linux系统中ftp服务无法访问是运维过程中常见的故障，排查时需要从服务状态、网络配置、权限设置、安全策略等多个维度逐步验证，找到问题根源后针对性解决即可恢复访问。
一、检查ftp服务是否正常运行
首先确认ftp服务进程是否处于启动状态，常见的linux ftp服务软件为vsftpd，可通过以下命令查看服务状态：
# 查看vsftpd服务运行状态 systemctl status vsftpd # 如果服务未启动，执行启动命令 systemctl start vsftpd # 设置服务开机自启，避免重启后服务失效 systemctl enable vsftpd
如果执行启动命令时报错，需要查看服务日志定位启动失败的原因，日志通常存放在/var/log/vsftpd.log路径下。
二、排查网络与端口连通性
ftp默认使用21端口作为控制端口，被动模式还会使用额外的数据端口，需要先确认端口是否正常监听，以及是否被防火墙拦截。
1. 检查端口监听情况
执行以下命令查看21端口是否被vsftpd进程正常监听：
# 查看21端口监听状态 netstat -tulnp | grep 21 # 或者使用ss命令查看 ss -tulnp | grep 21
如果没有输出结果，说明服务没有正常监听端口，需要回到第一步检查服务启动状态。
2. 检查防火墙规则
如果端口正常监听但远程无法访问，大概率是防火墙拦截了对应端口，可根据系统使用的防火墙工具调整规则：
# firewalld防火墙场景，开放21端口和被动模式端口范围 firewall-cmd --add-port=21/tcp --permanent # 假设被动模式端口范围为30000-30010，按需调整 firewall-cmd --add-port=30000-30010/tcp --permanent # 重新加载防火墙规则 firewall-cmd --reload # iptables防火墙场景，开放21端口 iptables -A INPUT -p tcp --dport 21 -j ACCEPT # 保存iptables规则，不同系统保存命令可能有差异 service iptables save
三、检查SELinux安全策略限制
如果防火墙规则已经放行但依然无法访问，需要排查SELinux是否限制了ftp服务的访问权限，执行以下命令查看SELinux状态：
# 查看SELinux运行状态 getenforce
如果输出为Enforcing，说明SELinux处于强制模式，可临时关闭验证是否为SELinux导致的问题：
# 临时关闭SELinux setenforce 0
如果关闭后ftp可以正常访问，说明是SELinux策略限制，可通过以下命令调整ftp相关的SELinux配置：
# 允许ftp访问用户家目录 setsebool -P ftp_home_dir on # 允许ftp读取写入文件 setsebool -P allow_ftpd_full_access on
四、检查ftp配置与用户权限
服务、网络、安全策略都正常的情况下，需要检查vsftpd的配置文件和用户权限设置。
1. 检查vsftpd核心配置
vsftpd的主配置文件路径为/etc/vsftpd/vsftpd.conf，需要确认以下核心配置是否正确：
| 配置项 | 正确取值 | 说明 |
|---|---|---|
| listen | YES | 以独立模式运行服务 |
| anonymous_enable | NO | 禁止匿名访问，按需调整 |
| local_enable | YES | 允许本地用户登录 |
| write_enable | YES | 允许写操作，按需调整 |
| chroot_local_user | YES | 限制用户只能访问家目录，按需调整 |
修改配置后需要重启vsftpd服务生效：
systemctl restart vsftpd
2. 检查用户权限与目录属性
确认登录用户是否存在，以及对应的家目录权限是否正确，用户需要有对应目录的读或写权限：
# 查看用户是否存在 id 用户名 # 查看用户家目录权限 ls -ld /home/用户名 # 如果权限不足，调整目录权限 chmod 755 /home/用户名
五、常见故障场景总结
- 本地可以访问但远程无法访问：优先检查防火墙端口放行规则，以及SELinux限制
- 登录提示认证失败：检查用户密码是否正确，用户是否被锁定，
/etc/vsftpd/ftpusers和/etc/vsftpd/user_list是否限制了该用户登录 - 能登录但无法上传下载文件：检查
write_enable配置是否为YES，目录写权限是否开放，SELinux的allow_ftpd_full_access是否开启
排查过程中建议逐步验证每个环节，每次调整后测试访问状态，避免同时修改多个配置导致无法定位问题根源。