FTP服务器登录提示账号密码错误，多数情况下不是你真的把密码记错了，而是服务器在账号状态、目录权限、加密模式或安全策略这条认证链条上把正确凭据也挡了回来。
这个问题看起来像一道简单的“密码填空题”，实际排查起来却要顺着服务器端、客户端、网络层三条线走，先别急着重置密码，按下面的顺序查一遍,基本能定位。
ftp账号密码正确但是登录不上？先查账号状态与目录权限
密码输入细节：大小写、特殊符号、末尾空格
FTP密码区分大小写，像PassWord123和password123在服务器眼里完全是两套字符串，很多用户在手机备忘录里复制密码时，会把末尾换行符或空格一起带进去,客户端提交的密码就多了一个不可见字符。
排查操作：
- 在记事本里重新手动输入一遍账号密码,再粘贴到客户端。
- 不要把密码复制到浏览器地址栏再转贴,容易夹带空格。
- 如果密码包含、、等特殊符号,确认客户端没有把它们当作URL转义处理。
账号被锁定或禁用：Linux下passwd -S和userlist
Linux平台使用vsftpd搭建FTP服务器时，系统账号虽然存在，但账号可能被锁定,使用命令查看：
passwd -S ftpuser输出中如果包含LK，表示账号已被锁定,解锁使用：
passwd -u ftpuser另一个高频拦截点是/etc/vsftpd/user_list，当/etc/vsftpd/vsftpd.conf里同时存在以下配置时：
userlist_enable=YES
userlist_deny=NO只有user_list文件里列出的用户名才能登录，其他账号哪怕密码完全正确也会收到530错误，相反，如果userlist_deny=YES，列表里的账号反而会被拒绝,改完配置需要重启服务：
systemctl restart vsftpd家目录权限错误：vsftpd的530陷阱
有些用户习惯把FTP家目录权限设成777方便上传，但这恰恰会触发vsftpd的安全拦截，vsftpd拒绝在“其他用户可写”的家目录下进行认证登录,直接返回530。
正确权限通常是：
chmod 755 /home/ftpuser可以使用ls -ld /home/ftpuser检查，另外如果家目录不存在、路径拼写错误，或者/etc/passwd里用户的家目录指向了一个未挂载的磁盘,也会出现登录失败。
局域网ftp登录失败原因：防火墙和认证模块的两个高频拦截点
PAM认证模块拒绝：/etc/pam.d/vsftpd
不少局域网环境为了安全，会把FTP用户的系统shell设置为/sbin/nologin或者/bin/false，但这会连带影响PAM认证，查看/etc/pam.d/vsftpd,如果存在类似内容：
auth required pam_shells.so系统会检查用户的shell是否在/etc/shells里。/sbin/nologin如果不在这个文件里，认证就被拒，解决办法要么给FTP用户单独设置一个有效shell，比如/usr/sbin/nologin并加入/etc/shells,要么在PAM配置中注释掉相关行。
重启服务后再试：
systemctl restart vsftpd局域网防火墙阻断21端口或被动端口
FTP协议有主动模式和被动模式，局域网里大部分客户端使用被动模式连接服务器，如果服务器只放行了21控制端口，没有放行被动模式的数据端口范围，客户端在认证阶段可能能通过，但在目录列表时断开,有些客户端会误报密码错误。
在防火墙中同时放行21端口和一段被动端口：
firewall-cmd --add-service=ftp --permanent
firewall-cmd --add-port=30000-31000/tcp --permanent
firewall-cmd --reloadvsftpd配置中也需要声明被动端口范围：
pasv_enable=YES
pasv_min_port=30000
pasv_max_port=31000局域网ftp登录失败原因还包括账号过期
Linux账号可以设置过期时间，使用chage -l ftpuser查看账号是否过期，如果Account expires字段早于当前日期，即使密码正确也会被拒绝,修改命令：
chage -E -1 ftpuser简米云ftp服务器无法登录账号密码：安全组规则优先级排查
安全组出站和入站方向都别忽略
