如果FileZilla选择：要求显式的 FTP over TLS，这种方式连接，需要怎么配置？

一、服务器端配置（宝塔Pure-Ftpd）

1. 确认Pure-Ftpd已启用TLS

• 进入宝塔面板 → 【软件商店】→ 找到 Pure-Ftpd → 【设置】→ 【配置修改】。
• 检查以下参数（若不存在则手动添加）：
• # 启用TLS加密 TLS                      1  # 指定SSL证书路径（根据实际路径修改） CertFile                 /etc/letsencrypt/live/你的域名/fullchain.pem  # 证书链文件 KeyFile                  /etc/letsencrypt/live/你的域名/privkey.pem    # 私钥文件 # 可选：强制使用TLS（拒绝明文连接） TLSOnly                  yes  # 可选：设置加密算法（增强安全性） TLSCipherSuite           HIGH:MEDIUM:+TLSv1.3:+TLSv1.2

2. 重启Pure-Ftpd服务

• 在Pure-Ftpd设置页面点击 【重启服务】。

3. 防火墙放行端口

• 控制连接端口：21（必须开放）。
• 被动模式端口范围：默认39000-40000（需在宝塔【安全】和云服务器安全组中放行）。

二、客户端配置（FileZilla）

1. 新建站点并选择协议

1. 打开FileZilla → 【站点管理器】→ 新建站点。
2. 配置以下参数：

• 协议：选择 FTP - 文件传输协议。
• 加密：选择 “要求显式的 FTP over TLS”（关键步骤！）。
• 主机：服务器IP或域名。
• 端口：21（默认）。
• 登录类型：正常（输入用户名/密码）或询问密码。

2. 处理证书警告（首次连接）

• 如果使用自签名证书，FileZilla会提示 “未知证书”，勾选 “始终信任该证书” 并确认。
• 若证书由权威CA签发（如Let's Encrypt），则不会提示。

3. 验证连接

• 成功连接后，FileZilla日志会显示：
• 状态: TLS 连接已建立 状态: 登录成功

三、关键注意事项

1. 协议选择必须正确

• FileZilla的 “加密”选项 必须选择 “要求显式的 FTP over TLS”（不是“普通FTP”或“隐式的 FTP over TLS”）。

1. 被动模式支持

• 如果客户端处于NAT后（如家庭网络），需在FileZilla设置中启用 “被动模式”（默认已开启）：

• 
  
• [FileZilla设置] → 传输模式 → 被动(PASV)

• 证书问题排查
• 若连接失败并提示证书错误，检查：
• 证书路径是否正确（CertFile和KeyFile）。
• 证书文件权限（Pure-Ftpd进程需有读取权限）：

• 
  
• chmod 600 /path/to/privkey.pem chmod 644 /path/to/fullchain.pem

四、高级配置（可选）

1. 禁用明文FTP（强制TLS）

TLSOnly                  yes  # 拒绝非加密连接

2. 限制TLS版本

TLSCipherSuite           HIGH:!aNULL:!MD5:@STRENGTH

五、连接失败排查

1. 检查服务状态

• systemctl status pure-ftpd
• 查看日志
• tail -f /var/log/messages  # 或 /var/log/syslog
• 测试端口连通性

1. telnet 服务器IP 21          # 控制连接是否可达

六、安全建议

• 优先使用SFTP：FTP over TLS仍存在协议层面的漏洞，建议改用SFTP（基于SSH，端口22）。
• 定期更新证书：Let's Encrypt证书需每90天续签（宝塔可自动续签）。