在自动化运维、网络设备配置备份以及嵌入式系统开发中，TFTP（Trivial File Transfer Protocol）依然扮演着不可或缺的角色。这种轻量级协议虽然功能简单，却因其易于实现而广泛存在于各类网络环境中。许多工程师在需要临时传输配置文件或固件时，往往找不到一种快速且不引入复杂依赖的解决方案。本文将从实用角度出发，剖析如何开启TFTP服务器，并提供一套不依赖图形界面、完全可脚本化的部署思路，帮助你在五分钟内建立一个稳定可用的传输通道。
在动手操作前，必须明确TFTP的设计初衷：它基于UDP端口69，没有认证机制，也没有目录浏览功能。这意味着它的适用场景是受控网络环境中的文件分发，而不是面向公网的安全传输。现代操作系统的防火墙策略往往默认拦截UDP广播，因此，开启TFTP服务器时，第一道关卡往往是本地或网络防火墙的入站规则。
对于Linux系统，传统的tftpd-hpa或dnsmasq自带TFTP模块是两种主流选择。但考虑到系统性，我们更推荐使用dnsmasq，因为它同时集成了DNS和DHCP功能，在需要同时管理网络引导（PXE）环境时，可以极大减少进程数量，降低故障排查成本。
无论选择何种发行版，开启TFTP服务器的本质都是启动一个监听UDP 69端口的守护进程，并指定一个根目录。这个根目录决定了客户端能够读写哪些文件。以下是针对Debian/Ubuntu与CentOS/RHEL两系系统的通用步骤，但去除了繁琐的配置文件注释，保留最精简的有效参数。
在Ubuntu 22.04上，执行apt-get install -y tftpd-hpa。安装完成后，核心配置文件位于/etc/default/tftpd-hpa。关键在于修改以下三项：
TFTP_USERNAME="tftp"
TFTP_DIRECTORY="/srv/tftp"
TFTP_OPTIONS="--secure --create"
--secure参数强制将根目录限定在TFTP_DIRECTORY内，防止路径穿越；--create参数允许客户端上传文件（并非所有场景都需要，若只读请移除）。修改后执行systemctl restart tftpd-hpa。
在CentOS 9或RHEL系中，即使服务启动成功，SELinux也可能阻断TFTP的读取操作。需要执行：
setsebool -P tftp_home_dir 1
同时，务必设置防火墙规则，仅放行特定网段的UDP 69端口：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="udp" port="69" accept'
firewall-cmd --reload
这一步是如何开启TFTP服务器过程中最容易出错的地方，许多教程忽略了SELinux的干扰，导致客户端一直超时。
服务启动后，切忌直接到客户端执行tftp命令。首先在服务器本机检查监听状态：ss -ulpn | grep :69应显示udp状态。然后，在同一个网段的另一台机器上，手动创建一个测试文件，使用curl tftp://服务器IP/文件名进行拉取。若失败，使用tcpdump -i eth0 udp port 69抓包，观察是否有RRQ请求到达服务器。
这里有一个非常隐蔽的坑：TFTP使用固定端口69进行请求，但数据传输使用随机高位端口。如果防火墙只放行了69端口，而拦截了其他UDP端口，那么请求能到达服务器，但数据包无法返回。解决方法是设置防火墙放行UDP 1024-65535区间，或直接使用dnsmasq的--tftp-port-range参数将数据端口固定在一个小范围内。
如果只追求“开启”，上述步骤已足够。但在生产环境中，裸奔的TFTP服务器是危险的。建议在TFTP_OPTIONS中增加--map-file参数，实现用户请求路径到实际文件路径的重映射，防止客户端猜测服务器目录结构。例如，配置文件/etc/tftpd.map中写入r ^/secret/ /var/lib/private/，即可将请求中的/secret/前缀映射至私有目录。
对于需要频繁更新固件的物联网设备，可以编写一个简单的inotifywait脚本监控TFTP根目录，一旦有新文件上传，立即触发后续的签名校验或分发逻辑。这比等待客户端轮询高效得多。
默认的tftpd-hpa在--secure模式下已经隐式chroot到TFTP_DIRECTORY。但如果你使用systemd服务，请确认ProtectSystem=full或ReadWritePaths设置没有覆盖根目录的写权限，否则客户端上传会报“Permission denied”。这是系统化部署时最常见的隐蔽错误，通常通过journalctl -u tftpd-hpa查看日志才能发现。
对于资源受限的嵌入式网关，常驻进程会占用内存。此时可以改用xinetd托管TFTP。编辑/etc/xinetd.d/tftp，设置disable = no，server_args = -s /srv/tftp，并设定per_source = 1限制并发连接。这种方式下，服务只在有客户端连接时才拉起进程，极大降低空载消耗。但注意，xinetd模式无法使用--create选项（因为非标准TFTP扩展可能无法正确处理连接复用），仅适用于纯下载场景。
最后，请务必使用tftp -v命令验证传输的块大小（blksize）。默认512字节在千兆局域网中会造成极大的吞吐量浪费。在客户端命令中指定blksize 1468（以太网最大有效载荷），可以将传输速度提升近三倍。若客户端是Windows，则需在服务器端TFTP_OPTIONS中加入--blocksize 1468，但需确认所有客户端支持RFC 2348。