在Windows Server 2019上利用IIS部署FTP服务器，只需通过“添加角色和功能”安装FTP服务，再配置站点和防火墙就能快速构建FTP站点，整个过程无需额外费用，天然集成系统权限管理。
为什么用IIS在Windows 2019上搭建FTP服务器
很多人在选择FTP服务器方案时，会纠结于IIS自带的FTP功能和第三方工具（如FileZilla、Serv-U）的对比，从实际场景来看，IIS FTP服务的最大优势是无缝整合Windows生态，如果你已经在使用Windows Server 2019，安装IIS FTP不需要任何额外成本，身份认证直接复用系统账户，对于企业内网文件共享这类场景,部署和维护成本最低。
IIS FTP服务器性能对比第三方工具，在并发连接数不太高（比如同时在线50人以内）的情况下，IIS的表现足够稳定，并且与Windows防火墙、事件查看器、组策略等工具联动方便，而第三方工具通常在跨平台支持、高级管理功能（如流量限制、自动同步）上更胜一筹，但需要额外付费或花费精力维护，如果你的环境是纯Windows域网络，IIS FTP是更省心的选择。
Windows Server 2019 搭建FTP服务器步骤详解
这套步骤适用Windows Server 2019标准版和数据中心版，其他版本操作类似，如果你在Windows 2019 FTP服务器搭建步骤中卡住,可以按以下流程一步一步来。
安装FTP服务角色
- 打开服务器管理器，点击“添加角色和功能”。
- 一路下一步，到“服务器角色”页面，勾选 Web服务器(IIS)。
- 在“Web服务器(IIS)”下的“角色服务”中，找到 FTP服务器，展开后勾选 FTP服务 和 FTP扩展，如果没有勾选这两项,后面的FTP站点无法创建。
- 确认安装，等待完成。无需重启，但建议完成后重启一次服务器管理器,让配置生效。
创建FTP站点
- 打开 IIS管理器（在“工具”里可以找到）。
- 在左侧连接树中，右键点击“网站”，选择“添加FTP站点”。
- 填写站点名称，企业文件共享”，并指定一个物理路径，
D:FTPSite。提前创建好这个文件夹，并设置好NTFS权限（如允许Users组读取写入）。 - 绑定设置：IP地址选“全部未分配”，端口默认21。SSL设置：如果是在内网使用，可以先选“无SSL”，生产环境建议配置证书选“允许SSL”或“要求SSL”。
- 身份验证和授权：勾选 基本身份验证，授权部分选择“指定用户”，输入允许访问的Windows账户（如
administrator或特定域用户），权限勾选“读取”和“写入”。 - 完成创建。
配置身份验证和授权细节
创建站点后，还可以在IIS管理器中进一步调整，点击你创建的FTP站点，图标区找到 FTP授权规则，可以添加更细粒度的用户访问控制，给某个用户组只读权限，另一个组读写权限。IIS FTP的身份验证完全依赖Windows账户，所以如果用户需要修改密码，直接修改系统密码即可,无需在FTP工具里单独配置。
防火墙配置
很多人在部署后遇到连接失败,原因就是防火墙没有放行FTP端口。
- 放行21端口：用于控制连接。
- 放行被动模式端口范围：这是最容易忽略的，IIS FTP默认使用被动模式，数据连接端口范围默认是1024-65535，但为了安全，建议自定义一段范围，比如50000-51000，在IIS管理器中选择FTP站点，点击“FTP防火墙支持”，在“数据通道端口范围”填入
50000-51000
- 如果开启了Windows防火墙，新建入站规则，允许TCP 21端口和50000-51000端口。
测试连接
在客户端（另一台Windows电脑或FTP客户端软件）输入地址 ftp://服务器IP，尝试用刚才授权的账户登录，如果一切正常，应该能列出目录并上传下载文件。如果遇到无法列出目录，往往是被动模式端口没放行,检查防火墙和IIS中的端口范围设置。
安全加固与性能优化
搭建只是第一步，生产环境中需要针对IIS FTP服务器性能对比和安全性做进一步调整，以下做法常见于企业内网FTP服务器方案中。
使用SSL/TLS加密
即使在内网，也建议启用FTP over SSL，防止明文传输账号密码，在IIS站点绑定中设置SSL证书，如果公司有AD证书服务，可以申请一个内部证书；没有的话可以用自签名证书（注意客户端需要信任该证书），启用后，在“FTP SSL设置”中选择“要求SSL”，客户端连接时需要勾选“显式加密”。
限制用户目录
默认情况下，用户登录后可以看到整个FTP主目录，但如果你希望每个用户只能访问自己的子文件夹，需要启用 FTP用户隔离，在IIS功能视图中双击“FTP用户隔离”，选择“隔离用户”模式，然后按用户名为每个用户创建子文件夹，路径如 %FTPRoot%LocalUser用户名，这样用户登录后自动锁定到自己的目录,无法看到其他用户的内容。
设置日志和审核
在IIS管理器中，为FTP站点启用日志记录，记录日期、时间、客户端IP、操作等，日志默认在
%SystemDrive%inetpublogsLogFiles，定期查看日志可以帮助排查异常访问。结合Windows事件查看器，可以跟踪用户登录失败记录,及时发现问题。
关于iis部署ftp服务器的常见问题
Windows 2019 IIS FTP服务器无法连接，是什么原因？
最常见的原因有三点：防火墙未放行21端口和被动模式端口、FTP服务未启动（检查IIS管理器中的站点状态）、身份验证设置错误（比如未启用基本身份验证，或授权规则里没有添加用户），建议先本地用 ftp 127.0.0.1 测试，排除网络问题；如果本地可以，外部不行,重点检查防火墙和路由器端口转发。
如何让不同的用户拥有不同的文件夹权限？
通过NTFS权限和FTP授权规则结合，在FTP物理目录下为每个用户创建子文件夹，对每个文件夹设置NTFS权限（如用户A只读，用户B读写），然后在IIS的FTP授权规则中，确保用户有相应权限。如果需要更精细的隔离，启用FTP用户隔离功能,用户自动只能访问自己的目录。
IIS FTP和第三方FTP软件哪个更适合企业环境？
如果企业已有Windows域环境，用户数量不多，且IT人员有限，IIS FTP是成本最低、维护最简单的方案，所有用户管理通过AD完成，无需额外学习成本，如果企业需要跨平台使用（如Linux客户端、多协议支持）、需要细粒度的流量控制或实时同步功能，第三方工具如FileZilla Server或Cerberus FTP Server提供的功能更丰富，但通常需要付费，且需要单独维护用户系统，选择的关键在于IIS FTP服务器性能对比和你对管理复杂度的承受能力。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/542349.html
