开启电脑FTP服务器端口映射，核心就两步：先给电脑设置一个固定的内网IP，再去路由器把外网端口转发到这台电脑的IP和FTP端口（默认21）。 完成这两步,外网设备就能通过你的公网IP访问到电脑上的FTP服务了。
为什么要做FTP端口映射
FTP服务器搭建在局域网内时，外网设备无法直接找到它，路由器充当了交通警察的角色，它默认会把外网请求挡在门外，端口映射就像在路由器上开了一扇专属门牌号为21的门，外网访问者敲这个门,路由器就会准确地把请求送到你电脑的FTP服务上。
端口映射和DMZ主机的区别
不少人在设置时会把端口映射和DMZ主机搞混，DMZ主机是直接把某台电脑完全暴露给外网，所有端口都开放，风险极高，而FTP端口映射只单独开放你指定的端口（如21），其他端口仍然受到保护，行业共识认为，只做FTP服务的话,端口映射远比DMZ主机安全得多。
| 配置方式 | 开放范围 | 安全性 | 适用场景 |
|---|---|---|---|
| 端口映射 | 仅指定端口 | 较高 | 单独开放FTP服务 |
| DMZ主机 | 所有端口 | 低 | 不适合日常使用 |
| UPnP自动映射 | 动态端口 | 中等 | 游戏主机、临时服务 |
开启FTP端口映射前的准备工作
动手配置前，先把下面三样东西备齐,免得配置到一半卡壳。
确认FTP服务已经在本机跑起来
在Windows系统上，进入“控制面板” → “程序” → “启用或关闭Windows功能”，勾选“Internet Information Services”下的“FTP服务器”和“IIS管理控制台”，配置好后，在浏览器输入 ftp://127.0.0.1 能弹出登录框,说明本地FTP服务已经正常运行。
给电脑绑定固定内网IP
端口映射要求目标IP地址保持稳定，如果你的电脑用的是DHCP自动获取IP，重启后IP可能变化，之前做的映射就会失效，在Windows系统里，打开“网络和共享中心” → “更改适配器设置” → 右键“以太网” → “属性” → 双击“Internet协议版本4 (TCP/IPv4)”，选择“使用以下IP地址”，填入如
168.1.100、子网掩码 255.255.0、默认网关 168.1.1，DNS可以填 5.5.5 或 114.114.114。
确认路由器管理地址
一台电脑在局域网内的IP地址通常是 168.1.1 或 168.0.1，在电脑上打开命令提示符，输入 ipconfig，查看“默认网关”那一栏的地址，那就是路由器的管理入口，用浏览器访问这个地址,输入管理员密码登录。
路由器上的端口映射具体操作步骤
不同品牌路由器的界面布局略有差异，但逻辑是相通的，下面以常用设置路径为例，操作时留意你路由器里的“端口转发”或“虚拟服务器”菜单。
传统端口映射设置流程
登录路由器管理后台，找到“高级设置” → “虚拟服务器”或“端口转发”，点击“添加规则”,按如下内容填写：
- 服务名称：随便填，
FTP_PC - 外部端口：填
21（外网访问时用的端口） - 内部端口：填
21（电脑上FTP服务监听的端口） - 内部IP地址：填刚才设置的固定IP
168.1.100 - 协议：选
TCP（FTP控制连接走TCP） - 状态：勾选启用
保存规则后，端口映射就生效了，如果用被动模式访问仍然不通，还需要把被动端口范围（如 5000-5100）一并映射到同一IP。
家用路由器端口映射时常见的坑
很多人在配置时遇到“外网还是访问不了”的尴尬,原因不外乎以下几个：
- 运营商封锁了80端口：部分宽带运营商屏蔽了80端口，但21端口通常不受影响，如果你改了外部端口为其他数值，访问时就要写成
ftp://公网IP:端口号。 - 光猫没有设置桥接：光猫和路由器处于双层NAT状态下，只在路由器上做映射相当于只开了一扇门但外面还有一堵墙，此时可联系运营商将光猫改为桥接模式,由路由器负责拨号。
- 路由器内置防火墙拦截：部分路由器自带安全规则,需要额外放行对应的FTP端口。
动态公网IP下的映射与访问方式
