在CentOS上配置FTP服务器的加密传输，业界主流有两种成熟方案：FTPS（基于SSL/TLS的FTP加密）和SFTP（SSH文件传输协议）。虽然都提供传输加密，但底层机制与配置流程差异明显。下面我们详细拆解这两种CentOS FTP加密传输的实现方式，帮助您快速上手。

方案一：部署FTPS实现SSL/TLS加密

FTPS的思路简单直接：在传统FTP协议外层叠加SSL/TLS加密层，从而保护用户名、密码以及传输的文件内容不被窃取。适合需要强制加密的FTP场景。

1. 安装基础组件
首先安装核心软件包。vsftpd作为FTP服务端，OpenSSL负责证书生成与SSL/TLS支持。一条命令即可完成：

sudo yum install vsftpd openssl

2. 生成SSL证书
加密传输依赖有效证书。生产环境建议使用CA签发的正规证书，但自签名证书用于内部测试也完全满足需求。创建2048位RSA密钥对，有效期设定一年：

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/pki/tls/private/vsftpd.pem -out /etc/pki/tls/certs/vsftpd.pem

该命令同时生成私钥与公钥证书，后续配置直接引用即可。

3. 配置vsftpd启用TLS
关键步骤——编辑 /etc/vsftpd/vsftpd.conf 文件，添加或修改以下参数。这些配置决定了是否启用SSL、是否允许匿名用户使用加密、是否强制本地用户登录和数据传输均走加密通道：

ssl_enable=YES
allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES
ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO
rsa_cert_file=/etc/pki/tls/certs/vsftpd.pem
rsa_private_key_file=/etc/pki/tls/private/vsftpd.pem

特别提醒：allow_anon_ssl=NO 可防止匿名用户绕过加密，安全角度强烈建议保留。

4. 重启vsftpd服务
配置文件修改后，重启服务使设置生效：

sudo systemctl restart vsftpd

5. 开放防火墙端口
FTP over TLS默认使用990端口，需在防火墙中放行：

sudo firewall-cmd --permanent --add-port=990/tcp
sudo firewall-cmd --reload

方案二：采用SFTP基于SSH通道传输

SFTP与FTPS完全不同，它不依赖FTP协议，而是直接运行在SSH通道之上。如果系统已开启SSH服务，无需额外安装FTP软件，配置更简洁。

1. 安装OpenSSH服务器
大多数CentOS默认已安装，若未安装可执行：

sudo yum install openssh-server

2. 启动并设置SSH开机自启
确保sshd运行，并设置为随系统启动：

sudo systemctl start sshd
sudo systemctl enable sshd

3. 防火墙放行SSH端口
SSH默认端口22，保持防火墙允许该端口通信：

sudo firewall-cmd --permanent --add-port=22/tcp
sudo firewall-cmd --reload

4. 客户端连接操作
最后一步非常简单。选择支持SFTP协议的客户端（如FileZilla或WinSCP），协议选SFTP，端口填22，输入服务器的SSH账号密码，即可开始安全传输。

加密传输配置要点总结

无论选择FTPS还是SFTP，以下几个共同点需重点关注：

• 证书管理：FTPS的安全核心在于证书，务必确保证书有效并定期更新。若对外提供服务，建议购买受信任CA签发的证书，避免客户端告警。
• 防火墙规则：端口放行错误或规则遗漏，直接导致连接失败。请仔细核对端口号与防火墙策略。
• 日志审计：养成定期查看FTP/SSH日志的习惯，及时发现异常连接，这是日常运维的基础安全措施。

按照上述流程操作，CentOS FTP加密传输的配置并不复杂。无论最终选定FTPS还是SFTP，都能有效保障文件传输过程的安全性与可靠性。