搭建好的FTP服务器却登录不上去，核心原因通常不是账号密码错误，而是端口被拦、被动模式配置不对、服务没起来这三类问题，按顺序排查,多数情况半小时内能解决。
自己搭建的ftp服务器登录不上的排查顺序
FTP登录失败是个链条问题，从客户端输入IP到远端返回欢迎信息，中间隔着服务状态、防火墙、端口映射、协议模式四道关卡，大多数人第一个想到的是账号密码，但实际排查中，服务未启动和防火墙拦截才是最大比例的原因。
先别急着改配置,按下面流程走一遍：
- 第一步：确认FTP服务真的在运行，Windows用户打开“服务”管理器，找到FTP服务或FileZilla Server等，确认状态是“已启动”；Linux用户执行
systemctl status vsftpd查看Active状态。 - 第二步：本地测试登录，在同一台服务器上用
ftp 127.0.0.1命令登录，如果能登录，说明服务本身没问题，问题出在网络上；如果本地都登不上,先解决服务问题。 - 第三步：检查服务器端口21和被动端口是否被防火墙拦截，这是自建FTP登录失败最隐蔽的坑，很多情况下21端口通了，但数据传输端口被挡,导致登录看似成功却卡死在列目录这一步。
- 第四步：客户端主动/被动模式切换测试，FileZilla等客户端在连接失败时，切换传输模式到“主动式”或“被动式”再试,能快速定位问题方向。
上述排查顺序中，第二步能直接区分“服务问题”和“网络问题”,这是节省时间的关键分水岭。
ftp端口21打不开：从服务端开始查
检查21端口是否真正在监听
很多用户在公网用telnet测试telnet 你的IP 21，结果连接被拒绝，第一反应是防火墙问题，但更常见的是FTP服务根本没有监听在默认21端口,或者被系统防火墙静默拦截了。
- Windows环境：命令行执行
netstat -ano | findstr :21，如果有LISTENING状态的回显，说明服务已监听；然后测试telnet 127.0.0.1 21,本地能通说明服务正常。 - Linux环境：执行
netstat -tlnp | grep 21或ss -tlnp | grep 21，确认vsftpd或其他FTP进程在监听，本地通、远程不通,基本锁定是防火墙或安全组问题。
防火墙和安全组要放行哪些端口
行业共识认为：自建FTP服务器只放行21端口是远远不够的,PASV被动模式下还必须放行配置好的数据端口段。
| 放行对象 | 端口/协议 | 说明 |
|---|---|---|
| 控制连接 | TCP 21 | FTP命令和应答通道 |
| 主动模式数据连接 | TCP 20 | 服务端主动连接客户端 |
| 被动模式数据端口段 | 自定义范围，如TCP 50000-50100 | 客户端连接服务器分发数据 |
配置防火墙时,推荐三步走：
- Windows防火墙：进入“高级设置” -> “入站规则”，新建规则放行TCP端口21，同时放行你设置的被动端口范围（如果用了FileZilla Server，装上时默认带了一条规则，但很多精简版系统不自动创建，需手动添加）。
- 云服务器安全组：大多数云厂商的控制台里有安全组规则，在“入方向”添加TCP 21和TCP 50000-50100这两条放行规则,并确保应用后重启或重新加载生效。
- Linux firewalld：执行命令
firewall-cmd --permanent --add-port=21/tcp --add-port=50000-50100/tcp，然后firewall-cmd --reload重载规则。
ftp服务器搭建后无法登录和被动模式配置有直接关系
被动模式才是自建FTP登录失败的隐形杀手
自建FTP最典型的现象是：客户端输入账号密码后连接成功，但在获取目录列表时卡住，最后报“读取目录列表失败”,出现这类情况的绝大多数属于被动模式配置不当。
被动模式下，服务端会额外开启一个随机数据端口与客户端通信，如果FTP服务端没有配置固定的被动端口范围，防火墙和安全组也没放行这个范围,数据连接就会静默超时。
以下是主流FTP服务端的被动端口配置路径：
-
FileZilla Server（Windows）：打开服务端管理界面 -> “编辑” -> “设置” -> “被动模式设置”，勾选“使用自定义端口范围”，填一个范围如
50000-50100,并确保防火墙放行。 -
vsftpd（Linux）：编辑
/etc/vsftpd/vsftpd.conf,加入以下参数：pasv_enable=YESpasv_min_port=50000pasv_max_port=50100pasv_address=你的公网IP或域名
