FTP客户端在Linux系统中连接服务器时出现“Connection refused”错误，如何排查？

Question

**问题描述：** 在使用FTP客户端从Linux系统连接远程服务器时，出现“Connection refused”连接被拒绝错误，无法建立FTP连接。请分析可能导致此问题的常见原因，并提供相应的排查步骤和解决方法。

Answer 1

1. 现象描述

在使用FTP客户端（如 ftp、lftp、FileZilla 等）从Linux系统连接远程FTP服务器时，出现“Connection refused”错误，导致无法建立连接。

2. 可能原因分析

该错误通常表示客户端无法与远程服务器的FTP服务建立TCP连接。常见原因包括：

• FTP服务未启动或异常
• 防火墙或安全策略阻止连接
• IP地址或端口配置错误
• SELinux或AppArmor限制访问
• 网络不通或路由问题
• 服务监听地址绑定错误
• 端口被占用或冲突

3. 排查流程图

graph TD
    A[FTP连接失败] --> B{是否能ping通服务器?}
    B -->|否| C[检查网络连通性]
    B -->|是| D{FTP服务是否运行?}
    D -->|否| E[启动vsftpd或检查服务状态]
    D -->|是| F{是否能telnet目标端口?}
    F -->|否| G[检查防火墙或安全策略]
    F -->|是| H{是否使用了SELinux/AppArmor?}
    H -->|是| I[临时禁用安全模块测试]
    H -->|否| J[检查FTP配置文件]
  

4. 具体排查步骤与解决方法

排查步骤	操作命令/方法	可能发现的问题	解决方法
检查网络连通性	ping remote_host	网络不通、DNS解析失败	检查网络配置、DNS设置或路由
检查FTP服务是否运行	systemctl status vsftpd 或 ps -ef | grep ftp	服务未启动、崩溃、配置错误	启动服务：systemctl start vsftpd
测试端口连通性	telnet remote_host 21 或 nc -zv remote_host 21	端口未开放、被防火墙拦截	开放21端口，检查iptables/firewalld配置
检查服务监听地址	netstat -tulnp | grep :21	服务未绑定0.0.0.0或绑定错误IP	修改vsftpd.conf中listen_address配置
检查防火墙规则	iptables -L -n | grep 21 或 firewall-cmd --list-all	防火墙阻止入站连接	添加规则允许21端口：firewall-cmd --add-port=21/tcp --permanent
检查SELinux或AppArmor	getenforce 或 aa-status	安全策略限制FTP访问	临时禁用或调整策略：setsebool -P ftpd_full_access=1
检查FTP配置文件	cat /etc/vsftpd/vsftpd.conf	配置错误，如anonymous_enable=NO但未启用用户登录	根据需求修改配置并重启服务
检查端口占用情况	lsof -i :21 或 netstat -tulnp | grep :21	端口被其他程序占用	杀掉占用进程或更改FTP服务端口
检查客户端配置	查看客户端是否配置了代理、错误的用户名/密码、被动模式等	客户端配置错误	调整客户端设置，尝试使用主动模式或关闭被动模式
查看日志文件	tail -f /var/log/messages 或 journalctl -u vsftpd	服务启动失败、连接被拒绝等日志信息	根据日志定位具体问题并修复

5. 扩展建议

在生产环境中，建议使用更安全的文件传输协议如SFTP或FTPS替代传统FTP，以避免明文传输带来的安全隐患。

此外，可以结合自动化监控工具如Nagios、Zabbix等对FTP服务进行实时健康检查，确保服务高可用。