多数家庭宽带的公网IP是动态变化的，过几天IP变了，映射就找不到了，解决这个问题的常见做法是使用DDNS服务，不少路由器内置了DDNS客户端，像花生壳、公云这类服务，免费用户也能得到一个固定域名，把这个域名填入路由器DDNS设置里，之后无论IP怎么变，都能通过域名访问 ftp://你的域名:21。
开启外网FTP访问时的安全配置
端口映射暴露了电脑的21端口，相当于给全世界开了一扇门，没做安全措施就开放,被扫描和爆破只是时间问题。
配置Windows防火墙放行FTP
在Windows防火墙高级设置里，新建入站规则，选择“端口”，输入 21 和被动端口范围，协议选TCP，操作选“允许连接”，注意勾选“公用”网络配置文件,否则外网流量仍然会被拦截。
修改FTP默认端口
把默认的21端口改成其他端口，2121，能有效减少被自动化脚本扫描的概率，修改后，外部端口也要跟着改成 2121，访问方式变成 ftp://公网IP:2121。
设置强密码和用户隔离
FTP账户不要使用admin/123456这种组合，密码至少12位，包含大小写字母、数字和特殊符号，IIS FTP的“用户隔离”模式可以把用户限制在自己的目录内，防止一个用户看到整个硬盘的内容，在FTP站点的主目录下，按“用户名”建立文件夹,每个用户只能访问自己的那一份子目录。
考虑用FTPS或SFTP替代纯FTP
FTP协议本身是明文传输的，账号密码和文件内容在网上裸奔，只要抓包就能看到密码，利用IIS里的“FTP SSL设置”，可以要求客户端用FTPS连接，但需要生成证书并在客户端信任，相比之下，开启FTP服务器端口映射后，改用 SFTP（基于SSH）或干脆部署一个简单的FTP over TLS 方案，加密强度更高,也免去了修改被动模式端口的麻烦。
外网访问FTP测试与故障排查
配置完端口映射后，怎么验证是否成功？直接在局域网里测试IP是无效的，因为路由器不支持NAT回流,正确做法是：
- 让朋友在外网网络环境访问
ftp://公网IP - 或用手机关闭WiFi，使用4G/5G网络访问
- 也可以用第三方在线端口扫描工具查一下21端口通不通
ftp 端口映射失败怎么排查
如果你发现外网无法访问,按这个顺序逐项排查：
- 先确认内网能否访问FTP：在另一台电脑浏览器输
ftp://192.168.1.100,能跳出登录框则继续。 - 检查公网IP是否准确：在路由器状态页或访问网站查看出口IP,确认没有经过运营商级NAT。
- 复查外部端口和内部端口是否填反：很多初级配置问题都出在这里。
- 检查Windows防火墙是否拦截了外网请求：临时禁用防火墙测试一下,通了就说明是入站规则没配好。
- 确认没有其他设备占用了路由器的端口映射规则。
- 如果还不行，把光猫和路由器全部重启,让NAT会话重新建立。
外网访问ftp 速度慢的原因
映射通了之后，假如下载速度惨不忍睹，多是被动模式端口设置策略问题，FTP被动模式下，服务器会在指定端口范围内开放数据传输连接，路由器的端口映射如果只放行了21端口，数据连接就会被卡住，解决办法是：在FTP服务器端把被动端口固定为一个范围（5000-5010），然后把这段端口也加进路由器的端口转发规则里，数据端口别同时映射过多,足够并发范围即可。
常见问题Q&A
开启端口映射后，FTP能访问但列出目录很慢，什么原因？
多数情况下是FTP客户端在尝试主动模式连接失败后，切换为被动模式的过程耗时较长，排查时先检查路由器上的被动端口范围是否完整映射到内网IP，如果范围没映射齐全，数据通道建立就会反复超时，也可以把客户端的传输模式强制设为“被动模式”,绕过协商环节。
路由器里没有端口转发功能，还能怎么开启FTP端口映射？
部分运营商定制路由器或老旧路由器确实没有这个功能，这时可以选择刷写第三方固件像OpenWrt或Padavan，或者把运营商的光猫改成桥接模式，让一台有端口转发功能的路由器来拨号，如果都不可行，那只能在内网那台电脑上使用内网穿透工具，借助服务商的公网中转节点实现外网访问FTP，这种方式不需要在路由器上做任何配置，只需要在电脑上运行穿透客户端,把本机的21端口映射到云端。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/706562.html
