云服务器设置成FTP连接不上去，核心原因集中在安全组端口未放行、FTP服务未启动或配置被动模式错误、防火墙拦截这三类，按顺序排查多数情况能直接解决。
先确认云服务器安全组是否放行FTP端口
云服务器和本地物理机最大的区别在于，流量进出必须经过云平台的安全组关卡，很多用户把FTP服务装好，本地一测通，公网死活连不上,问题往往出在安全组规则上。
安全组入方向规则怎么检查
登录云服务器控制台，找到实例所在的安全组，查看入方向规则，FTP默认使用21端口，但被动模式下还需要放行一个端口范围，通常是1024-1048或40000-50000,具体看FTP软件配置。
- 确认安全组里有一条允许TCP端口21的规则，来源建议设置为
0.0.0/0（如果只给自己用，可以填你的公网IP）。 - 如果开启被动模式，必须额外放行被动端口范围,只放行21端口会导致连接建立但列目录卡死。
- 部分云平台安全组区分“公网入方向”和“内网入方向”，FTP属于公网入方向,别放错位置。
快速验证端口通不通
在本地电脑打开命令行，执行telnet 你的云服务器公网IP 21，如果提示无法连接，说明端口被拦截或服务没起来，如果看到220开头的欢迎信息，说明端口通了,问题在FTP客户端配置。
FTP服务端被动模式配置是关键
行业共识认为，FTP连接不上有相当一部分是主动模式与被动模式不匹配导致的，云服务器普遍有内网IP和公网IP两个地址，FTP服务端如果没有正确识别公网IP，客户端就会收到内网地址,自然连不上。
主动模式还是被动模式
主动模式下，客户端向服务端21端口发送命令，服务端主动连接客户端的20端口，云服务器后端通常有NAT转换，主动模式很容易失败，被动模式下，客户端连接服务端开放的随机端口,只需要服务端放行相应端口即可。
推荐使用被动模式并固定端口范围
拿vsftpd举例，编辑配置文件/etc/vsftpd/vsftpd.conf,加入以下参数：
pasv_enable=YESpasv_min_port=40000pasv_max_port=40100pasv_address=你的云服务器公网IP
修改后重启vsftpd服务：systemctl restart vsftpd，然后在安全组里放行40000-40100端口，这样客户端连接时，服务端返回公网IP和端口,数据通道就能正常建立。
防火墙和SELinux拦截FTP连接
安全组放行之后，云服务器操作系统内部的防火墙可能还在拦截，很多用户忽略了这一层，导致端口明明“开了”却连不上。
检查防火墙状态
主流云服务器系统分为CentOS和Ubuntu两类,命令略有不同。
- CentOS 7及以上：
systemctl status firewalld，如果active，执行firewall-cmd --permanent --add-port=21/tcp和firewall-cmd --permanent --add-port=40000-40100/tcp，然后firewall-cmd --reload。 - Ubuntu：
sudo ufw status，如果active，执行sudo ufw allow 21/tcp和sudo ufw allow 40000:40100/tcp。 - 如果你用的是宝塔面板，在安全菜单里放行端口,同时还要检查系统防火墙。
SELinux对FTP的影响
CentOS系统默认启用SELinux，它会阻止vsftpd读取用户主目录之外的文件，甚至阻止FTP数据传输，执行getsebool -a | grep ftp查看相关布尔值。
- 如果
ftp_home_dir为off，执行setsebool -P ftp_home_dir on。 - 如果
allow_ftpd_full_access为off，执行setsebool -P allow_ftpd_full_access on。 - 修改后无需重启服务，立即生效，不少用户买的便宜云服务器性能弱，配置低，但SELinux功能可没精简,这一步不能跳过。
FTP账号和目录权限配置不当
端口全通，服务也正常，但登录时报530或500错误，那就是账号权限的问题了，FTP账号分为系统用户和虚拟用户,配置方式不同。
系统用户登录限制
vsftpd默认禁止root登录，也禁止/etc/passwd中的系统用户登录，如果你用的是系统用户，检查/etc/vsftpd/ftpusers和/etc/vsftpd/user_list文件，把你要用的用户名从这两个文件中移除，或者在主配置文件中设置userlist_deny=NO。
目录权限和SELinux的叠加问题
