ftp伺服器ssl過期
① ftp伺服器如何配置
首先我們創建一個用戶賬戶用於登錄FTP進行操作。右鍵點擊桌面的我的點擊選擇管理選項，進入管理界面打開本地用戶和組選項，我們可以看到列表中的用戶選項
1、解決方案：
ftp默認模式為被動模式，開啟一個隨機埠建立連接。需要把內網埠限制打開，
如果是通過硬體防火牆，將防火牆開啟ftp隨機埠就可以了
2、兩種方式的工作原理：
主動模式：
Port模式FTP 客戶端首先和FTP伺服器的TCP
21埠建立連接，通過這個通道發送命令，客戶端需要接收數據的時候在這個通道上發送PORT命令。
PORT命令包含了客戶端用什麼埠接收數據。在傳送數據的時候，伺服器端通過自己的TCP 20埠連接至客戶端的指定埠發送數據。 FTP
server必須和客戶端建立一個新的連接用來傳送數據。（可以看到在這種方式下是客戶端和伺服器建立控制連接，伺服器向客戶端建立數據連接，其中，客戶端的控制連接和數據連接的埠號是大於1024的兩個埠號（臨時埠），而FTP伺服器的數據埠為20，控制埠為21）
被動模式：
Passive模式在建立控制通道的時候和Standard模式類似，但建立連接後發送的不是Port命令，而是Pasv命令。FTP伺服器收到Pasv命令後，隨機打開一個臨時埠（也叫自由埠，埠號大於1023小於65535）並且通知客戶端在這個埠上傳送數據的請求，客戶端連接FTP伺服器此埠，然後FTP伺服器將通過這個埠進行數據的傳送，這個時候FTP
server不再需要建立一個新的和客戶端之間的連接。（可以看到這種情況下的連接都是由客戶端向伺服器發起的，與下面所說的「為了解決伺服器發起到客戶的連接的問題，人們開發了一種不同的FTP連接方式。這就是所謂的被動方式」相對應，而伺服器端的數據埠是臨時埠，而不是常規的20）
很多防火牆在設置的時候都是不允許接受外部發起的連接的，所以許多位於防火牆後或內網的FTP伺服器不支持PASV模式，因為客戶端無法穿過防火牆打開FTP伺服器的高端埠；而許多內網的客戶端不能用PORT模式登陸FTP伺服器，因為從伺服器的TCP
20無法和內部網路的客戶端建立一個新的連接，造成無法工作。
主動模式要求客戶端和伺服器端同時打開並且監聽一個埠以建立連接。在這種情況下，客戶端由於安裝了防火牆會產生一些問題。所以，創立了被動模式。被動模式只要求伺服器端產生一個監聽相應埠的進程，這樣就可以繞過客戶端安裝了防火牆的問題。
在被動方式FTP中，命令連接和數據連接都由客戶端發起，這樣就可以解決從伺服器到客戶端的數據埠的入方向連接被防火牆過濾掉的問題。
③ ftp虛擬賬戶設置以及ssl加密
注意1 ：
打開 FTP 伺服器上的文件夾時發生錯誤。請檢查是否有許可權訪問該文件夾。
詳細信息:
200 Switching to ASCII mode.
227 Entering Passive Mode (0,0,0,0,227,175).
解決：
在windows下操作：
打開 「網路和共享中心」，找到「Internet選項」 -->【高級】這頁，
取消掉「使用被動FTP(用於防火牆和DSL數據機的兼容)」
注意2 ： 雲主機防火牆設置
pasv_min_port=30000 ##被動模式最小埠
pasv_max_port=30010 ##被動模式最大埠
需要在伺服器端開放防火牆20/21以及30000/30010即可
參考：
mkdir /etc/vsftpd/sslkey
cd /etc/vsftpd/sslkey
openssl req -x509 -nodes -keyout /etc/vsftpd/sslkey/vsftpd.pem -out /etc/vsftpd/sslkey/vsftpd.pem -days 365 -newkey rsa:2048
vim /etc/vsftpd/vsftpd.conf 添加
參考：
1 FTP匿名訪問是FTP安全問題中最常見的問題,取消匿名訪問
2 未限制登錄用戶訪問目錄許可權，配置加固
除了chroot_list中的用戶都不能訪問上級根目錄
3 使用虛擬賬戶
4 密碼和文件內容都使用明文傳輸，可能產生不希望發生的竊聽，使用ftps ftp+ssl
注意登錄必須使用
5 在使用FTP時，如果客戶端機器和FTP伺服器雙方之間的所有埠都是開放的，那連接不存在問題。如果客戶端與伺服器之間有防火牆，如果沒配置好防火策略和採用合適的連接模式，會導致登錄成功，但無法List列表的問題。要避免出現這樣的問題，首先要了解FTP的工作模式。我採取的是被動模式
可參考
6 tcpmp port 21 -nA 可通過此命令查看ftp如果不添加ssl就是明文傳輸
④ 濡備綍閲嶆柊瀹夎卻sl璇佷功
1.閲嶆柊瀹夎卻sl錛岃繃紼嬪備笅錛
絎涓姝ワ細
opensslgenrsa-des3-outserver1.key1024
GeneratingRSAprivatekey,1024bitlongmolus
......++++++
........++++++
eis65537(0x10001)
Enterpassphraseforserver1.key:姝ゅ勮劇疆涓瀵嗙爜
Verifying-Enterpassphraseforserver1.key:閲嶆柊杈撳叆璁劇疆涓瀵嗙爜
絎鍥涙ワ細
#opensslrsa-inserver1.key.org-outserver1.key
Enterpassphraseforserver1.key.org:姝ゅ勮緭鍏ュ垰鎵嶈劇疆鐨勫瘑鐮
writingRSAkey
絎浜旀ワ細
]#opensslx509-req-days365-inserver1.csr-signkeyserver1.key-outserver1.crt
Signatureok
subject=/C=CN/ST=Beijing/L=Beijing/O=xo/OU=xo/CN=xo
GettingPrivatekey2.瀹夎呭畬ssl錛