搞了几个弯路，各种办法都试了。
动静最小的，还是定义端口。
还有虚拟用户，配置太多，只适用于小范围吧。又要pam.d，又要chroot之类的，nologin也必不可少。
~~~~~~~~~
限制被动模式连接端口的方法：
- 优点：对连接速度没有影响。
- 缺点： 限制了客户端并发连接的数量。
在/etc/vsftpd/vsftpd.conf中添加
pasv_enable=YES
pasv_min_port=2222 pasv_max_port=2225
iptables中开放这段端口
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT
-A INPUT -p tcp --dport 2222:2225 -j ACCEPT