如果你把FTP目录放在/home以外的路径，data/ftp，SELinux会拦截vsftpd访问这个目录，除了上面提到的布尔值,还需要给目录设置正确的上下文：
chcon -R -t public_content_t /data/ftp
目录本身要有可读和执行权限，用chmod 755 /data/ftp，如果是上传场景，需要chmod 777或给特定用户属组权限。
FTP客户端连接不上时的具体排查步骤
当你面对“云服务器怎么设置成ftp连接不上去”这个问题时，按照下面的顺序操作，每一步验证后再进入下一步,能极大提升效率。
第一步：服务端本地测试
在云服务器上执行ftp localhost，用FTP账号登录，本地能登录，说明服务配置基本正确，如果本地都登不上，直接看vsftpd日志：tail -f /var/log/messages或/var/log/vsftpd.log。
第二步：客户端使用被动模式
以FileZilla为例，站点管理器中选择协议为FTP，传输模式改为“被动”，很多新手默认使用主动模式，结果卡在“读取目录列表”这一步，主动模式在NAT环境下几乎必挂,被动模式才是云服务器的正确姿势。
第三步：检查云服务商安全组是否还有额外限制
国内主流云厂商的安全组规则完全一样，但部分厂商在安全组之外还有“防火墙”或“网络ACL”概念，如果安全组放行了，telnet还是不通，登录云控制台查看网络ACL规则,有些情况下网络ACL的优先级会覆盖安全组。
常见FTP连接失败场景与解决方案
不同用户遇到的具体表现不一样，归纳起来主要有三类,每个场景对应的问题根源和解决方式差异明显。
| 连接表现 | 可能原因 | 解决动作 |
|---|---|---|
| 提示“连接超时” | 安全组未放行21端口，或系统防火墙拦截 | 检查安全组入方向、放行防火墙端口 |
| 用户名密码通过，但列目录失败 | 被动模式端口未放行，或SELinux拦截 | 固定被动端口范围并放行，修改SELinux布尔值 |
| 提示“530 Login incorrect” | FTP账号被限制，或密码错误 | 检查user_list、ftpusers，重置密码 |
为什么之前能连，突然连不上了
云服务器公网IP变化是一个常见原因，如果服务器没有绑定弹性IP，重启后公网IP可能变更，此时FTP配置里的pasv_address还写着旧IP，客户端自然连不上，检查当前公网IP，更新vsftpd配置,同时修改FTP客户端的服务器地址。
另一个原因是云厂商的安全组策略更新，部分云平台默认拦截高危端口，FTP的21端口曾经被大量爆破，部分厂商在安全组“一键放通”功能里根本不包含FTP,需要手动添加。
Q&A：关于云服务器FTP连接的关键问答
问：云服务器FTP连接不上，本地局域网服务器却正常，区别在哪？
答：本地局域网没有安全组概念，也不存在公网网段转换，云服务器需要同时处理安全组、系统防火墙、SELinux、被动模式公网IP四层问题，如果你本地正常而云端不行，优先检查安全组和被动模式配置，这两块覆盖了大多数故障场景。
问：用宝塔面板的FTP服务，连接时提示“读取目录列表失败”，怎么处理？
答：宝塔面板自建Pure-FTPd，在宝塔后台软件商店确认FTP已启动，然后在宝塔的“安全”菜单中放行21端口和被动端口范围（默认30000-40000），同时确认“网站”中的FTP账号根目录是否存在且有可读权限，宝塔版本更新后被动端口范围可能变化，以实际配置为准，检查完毕后,用被动模式重新连接。
问：简米云服务器FTP连接不上，和酷番云、华为云的排查方式有无区别？
答：三者的底层逻辑一致，区别在于控制台位置和产品名称，简米云叫“安全组”，酷番云叫“安全组”，华为云在“云服务器”下的“安全组”中配置，网络ACL方面简米云叫“网络ACL”，酷番云叫“网络ACL”，华为云叫“网络ACL”，功能相同，不同云服务商的“一键放通”策略覆盖端口范围不一样，但都支持自定义TCP端口规则，核心排查方法完全相同,不需要额外学习。
问：被动模式端口范围我应该设置多大？
答：最小值可以设置1000-2000端口，足够日常用，但注意被动端口范围越宽，被探测的风险越大，单用户使用设置100个端口足够，多人并发场景按需扩展，范围一旦设定,安全组必须一致放行。
结尾再提一句：云服务器FTP连接不上，本质上就是端口链路和安全上下文的匹配问题，从安全组到防火墙再到SELinux，按顺序清理一遍，绝大多数情况都能恢复连接，养成固定被动端口范围的习惯，后续再遇到问题,排查范围会小得多。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/722942.html
