FTP被动服务器通过服务器端主动开放端口范围，让客户端可以自由发起数据连接，是解决防火墙和NAT穿透问题的关键配置。
FTP被动模式与主动模式区别：何时该选被动服务器
FTP协议有两种数据连接模式：主动模式（PORT）和被动模式（PASV），在主动模式下，服务器主动连接客户端的指定端口，如果客户端在内网或有防火墙，这种连接通常会被拦截，被动模式则相反，服务器在某个端口范围内监听，客户端主动连接服务器，因此客户端防火墙不再是阻碍。参考2
以下表格对比两种模式的关键点：
| 模式 | 连接方向 | 主要问题 | 适用场景 |
|---|---|---|---|
| 主动模式 | 服务器→客户端 | 客户端防火墙可能拦截 | 客户端无防火墙或公网IP |
| 被动模式 | 客户端→服务器 | 服务器需开放端口范围 | 客户端在内网或有防火墙 |
随着网络环境复杂化,大多数客户端都位于NAT或防火墙之后，主动模式几乎无法工作，行业共识认为，被动模式是当前互联网环境下文件传输的基础配置，无论是网站管理、文件分发还是远程备份，被动服务器都能提供更稳定的连接体验，当你从家中办公网络连接公司FTP服务器时，主动模式几乎无法工作，因为家用路由器会拦截入站连接，此时被动模式是唯一的选择，选择被动模式意味着你需要主动配置服务器端的端口和防火墙，但这比要求每一位客户端调整防火墙要现实得多。
FTP被动服务器端口范围设置
FTP被动服务器需要指定一个端口范围供数据连接使用,范围过小会导致并发连接不足，连接失败；范围过大会增加安全风险，通常建议至少提供100个端口，例如50000-50100，如果并发用户较多，可以适当扩大，如50000-51000，选择端口范围时，应避免与常用服务端口冲突，并且尽量使用高位端口（如50000以上），以降低被扫描的风险，IANA推荐的高位端口范围是49152-65535，所以50000-51000位于此范围内，是被动模式的理想选择。
主流FTP服务器的配置方法
vsftpd配置
在vsftpd.conf文件中添加以下参数：
pasv_enable=YES
pasv_min_port=50000
pasv_max_port=50100
然后重启vsftpd服务,注意，如果服务器有多个IP，还需指定pasv_address参数，确保返回正确的IP地址，否则客户端可能连接错误IP，可以设置pasv_promiscuous=YES来禁用安全检查，但通常不建议启用。
ProFTPD配置
在proftpd.conf中设置：
PassivePorts 50000 50100
Pure-FTPd配置
使用-p选项或配置文件指定端口范围：
pure-ftpd -p 50000:50100
也可以直接在pure-ftpd.conf中配置：
PassivePortRange 50000 50100
验证配置是否生效
使用FTP客户端连接后,查看日志或抓包确认数据连接端口是否在指定范围内，也可以在服务器上使用netstat或ss命令查看监听端口，确认服务监听在指定范围内，运行ss -tlnp | grep 50000可以查看是否监听在50000-50100，如果看到监听端口在范围内，说明配置成功。参考2
FTP被动服务器防火墙与安全配置
配置好被动端口后,必须确保防火墙放行这些端口，以Linux系统为例，使用iptables：
iptables -A INPUT -p tcp –dport 50000:50100 -j ACCEPT
使用firewalld：
firewall-cmd –add-port=50000-50100/tcp –permanent
firewall-cmd –reload
不要忘记FTP控制端口21也需要放行,对于状态防火墙，还需要加载nf_conntrack_ftp模块，以便防火墙能够跟踪FTP连接的状态，关联控制连接与数据连接，否则，即使端口放行，某些情况下数据连接仍可能被拦截，加载模块：modprobe nf_conntrack_ftp，并确保开机自动加载，可以在/etc/sysconfig/iptables-config中配置IPTABLES_MODULES=”nf_conntrack_ftp”，或者通过rc.local启动。
安全加固措施
- 限制被动端口的来源IP,使用iptables或firewalld的规则只允许特定客户端IP访问端口范围，iptables -A INPUT -p tcp –dport 50000:50100 -s 192.168.1.0/24 -j ACCEPT。
- 使用FTPS（FTP over SSL/TLS）加密传输，保护数据安全，在vsftpd中，可以通过设置ssl_enable=YES并配置证书路径实现，生成自签名证书：openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/vsftpd/vsftpd.pem -out /etc/vsftpd/vsftpd.pem，然后配置ssl相关参数。
