墙（如 firewalld、ufw）中允许这些端口。一个简单的做法是把 TCP 21、10090-10100 一并放行。你也可以考虑关闭被动模式，改用主动模式，但这在跨 NAT 的网络环境下常常不可用，因此被动模式更通用。
如果你愿意使用容器化部署，也可以选择在 Docker 中跑 vsftpd。通过映射宿主机的 21 和被动端口区间到容器，可以实现更灵活的版本升级与隔离，但需要额外的网络配置、SELinux 设置，以及对容器网络的理解。对于初学者而言，直接在宿主机上配置通常更易维护。
测试阶段，用 lftp、FileZilla、WinSCP 等客户端连接测试。常见问题与排查思路包括：1) 连接超时或 425 Cannot open data connection，通常是被动端口未对外暴露或防火墙阻塞；2) 530 Login authentication failed，证书权限、用户密码、账户是否被锁定，以及 vsftpd 是否正确读取配置文件；3) 550 Permission denied，权限和 chroot 配置需正确，用户必须有写权限的位置需设置为可写或改为只读。通过查看 /var/log/vsftpd.log（或 /var/log/messages、systemd 日志）可以定位问题。
在阿里云的环境中，还需要注意云端磁盘的挂载点、以及云安全组的生效时间。如果你开启了 SSD 磁盘并把数据目录放在高性能盘上，上传下载速度会更稳定。把备份目录设置在独立分区，避免程序日志、临时文件影响数据安全。若你使用的是 Windows 客户端，请确保被动端口和出现防火墙阻挡时的替代路径。
参考了十几篇教程、官方文档和社区问答，结合云服务器的实际网络环境，整合出一套适合大多数用户的搭建思路。不同教程可能在参数名称和默认值上略有差异，但核心原则是一致的，即尽量在保障安全的前提下实现简易可用的 FTP 服务。请在生产环境中遵循最小权限原则、定期更新软件、并对暴露端口的行为进行日志审计。
顺便分享一个小广告：玩游戏想要赚零花钱就上七评赏金榜，网站地址：bbs.77.ink
当你把所有端口都打开、把证书装上、把用户放到正确的目录后，谁在对面偷看你的数据流？答案藏在数据通道的那一串数字里，还是在你忽略的一个小中断？