其中
pasv_address在公网访问场景下必须填写公网IP，否则客户端拿到的是内网地址,连接必然失败。 -
Serv-U或IIS FTP：在站点的“FTP防火墙支持”或“被动端口范围”设置中，指定类似
50000-50100的数据端口区间,并在防火墙上同步放行。
小技巧：在FileZilla客户端里观察“消息日志”标签页，如果出现
227 Entering Passive Mode (192,168,1,100...)
这样的回显且IP是内网地址,说明服务端被动模式配置里的公网地址没填对。
主动模式也是备选方案
如果因为网络环境原因无法开放被动端口，可以改用主动模式，FileZilla客户端中点击“文件” -> “站点管理器” -> 你的站点 -> “传输设置”选项卡，切换为“主动”，但要注意：主动模式要求客户端本地防火墙放行数据连接端口，部分路由器或上级网络会拦截主动连接，因此业余场景下更推荐优先解决被动模式问题,只把主动模式作为临时代替方案。
ftp服务器连接被拒绝时的场景化排查对照
常见报错和对应解决方案整理成表格,方便对照查找：
| 报错现象 | 可能原因 | 解决操作 |
|---|---|---|
Connection refused（连接被拒绝） |
FTP服务未启动，或端口被防火墙丢弃 | 确认服务状态；放行21端口；检查云安全组 |
| 能登录但在“读取目录列表”时超时 | 被动模式端口未放行，或客户端/路由器拦截 | 配置固定被动端口范围并放行防火墙 |
530 Login incorrect |
账号密码错误，或FTP用户被锁定 | 重置用户密码；检查用户目录是否存在且权限正确 |
| 外网能连上但局域网访问不了了 | 路由器端口回流（NAT Loopback）未开启 | 开启路由器的NAT回流功能，或用域名做内网访问 |
公网连接卡在220欢迎信息之后 |
服务端被动模式公网IP填充错误 | 检查pasv_address或FileZilla被动模式设置中的公网IP |
这里的常见情况覆盖了FTP服务器部署后无法登录的多数场景，实际操作时，按行号顺序快速比对自己的报错文本，能节省不少时间，另外提醒一点：部分客户端会把报错代码隐藏在后端日志中，优先查看FTP服务端的运行日志，FileZilla Server下日志路径在“设置”->“日志”中；vsftpd的日志默认在/var/log/vsftpd.log，里面会明确记录拒绝原因，如530 Login incorrect或500 OOPS: vsftpd: refusing to run with writable root inside chroot()。
自己搭建的ftp服务器局域网能登外网连不上，进阶排查方向
前面的排查已经能解决相当一部分问题，如果局域网访问正常，换到外网或公司以外网络就连不上，则重点查看路由器端口转发和运营商限制。
- 做端口映射：在路由器管理页面中找到“端口映射”或“虚拟服务器”，将外部端口21映射到内网FTP服务器的IP和端口，注意映射协议选TCP,不要选ALL。
- 修改被动端口映射：被动模式下50000-50100这些端口也需要一并在路由器映射中转发，只映射21口是不够的，如果路由器不支持映射一大段连续端口，把FTP服务器的被动端口范围缩小到比如10个,并逐条映射。
- 确认运营商是否封锁了21端口：部分运营商封禁了用于邮件和FTP的常见端口，可以用
telnet 你的公网IP 21从外网测试，如果端口不通，但局域网内同一台服务器连接正常，很大概率是运营商把21端口封了，解法是修改FTP服务监听端口为比如2100,并同步修改客户端连接端口和路由器映射。 - 动态公网IP环境的处理：家用宽带IP经常变化，连接不上时先确认当前IP是否已变更，建议配合DDNS动态域名服务使用，避免每次重新查IP，价格方面没有额外支出,免费域名服务就能满足。
常见FAQ：付本地测试通过但远程无法访问
为什么我telnet 21端口是通的，但FTP客户端还是登录不了？
端口通只代表控制连接可达，登录后的数据连接（尤其被动模式）需要额外放行对应端口段，检查服务端被动端口配置和防火墙安全组，最重要的验证手段是在客户端观察日志中227 Entering Passive Mode后面的端口号，单独放行那个端口测试。
vsftpd确认启动、端口监听正常、本机登录成功，但局域网其他电脑就连不上，怎么查？
优先检查服务器本机防火墙，Linux上执行firewall-cmd --list-all查看放行规则，确认21及被动端口段已加入，另外检查SELinux：执行getsebool ftpd_full_access，如果不是on，用setsebool -P ftpd_full_access on开启,否则vsftpd的数据传输会被SELinux拦截。
云服务器上面部署FTP，出问题最多的是什么环节？
出问题最多的环节是安全组只放行了21端口而忽略了被动端口段，相当一部分用户在同一台云主机上换了FTP软件后，旧的安全组规则导致新服务无法正常工作，在云控制台的安全组中，一次性放行21、20以及50000-50100整个范围即可，如果云服务商提供“FTP”模板规则,优先使用包含被动端口段的模板。
自建FTP登录不上，归根结底是链路中的某一环没有打通，把服务状态、防火墙规则、被动端口范围、路由器映射这四步走完，ftp服务器搭建后无法登录的问题基本能定位并解决，遇到报错先看服务端日志，再对照端口放行和模式配置,远比重装软件或反复改账号密码更有效。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e8%87%aa%e5%b7%b1%e6%90%ad%e7%9a%84ftp%e4%b8%ba%e4%bd%95%e7%99%bb%e4%b8%8d%e4%b8%8a%ef%bc%9fftp%e6%9c%8d%e5%8a%a1%e5%99%a8%e8%bf%9e%e6%8e%a5%e5%a4%b1%e8%b4%a5%e6%80%8e%e4%b9%88%e8%a7%a3%e5%86%b3/