云服务器上的FTP登录失败，问题经常不在服务器本身，而在云控制台的安全组规则，简米云安全组默认可能只放行了22、80、443等常用端口，21端口没放行，客户端连接直接被丢包，更隐蔽的是被动模式端口范围没有写入安全组，导致认证阶段勉强通过,后续数据连接失败。
排查路径：
- 登录简米云控制台,进入ECS实例的安全组配置。
- 检查入方向是否放行21/20端口，来源IP建议先设为
0.0.0/0测试。 - 如果vsftpd配置了被动端口30000-31000,入方向也要放行这个完整区间。
系统内部防火墙与云安全组的叠加关系
云服务器内部如果还开着firewalld或者iptables，安全组放行了也没用，双重拦截下，客户端表现就是连不上或者提示530,先用以下命令查看内部防火墙状态：
firewall-cmd --list-all如果21端口不在services列表中,执行：
firewall-cmd --add-service=ftp --permanent
firewall-cmd --reloadfilezilla连接ftp服务器530错误的加密模式切换
客户端加密方式与服务器不匹配
FileZilla作为使用最多的FTP客户端之一，在站点管理器里有一个关键设置：加密方式，如果服务器只配置了普通FTP，而客户端选择了“要求显式的FTP over TLS”，连接时服务器无法完成TLS握手,就会返回530错误。
修改步骤：
- 打开FileZilla站点管理器。
- 选择对应站点，在右侧“加密”下拉框中。
- 如果服务器未启用FTPS，选择“只使用普通FTP”。
- 如果服务器启用了显式TLS，选择“要求显式的FTP over TLS”或者“如果可用，使用显式的FTP over TLS”。
FileZilla服务端用户账户未启用
使用FileZilla Server搭建FTP时，服务端用户管理里有一个“启用账户”复选框，一些用户创建了账号、设置了密码，但忘记勾选启用，客户端提交正确凭据也会被拒,检查路径：
- FileZilla Server界面点击“编辑”菜单，选择“用户”。
- 左侧选择对应账号，右侧确认“启用账户”已勾选。
- 同时检查“密码”字段是否为空或包含意外空格。
日志定位实操：三分钟找到被拒原因
vsftpd日志命令
vsftpd默认把认证失败写入/var/log/secure
或者/var/log/messages,使用以下命令快速过滤：
grep vsftpd /var/log/secure | tail -20常见的日志片段：
530 Login incorrect：账号密码组合错误或PAM拒绝。500 OOPS: vsftpd: refusing to run with writable root inside chroot()：家目录权限问题。pam_shells：用户shell不在/etc/shells。
FileZilla客户端日志
FileZilla客户端的顶部消息区域会显示完整握手过程,如果看到：
530 Login incorrect说明服务器明确拒绝了凭据,如果看到：
严重错误: 无法连接到服务器则是网络层问题，和安全组、防火墙、被动端口相关，把日志完整复制出来,对着上面几个模块逐个排除即可。
登录提示账号密码错误不是终点，而是服务器把拒绝理由藏在日志和配置文件里了，顺着账号状态、目录权限、加密匹配、安全策略四条线走一遍,多数情况下不需要重置密码就能解决问题。
Q&A
ftp服务器登录账号密码错误怎么回事？
可能的原因包括：密码输入时带入了空格或大小写不一致、账号被锁定或禁用、家目录权限过宽、PAM认证模块拒绝、客户端加密方式与服务器不匹配、防火墙或安全组未放行FTP端口，逐一排查服务器端日志和账号状态,可以快速定位具体原因。
局域网ftp登录失败原因有哪些？
局域网场景常见原因集中在三处：防火墙未放行21端口和被动端口范围、FTP用户的系统shell被PAM模块拒绝、账号在家目录权限为777时被vsftpd安全策略拦截，局域网内如果存在IP地址冲突或ARP欺骗,也可能导致认证失败。
filezilla连接ftp服务器530错误怎么办？
先检查站点管理器里的加密设置，确认客户端没有错误选择TLS加密，再检查服务端用户是否启用、密码字段是否为空，如果是FileZilla Server，查看用户管理中的“启用账户”复选框，如果是vsftpd，查看/var/log/secure中530前的具体PAM错误信息，按提示修复账号或权限配置,530错误消失即说明加密模式或账号配置已恢复正确状态。