虚拟机ftp连接失败，九成卡在网络通没通、防火墙放没放行、FTP服务本身配没配对这三处，顺着链路一步步排除，比瞎试靠谱得多。
ftp连不上先分清是谁的问题
连接虚拟机FTP,数据要走“客户端→宿主机→虚拟网络→虚拟机系统→FTP进程”这么一段路，哪一环断了，表现都不一样。
常见画面有这么几种：
- ping虚拟机IP完全不通,丢包100%，那问题出在虚拟网络或网卡上
- ping得通,21端口没反应，多半是防火墙拦了或服务没起来
- 能连上但列表卡住、下载超时，大概率是FTP主动被动模式不匹配
- 本机访问正常,外面连不上，重点查NAT端口映射或监听地址
先把现象定位到某一层,再动手，不然今天改防火墙、明天换模式，问题原样杵在那。
vmware虚拟机ftp连接失败：先把网络底子查明白
vmware里建Linux虚拟机,网络模式选错了，ftp后续怎么调都没用。
桥接模式连不上：IP网段对不上
桥接模式让虚拟机直接和宿主机共享物理网络,此时虚拟机必须和宿主机在同一网段、同一网关。
- 宿主机IP是192.168.1.10，虚拟机配个192.168.2.20，网关还是192.168.1.1，这就直接断了
- 检查方法：宿主机cmd里敲
ipconfig，虚拟机里敲ip addr，对比是否同网段
如果路由器开启了AP隔离或访客网络限制,虚拟机就算IP正确也连不上外部设备，这个坑在办公网络环境下出现得比较多。
NAT模式连不通：看VMnet8网段
NAT模式下,虚拟机通过宿主机上的VMnet8虚拟网卡转发流量，这时候需要确认：
- 虚拟机IP是否在VMnet8子网内,比如VMnet8是192.168.88.0网段，虚拟机配了192.168.2.30，网关不指向.88.2，自然出不去
- 网关要填VMnet8的IP,通常是xxx.xxx.xxx.2
- 手动配置IP时DNS写不写影响不大,但同网段是硬条件
查配置用这套命令：
ip addr ip route cat /etc/resolv.conf
ping不通虚拟机时,先看宿主机虚拟网卡是否被禁用，VMware虚拟网卡在Windows网络连接里被优化软件或手动关闭，是常见原因，打开“网络连接”，确认VMnet8或桥接对应网卡处于已启用状态。
配好vsftpd后ftp连接不上：多半是监听地址和模式没配对
vsftpd是Linux上最常见的FTP服务端,很多场景是service起来、端口看着正常，可就是连不上。
监听地址藏着坑
vsftpd默认配置里,listen_address对IPv4的监听要单独确认，配置文件在/etc/vsftpd/vsftpd.conf，重点看这几个值：
listen=YES listen_ipv6=NO local_enable=YES write_enable=YES
如果listen=NO、listen_ipv6=YES，外面大概率连不进来，改完必须：
systemctl restart vsftpd ss -lntp | grep 21
看到21端口在监听,服务这关才算是过了。
主动模式和被动模式选哪个
FTP有两条连接：命令通道走21端口，数据通道走20端口或随机端口，家用和办公局域网环境下，被动模式通常更省心，因为客户端主动连服务器的高位端口，不会卡在路由器NAT上。
vsftpd里固定被动端口范围：
pasv_min_port=10000 pasv_max_port=10100
客户端连接时也指定被动模式：
curl -v ftp://192.168.1.100 --ftp-pasv
如果还卡在列表或传输阶段,把被动端口区间改成和服务器安全组放行的范围一致，云服务器尤其要注意安全组里加10000-10100的TCP规则。
局域网其他电脑能连，虚拟机连不上
这种情况要看虚拟机防火墙或宿主机防火墙的入站规则,有时候宿主机能访问，但虚拟机的其他IP镜像或容器访问不了，还是防火墙区域设置的问题。
Linux虚拟机ftp连不上本地主机：防火墙和SElinux背大锅
好多时候虚拟机本身没问题,iptables或firewalld把口子堵死了，这也是“自装Linux虚拟机FTP连接失败”里出现频率最高的原因。
firewalld放行三步走
CentOS系和部分Debian系默认开启firewalld,放行FTP：
firewall-cmd --permanent --add-service=ftp firewall-cmd --permanent --add-port=20/tcp firewall-cmd --permanent --add-port=21/tcp firewall-cmd --permanent --add-port=10000-10100/tcp firewall-cmd --reload
