求助：Azure VM上配置隐式FTPS的ProFTPD服务器连接被拒

我之前在Azure上部署ProFTPD隐式FTPS的时候也踩过类似的坑，结合你的描述，咱们一步步排查可能的问题：

1. 先确认ProFTPD的隐式FTPS核心配置是否正确 #

隐式FTPS要求ProFTPD专门监听990端口并强制启用TLS，你得确保配置里包含这些关键项：

• 加载mod_tls模块：LoadModule mod_tls.c
• 在全局配置或者对应虚拟主机中开启TLS引擎：TLSEngine on
• 明确绑定990端口并配置TLS证书，示例配置如下：

  <VirtualHost myPublicIP>
    Port 990
    TLSEngine on
    TLSRequired on  # 强制所有连接使用TLS
    TLSRSACertificateFile /path/to/your/server-cert.pem
    TLSRSACertificateKeyFile /path/to/your/server-key.pem
    TLSProtocol TLSv1.2 TLSv1.3  # 兼容主流客户端的TLS版本
  </VirtualHost>
  

配置完后用proftpd -t命令验证配置语法是否正确，有错误的话会给出明确提示。

2. 检查ProFTPD是否真的在监听990端口 #

登录到Azure VM，执行以下命令查看端口监听状态：

netstat -tulpn | grep 990
# 或者用更现代的ss命令
ss -tulpn | grep 990

如果输出里看不到ProFTPD进程（通常显示为proftpd或者/usr/sbin/proftpd）在监听990端口，说明配置没生效，得重启ProFTPD服务（比如systemctl restart proftpd），再重新检查。

3. 再次确认Azure和本地防火墙的规则 #

虽然你说已经开放了端口，但还是要仔细核对：

• Azure网络安全组（NSG）：入站规则里990端口的源地址是不是设为Any或者你测试用的客户端IP？有没有不小心把源范围设成了内网IP段？
• VM本地防火墙：Linux VM要检查ufw或firewalld，Windows VM检查Windows Defender防火墙，这些本地防火墙可能会拦截990端口的入站连接。可以临时关闭防火墙测试，或者添加明确的允许规则：

  # 以firewalld为例
  firewall-cmd --add-port=990/tcp --permanent
  firewall-cmd --reload
  

• 公网IP有效性：确认你连接的myPublicIP确实是当前VM的公网IP，避免因为IP动态变更导致连接失败（不过你说其他连接正常，这个概率较低）。

4. 客户端连接模式是否正确 #

隐式FTPS和显式FTPS的连接模式完全不同，你得确保客户端设置正确：

• 比如FileZilla要选择**FTP over TLS (implicit encryption)**模式，端口填写990；
• 也可以用openssl命令在客户端做测试，直接验证TLS握手是否正常：

  openssl s_client -connect myPublicIP:990
  

如果这个命令能返回TLS证书信息，说明网络连接没问题，问题出在客户端配置或ProFTPD的TLS细节；如果连不上，那大概率是网络层面的拦截。

5. 查看ProFTPD日志找线索 #

最后，去ProFTPD的日志目录（通常是/var/log/proftpd/，或者Linux系统的/var/log/messages）查看连接尝试时的日志。日志里会明确记录是端口绑定失败、TLS证书错误还是客户端协议不兼容，这些信息能直接帮你定位问题根源。

比如我之前碰到的情况就是，虚拟主机绑定了错误的内网IP，导致ProFTPD没在990端口监听，修正配置重启服务后就正常了。

内容的提问来源于stack exchange，提问作者agalisteo