Linux系统中FTP服务登录失败是运维过程中较为常见的问题，排查时需要从服务本身、配置规则、系统限制等多个维度逐步验证，找到对应的故障点后针对性处理即可恢复访问。
一、检查FTP服务是否正常运行
首先确认FTP服务进程是否处于启动状态，以常用的vsftpd服务为例，执行以下命令查看服务状态：
# 查看vsftpd服务运行状态 systemctl status vsftpd # 如果服务未启动，执行启动命令 systemctl start vsftpd # 设置服务开机自启，避免重启后服务停止 systemctl enable vsftpd
如果执行状态命令后显示服务处于inactive (dead)状态，说明服务未启动，启动后再次尝试登录即可。如果启动失败，可以查看服务日志定位启动报错原因：
# 查看vsftpd服务启动日志 journalctl -u vsftpd -xe
二、核对FTP核心配置文件
vsftpd的默认配置文件路径为/etc/vsftpd/vsftpd.conf，常见的配置错误会导致登录失败，需要重点检查以下参数：
| 配置参数 | 正确取值示例 | 错误影响 |
|---|---|---|
| anonymous_enable | NO | 如果开启匿名登录但用户使用账号密码登录，会被拒绝 |
| local_enable | YES | 关闭后本地系统用户无法登录FTP |
| write_enable | YES | 关闭后用户无法上传文件，部分场景会直接拒绝登录 |
| pam_service_name | vsftpd | 配置错误会导致用户认证失败 |
修改配置文件后需要重启vsftpd服务使配置生效：
systemctl restart vsftpd
三、排查防火墙与SELinux限制
Linux系统的防火墙和SELinux安全机制可能会拦截FTP连接，需要依次验证：
1. 防火墙规则检查
FTP默认使用21端口作为控制端口，被动模式还会使用随机端口，需要开放对应端口：
# 查看防火墙已开放端口 firewall-cmd --list-ports # 开放21端口 firewall-cmd --add-port=21/tcp --permanent # 如果是被动模式，还需要开放被动端口范围，假设配置被动端口为30000-30010 firewall-cmd --add-port=30000-30010/tcp --permanent # 重新加载防火墙规则 firewall-cmd --reload
2. SELinux规则检查
SELinux开启时可能会限制FTP访问，执行以下命令查看SELinux状态：
# 查看SELinux运行状态 getenforce
如果输出为Enforcing，可以临时关闭SELinux测试是否为SELinux导致的问题：
# 临时关闭SELinux setenforce 0
如果关闭后可以正常登录，说明是SELinux限制，需要设置SELinux允许FTP访问：
# 允许FTP访问用户家目录 setsebool -P ftp_home_dir=1 # 允许FTP读写权限 setsebool -P allow_ftpd_full_access=1
四、验证用户权限与密码
如果服务、配置、系统限制都没有问题，需要检查登录用户本身的状态：
- 确认用户密码是否正确，执行
passwd 用户名可以重置密码后重试 - 检查用户是否被限制登录，查看
/etc/passwd文件中用户的shell是否为合法登录shell，比如/sbin/nologin的用户无法登录FTP - 查看
/etc/vsftpd/ftpusers和/etc/vsftpd/user_list文件，确认登录用户没有被加入禁止访问列表
如果以上步骤都排查后仍然无法登录，可以开启vsftpd的调试日志，在配置文件中添加log_ftp_protocol=YES，重启服务后查看/var/log/vsftpd.log获取详细的登录交互记录，进一步定位问题。