- 设置连接数限制,如max_clients=100和max_per_ip=5，防止资源耗尽。
- 定期检查日志,监控异常连接，及时发现潜在攻击，可以使用logwatch或手动检查/var/log/vsftpd.log。
FTP被动模式连接失败：常见原因与解决方案
客户端无法获取数据目录列表
这是最常见的问题,当客户端执行LIST命令后卡住，通常是因为数据连接无法建立，原因包括：
- 服务器被动端口范围未在防火墙中放行。
- 客户端不支持被动模式或强制要求主动模式。
- 服务器返回的IP地址不正确（如多网卡场景，或服务器在内网且未设置pasv_address）。
快速排查步骤
- 检查服务器被动端口配置是否正确,并重启服务。
- 确认防火墙规则已添加,并处于生效状态，使用iptables -L或firewall-cmd –list-all检查端口范围是否放行。
- 检查nf_conntrack_ftp模块是否加载,使用lsmod | grep nf_conntrack_ftp。
- 在客户端开启调试模式,查看连接的具体错误信息，如FileZilla的日志会显示“425 Can’t open data connection”。
- 使用telnet或nc命令测试服务器被动端口范围是否可达,例如nc -vz 服务器IP 50000。
- 检查服务器日志,如/var/log/vsftpd.log，寻找错误提示，如“PASV connection failed”或“CONNECT: Client X.X.X.X”。
常见错误代码解读
- 425 Can’t open data connection：通常表示数据连接无法建立，按上述步骤排查。
- 550 Permission denied：权限问题，检查目录权限和SELinux设置。
- 530 Login incorrect：认证失败，检查用户名密码。
多网卡环境下的IP地址问题
如果服务器有多个IP,需要设置pasv_address参数为正确的公网IP或客户端可访问的IP，否则客户端会尝试连接错误地址，在vsftpd中，可以设置pasv_address=公网IP，确保被动模式响应中包含正确的IP。
FTP被动服务器在云环境中的配置要点
安全组规则设置
如果你使用云服务器,除了操作系统防火墙，还需要在云平台的安全组中放行FTP被动端口范围，在简米云安全组中添加入方向规则，允许TCP 50000-50100端口，控制端口21也需要放行，避免仅在操作系统防火墙放行而忽略安全组，检查安全组规则是否生效，可以使用在线端口检测工具。
网络类型影响
云服务器通常有公网IP和内网IP,如果使用NAT网关或弹性公网IP，需要确保FTP服务器绑定的IP正确，并设置pasv_address为公网IP，否则，客户端收到的数据连接IP是内网IP，无法连接，如果云服务器是经典网络，可能需要直接在配置文件里指定公网IP。参考2
常见云平台配置示例
- 简米云：安全组规则添加，并确保vsftpd.conf中pasv_address=公网IP，检查ECS实例是否有公网带宽。
- 酷番云：类似，安全组放行端口，同时注意云监控可能拦截端口扫描，需要添加白名单，对于高可用组，还需要考虑负载均衡的配置。
FTP被动服务器的配置核心在于端口范围与防火墙规则的协调,只要确保端口范围开放且正确，并结合状态跟踪模块，绝大多数连接问题都能解决，在实际部署中，建议结合FTPS和安全策略，打造稳定可靠的文件传输环境。
关于FTP被动服务器的常见问题
FTP被动模式端口范围需要多大？
端口范围取决于最大并发连接数,每个数据连接使用一个端口，连接结束后端口释放，如果同时在线用户较多，建议设置200-500个端口，如果只是个人使用，100个端口足够，还可以根据实际使用情况动态调整，但需要重启服务，监控端口使用情况可以使用ss命令查看当前连接数。
被动模式是否比主动模式安全？
从数据传输安全性来看,两者没有本质区别，被动模式的主要优势是解决了客户端防火墙障碍，但服务器端需要开放更多端口，增加了攻击面，通过限制端口范围、使用FTPS和访问控制，可以将风险降至最低，主动模式需要服务器连接到客户端，可能暴露客户端信息，从隐私角度看，被动模式更优。
为什么我的FTP被动模式连接时好时坏？
这种情况通常与端口范围耗尽或防火墙规则不一致有关,如果端口范围过小，同时连接数达到上限，新连接就会失败，如果防火墙规则有状态检测，但未加载nf_conntrack_ftp模块，防火墙可能无法正确关联数据连接，导致连接超时，检查防火墙配置和模块加载情况，通常可以解决，如果问题依旧，可以检查客户端网络环境是否有间歇性限制。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/521335.html