这些命令执行完,用firewall-cmd --list-all复核一下。
Ubuntu等使用ufw的系统：
sudo ufw allow 20/tcp sudo ufw allow 21/tcp sudo ufw allow 10000:10100/tcp
SELinux不放行，服务通了也白搭
很多运维老手都习惯先把SELinux关了再排查,行业共识是：SELinux对FTP的约束经常被忽视，而它是文件能否上传下载的关键开关。
查看状态：
getenforce
临时放行：
setsebool -P ftpd_full_access on
或者只针对vsftpd开通：
setsebool -P ftp_home_dir on
不想关全局SELinux,就用这条精准放行，改完重启vsftpd再试连接。
Windows宿主机防火墙也别漏
宿主机跑Windows时,自带的“Windows Defender防火墙”默认拦入站连接，第一次用别急着加规则，先在入站列表里找到“FTP Server”或对应端口，勾选允许，再不行就临时关防火墙试一把，确认是防火墙再重新逐条放行。
实战排查步骤：一个命令一个命令过
与其问虚拟机ftp连不上怎么办,不如按下面顺序走一遍，多数情况十分钟内锁定。
- 虚拟机内自测FTP服务：
ftp localhost，能登录说明服务本身没毛病 - 宿主机ping虚拟机IP,不通就查虚拟网卡、VMware网络模式
- 宿主机telnet虚拟机21：
telnet 192.168.x.x 21，通则端口通，不通查防火墙 - 客户端工具测试被动模式连接,还失败再回头查被动端口范围
- 上传下载被拒,检查目录权限、SELinux、磁盘剩余空间
这个链条里,“宿主机telnet不到虚拟机21端口”是分水岭之前全是网络和防火墙问题，之后才是FTP配置问题。
桥接、NAT两种模式下ftp连接差异
桥接模式像虚拟机直接插在同一交换机上,和宿主机平级，适合局域网多设备互访，NAT模式虚拟机躲在一个子网里，对外是宿主机在转发，适合单机调试。
两种模式下ftp连接失败的原因也挺不一样：
| 排查项 | 桥接模式 | NAT模式 |
|---|---|---|
| IP网段 | 必须和宿主机一致 | 必须在VMnet8网段内 |
| 网关 | 指向路由器IP | 指向VMnet8网关（如.2） |
| 外部访问 | 局域网内设备可直接访问 | 需要端口转发或改为桥接 |
| 常见起因 | IP冲突、路由器AP隔离 | VMnet8网卡禁用、网关写错 |
局域网里其他电脑连不上虚拟机ftp,多为桥接模式；宿主机能连但虚拟机连外网FTP失败，多为NAT网关配置有问题。
Q&A：关于虚拟机ftp连接失败怎么排查
虚拟机ftp连接失败怎么排查最快
按照“服务→端口→防火墙→网络”的顺序压缩排查，先在虚拟机里跑一遍：systemctl status vsftpd、ss -lntp | grep 21，服务端OK后，再移步宿主机ping、telnet，哪一步拉胯就修哪一步，不建议从光纤猫一路查到应用层，那是兜圈。
为什么虚拟机里的vsftpd重启了，宿主机还是连不上？
服务重启只解决了进程层面的问题,如果宿主机telnet 21依旧超时，看防火墙规则是否--reload过，改完防火墙不reload，规则没真正生效；另外检查vsftpd的listen_ipv6=NO是否设置，有的版本会默认监听IPv6导致IPv4端口查不到。
局域网其他电脑能连ftp，宿主机却连不上，怎么回事？
宿主机和虚拟机之间的虚拟网卡流量有时被Windows防火墙拦了,在“允许的应用”里找到FTP或21端口，确认专用网络场景下的勾选没被取消，也检查VMware网络编辑器里对应网卡是否勾选了“仅主机模式”和“NAT”的关联选项，部分改版VMware会出现网卡状态显示正常但实际未分配IP的情况，重启VMware NAT Service服务即可恢复。
找到问题节点,用对应的命令解决，FTP自己会重新活过来，多数故障不复杂，只是排查顺序乱了会绕大圈，别慌，从服务端起，一层层往下查，答案就在断点处。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e7%99%bb%e5%bd%95%e8%99%9a%e6%8b%9f%e6%9c%baftp%e8%bf%9e%e6%8e%a5%e5%a4%b1%e8%b4%a5%e5%a6%82%e4%bd%95%e6%8e%92%e6%9f%a5%ef%bc%8c%e6%98%af%e4%bb%80%e4%b9%88%e5%8e%9f%e5%9b%a0%e5%af%bc%e8%87%b4/
