搞了几个弯路，各种办法都试了。

动静最小的，还是定义端口。

还有虚拟用户，配置太多，只适用于小范围吧。又要pam.d，又要chroot之类的，nologin也必不可少。

~~~~~~~~~

限制被动模式连接端口的方法：

• 优点：对连接速度没有影响。
• 缺点： 限制了客户端并发连接的数量。

在/etc/vsftpd/vsftpd.conf中添加

pasv_enable=YES

pasv_min_port=2222 pasv_max_port=2225

iptables中开放这段端口

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

-A INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT

-A INPUT -p tcp --dport 2222:2225 -j ACCEPT