傳統 FTP 以明文傳輸帳號、密碼與資料，極易遭竊聽。透過在 Serv-U FTP Server 建立自簽或購買的 SSL 憑證，並強制啟用「僅允許 SSL/TLS 連線」，即可將 FTP 升級為 FTPS（FTP over SSL），預設連接埠從 21 改為 990，有效防禦中間人攻擊。
步驟一：建立專屬 SSL 憑證
- 開啟「Serv-U 管理員」→ 展開「本地伺服器」→「設定」→ 切換「SSL 憑證」索引標籤。
- 點選「新增」或「建立新憑證」。
- 填寫資訊：
- 通用名稱：輸入 FTP 伺服器公網 IP 或網域名（如
ftp.example.com），Client 驗證時會比對此欄位。
- 組織、單位、電子郵件等依實際填寫。
- 點選「套用」，Serv-U 即會產生新的憑證與私鑰。
步驟二：啟用域域的 SSL 功能
- 在「Serv-U 管理員」展開「本地伺服器」→「域」→ 選擇目標域（例：RTJ）。
- 右側「安全性」下拉選單選擇 「僅允許 SSL/TLS 連線」。
（選項說明：
「僅規則 FTP」= 明文；
「允許 SSL/TLS 與規則」= 雙軌並行；
「僅允許 SSL/TLS」= 強制加密，最安全。）
- 點選「套用」。
步驟三：客戶端連線設定
- 通訊協定選擇 FTP over SSL/TLS (Explicit FTPS) 或 Implicit FTPS（視 Server 設定）。
- 連接埠：990（Implicit）或 21（Explicit，連線後發送
AUTH TLS 升級）。
- 信任憑證：自簽憑證首次連線會跳出「未受信任」警告，選擇「永遠信任」或匯入受信任根憑證機構。
常見問題排查
| 現象 | 原因 | 解決 |
|---|
| Client 連線逾時 | 防火牆未開放 990 或 PASV 資料埠範圍 | 開放對應埠，並在 Server 設定固定 PASV 埠範圍 |
| 憑證驗證失敗 | 通用名稱與連線位址不符、憑證過期 | 重新產生憑證，CN 填正確 IP/域名 |
| 資料傳輸中斷 | SSL 協商失敗、MTU 過大導致分片 | 降低 MTU、檢查 OpenSSL 版本相容性 |
進階建議
- 生產環境建議購買受信任 CA 簽發的憑證，避免 Client 手動信任步驟。
- 搭配「IP 存取規則」限制來源 IP、啟用「暴力破解防護」（失敗 N 次鎖定 IP）。
- 定期更換憑證（建議每年），私鑰離線備份。
啟用 FTPS 只需幾分鐘設定，卻能將 FTP 從「裸奔」升級為「加密傳輸」，保護帳號密碼與敏感資料，是 FTP 伺服器上線的基本門檻。
