vsftpd默认配置极不安全，生产环境必须禁用匿名登录（anonymous_enable=no）、启用chroot锁定用户目录（chroot_local_user=yes）、配置被动端口段并处理防火墙/selinux；安装须按系统类型选用对应包管理器，混用将报错。
直接上结论：别装完就启动，vsftpd 默认配置等于裸奔；生产环境必须关 anonymous_enable=NO、开 chroot_local_user=YES、配好被动端口段，否则不是连不上，就是一登录就被上传木马。
怎么选对安装命令，不报 command not found
包管理器不通用，硬套会失败。先看系统类型：
-
cat /etc/os-release查ID=行：是ubuntu或debian就用apt install -y vsftpd - 是
centos、rhel、almalinux就用yum install -y vsftpd（RHEL 8+ 推荐dnf） - 阿里云/腾讯云轻量服务器可能已预装，执行
vsftpd -v有输出就别重复装，否则systemctl start vsftpd会失败
配置文件里哪些行不改，FTP就等于没设防
只改 local_enable=YES 是不够的，缺一不可：
-
anonymous_enable=NO—— 不关掉，任何人在浏览器输ftp://你的IP就能进 /var/ftp -
write_enable=YES—— 不开这个，用户能登录但所有上传、删改操作全报 550 错误 -
chroot_local_user=YES+allow_writeable_chroot=YES—— 用户主目录权限是 755（常见情况）时，缺后者会直接 500 错误退出 -
seccomp_sandbox=NO—— CentOS 8+/RHEL 9 等新系统默认启用沙箱，不关会导致 chroot 失败，日志里只显示 “500 OOPS”
改完务必验证语法：sudo vsftpd /etc/vsftpd/vsftpd.conf，无输出才表示合法。
为什么 FileZilla 显示“连接超时”或“530 Login incorrect”
90% 不是配置错，而是被防火墙或 SELinux 拦了：
- 先确认端口监听：
sudo ss -tlnp | grep :21，没输出说明服务根本没起来或被拦死 - 防火墙要放两段：控制端口
21/tcp+ 被动模式端口段（比如配了pasv_min_port=40000和pasv_max_port=40100，就得放40000-40100/tcp） - SELinux 更隐蔽：
setenforce 0临时关闭，如果立刻能连，说明需要永久处理——要么setsebool -P ftp_home_dir on，要么setsebool -P allow_ftpd_full_access on - 还要检查两个黑名单文件：
/etc/vsftpd/ftpusers（列在里面的一律拒绝）和/etc/vsftpd/user_list（取决于userlist_deny值，默认是白名单）
最易被忽略的是：被动模式端口段在 vsftpd.conf 里写了，但防火墙没同步放开——连接看起来“成功”，实际列目录或传文件时卡住或报 425 错误，这种问题排查起来最耗时间。
