Linux下的FTP服务器登录不上，核心答案通常不在FTP软件本身，而是服务未启动、端口被防火墙拦截、SELinux限制、用户权限或被动模式配置错误这五类原因，按顺序排查，多数问题能在10分钟内定位。
先查服务状态：Linux FTP服务器登录失败怎么解决的第一步
很多人一看到登录失败就怀疑密码,其实先看服务活没活更省时间，登录报“Connection refused”或“No route to host”，基本跟认证无关，是服务或网络层的问题。
确认FTP进程是否活着
用systemctl status vsftpd或systemctl status proftpd查看状态，如果显示inactive (dead)，先启动：
sudo systemctl start vsftpdsudo systemctl enable vsftpd
如果启动失败,看日志：journalctl -u vsftpd -n 50，常见原因是配置文件拼写错误，比如listen=YES写成了listen=YSE，检查/etc/vsftpd.conf或/etc/proftpd/proftpd.conf。
检查端口监听
用ss -tlnp | grep :21或netstat -tlnp | grep :21，没有输出说明FTP没监听21端口，可能配置了非标准端口，或者listen=NO，vsftpd默认需要listen=YES和listen_ipv6=NO（或根据环境调整），修改后重启服务。
防火墙与SELinux：两个最容易被忽略的拦路虎
服务正常、端口监听也正常，但远程连不上，接下来就要看防火墙和SELinux。
防火墙放行21端口和被动端口
firewalld用户执行：
sudo firewall-cmd --permanent --add-service=ftpsudo firewall-cmd --reload
或者手动放行端口：sudo firewall-cmd --permanent --add-port=21/tcp，被动模式还需要放行一个范围，比如30000-31000/tcp，iptables用户：
sudo iptables -A INPUT -p tcp --dport 21 -j ACCEPTsudo iptables -A INPUT -p tcp --dport 30000:31000 -j ACCEPT
只放行21,登录可能成功，但列目录会卡死，因为数据连接用了随机端口。
SELinux：Linux FTP登录不上的头号嫌疑人
行业共识认为,SELinux是导致FTP登录失败的高频因素，先看状态：getenforce，如果是Enforcing，临时设为宽容模式：sudo setenforce 0，如果登录立刻成功，说明就是SELinux策略拦了。
永久解决有两种思路：
- 修改
/etc/selinux/config，把SELINUX=enforcing改成permissive，然后重启，但不推荐长期关闭。 - 正确配置布尔值：
sudo setsebool -P ftp_home_dir on，sudo setsebool -P allow_ftpd_full_access on，这样既能登录，又保留安全策略。
排查阶段用setenforce 0最快，确认后再决定永久方案。
为什么本地能登录，远程Linux FTP服务器却登录不了？
这个现象很常见,本地可能用root直接操作，远程用普通用户，或者本地走了不同网卡，差异主要在权限和配置。
用户权限与家目录限制
FTP默认禁止root登录,检查/etc/ftpusers和/etc/vsftpd/ftpusers，里面列出的用户不能登录，如果你用的普通用户也在里面，删掉或注释即可。
vsftpd开启chroot_local_user=YES后，用户家目录不能有写权限，否则报“500 OOPS: vsftpd: refusing to run with writable root inside chroot”，解决：chmod 755 /home/用户名，如果必须可写，可以设置allow_writeable_chroot=YES，但安全风险较高，不建议生产环境用。
用户shell如果是/sbin/nologin，需要确保/etc/shells里有这一行，否则PAM会拒绝登录，检查/etc/passwd中该用户的shell字段。
配置文件关键项
对照以下项：
anonymous_enable=NOlocal_enable=YESwrite_enable=YESchroot_local_user=YESpam_service_name=vsftpd
任何一项写错都可能导致530或500错误,改完重启：sudo systemctl restart vsftpd。
公司内网FTP服务器无法登录怎么办？被动模式与网络环境排查
公司内网环境比公网复杂,NAT、防火墙、代理都可能影响FTP，登录成功但无法列目录，多半是被动模式问题。
主动模式与被动模式的区别
FTP有两个连接：控制连接（21端口）和数据连接，主动模式下，服务器主动连客户端，客户端防火墙常拦截，被动模式下，客户端连服务器指定的随机端口，企业内网和云服务器多用被动模式。
如果客户端显示“Entering Passive Mode”后卡住，就是数据端口没通。
配置被动模式
在/etc/vsftpd.conf中设置：
pasv_enable=YESpasv_min_port=30000pasv_max_port=31000pasv_address=你的公网IP
业内专家指出,在云服务器和NAT环境下，被动模式必须正确设置pasv_address，否则客户端会拿到内网IP，导致数据连接失败，如果是简米云Linux FTP服务器登录不上如何排查？登录简米云控制台，找到安全组，入方向放行21和30000-31000，同时检查服务器内部防火墙是否也放行了相同端口。
内网DNS和路由
公司内网通过域名访问时,检查DNS解析是否指向正确IP，跨网段访问可能被ACL拦截，用telnet ftp.example.com 21测试控制端口通不通，如果telnet不通，先解决网络层。
vsftpd和proftpd哪个更容易出现登录问题？
两者都是主流Linux FTP服务器，但默认行为和配置复杂度不同。
配置复杂度对比
vsftpd轻量,默认配置严格，SELinux和chroot限制多，新手容易踩坑，proftpd功能多，配置灵活，但DefaultRoot设置不当也会导致登录失败，例如proftpd默认可能不允许用户跳出家目录，配置错误会报530。
日志定位差异
vsftpd日志通常在/var/log/vsftpd.log或/var/log/messages，proftpd日志在/var/log/proftpd/proftpd.log，看日志能快速区分是认证失败还是数据连接失败，530通常是认证问题，425/426是被动模式数据连接问题。
错误代码速查：ftp服务器登录报530错误是什么原因？
| 错误码 | 含义 | 常见原因 |
|---|---|---|
| 530 | 登录不正确 | 用户名密码错、用户被拒、PAM配置、/etc/ftpusers |
| 500 | 语法错误或权限拒绝 | chroot家目录可写、配置项错误 |
| 502 | 命令未实现 | 客户端发送了服务器不支持的命令 |
| 421 | 服务不可用 | 连接数超限、服务关闭 |
| 425 | 无法打开数据连接 | 被动模式端口未放行、pasv_address错误 |
| 426 | 数据连接异常 | 传输中断、超时 |
530 Login incorrect排查
- 确认密码正确,用
passwd 用户名重置。 - 检查
/etc/ftpusers和/etc/vsftpd/ftpusers。 - 检查PAM：
/etc/pam.d/vsftpd是否被注释。 - 虚拟用户场景下,检查
db_load生成的.db文件权限，通常要求600或660。
Q&A：Linux下FTP服务器为什么登录不上？
为什么telnet 21端口通，但FTP登录还是失败？
控制端口通只说明网络和防火墙放行了21,登录失败可能卡在认证阶段（530），或者被动模式数据端口没放行，用ftp -d或lftp看详细交互，重点看PASV响应里的IP和端口是否能连通。
修改配置后需要重启哪些服务？
vsftpd执行sudo systemctl restart vsftpd，proftpd执行sudo systemctl restart proftpd，如果改了SELinux布尔值，不需要重启FTP，但需要重新登录，改了防火墙规则，firewalld需要--reload，改了/etc/ftpusers，通常立即生效。
云服务器上FTP登录不上，安全组已经放行21端口还是不行？
安全组放行21只解决了控制连接,被动模式的数据连接使用随机端口，必须同时放行pasv_min_port到pasv_max_port的范围，并且pasv_address要写公网IP，如果还是不行，检查云服务器内部防火墙是否也放行了相同端口，最后用客户端以被动模式连接，观察是否卡在“Entering Passive Mode”，数据连接端口不通时，FTP登录后的目录列表和文件传输都会失败。
Linux下的FTP服务器登录不上,本质是配置、权限、安全策略和网络四层问题，按照服务、端口、SELinux、用户、被动模式的顺序逐层排查，比盲目重装更有效。