花生壳设置访问内网FTP服务器的核心逻辑是：在花生壳官网或客户端添加一条内网映射，将内网FTP的IP和端口映射到一个公网域名，之后外网设备通过该域名加端口即可访问。整个过程不需要公网IP，也不用手动改路由器，是很多个人站长和中小企业搭建远程文件服务的首选方案。
接下来我会把从零开始的完整操作拆开讲,包括客户端下载、映射配置、FTP被动模式调整，以及几个常见的连不上排查点，内容基于花生壳当前主流版本（Windows客户端和Web管理后台）的实际操作逻辑。
第一步：搞清楚你的FTP服务器用的是主动模式还是被动模式
FTP服务和HTTP服务最大的区别在于它需要两条通道：一条是控制通道（默认TCP 21），负责传输指令；另一条是数据通道，负责实际传输文件，数据通道的端口号取决于FTP服务器的工作模式。
- 主动模式：服务器主动连回客户端的随机端口，这个模式在内网穿透下极其容易失败，因为服务器根本找不到客户端的公网地址。
- 被动模式：客户端主动连接服务器开放的指定端口段，这才是花生壳场景下能用的模式。
行业共识认为,在花生壳内网穿透FTP服务时，必须将FTP服务器设置为被动模式，并且固定被动端口范围，如果你用的是FileZilla Server，这个设置就在“编辑-设置-被动模式设置”里，手动填入一段端口，比如10000到10010，如果你用的是vsftpd（Linux环境），需要修改配置文件，加入pasv_min_port=10000和pasv_max_port=10010，并设置pasv_address为花生壳分配的域名。
第二步：注册花生壳账号并获取免费域名
访问花生壳官网（oray.com），注册一个账号，注册完成后，进入“域名管理”控制台，你会看到一个默认分配的公网域名，这个域名是花生壳给你做映射用的，格式通常是xxxxx.oray.net或xxxxx.vicp.fun之类。
这里有一个关键点需要提前说明：花生壳的免费域名和付费域名的区别在于映射条数限制和带宽限制，免费版通常只支持1-2条映射，带宽一般在1Mbps左右，实际下载速度大概在100-200KB/s，适合小文件传输，如果你需要传大文件或者多人同时访问，需要升级到付费版，价格通常在几十到几百元一年不等。
不要在这一步纠结域名选型，先用免费域名完成全部配置，确认链路通了之后再考虑是否升级。
第三步：下载花生壳客户端并登录
花生壳有两种使用方式：一种是Web端直接添加映射（需确保内网设备装了花生壳客户端才能保持在线），另一种是Windows客户端本地登录后在界面上操作，我推荐第二种，因为可视化程度更高，排查错误信息更直观。
- 到花生壳官网下载“花生壳Windows客户端”，安装完成后登录你注册的账号。
- 登录后,主界面会显示你的账号信息和域名列表。
- 点击“内网穿透”或“添加映射”按钮，进入配置界面。
第四步：添加内网FTP映射（核心步骤）
在添加映射界面,你需要填写几个字段，每一项都不能填错：
| 配置项 | 说明 | |
|---|---|---|
| 应用名称 | 我的FTP” | 随便填，方便自己识别 |
| 映射类型 | 选“TCP” | FTP不是HTTP，必须选TCP |
| 公网端口 | 系统自动分配一个随机端口 | 这个端口就是你外网访问时要带的端口 |
| 内网主机 | 例如192.168.1.100 | 你的FTP服务器内网IP |
| 内网端口 | 21 | FTP默认控制端口 |
填写完毕后点击“确定”或“保存”，等待几秒钟，映射列表里出现一条状态为“正常”的记录，这表示映射已生效，此时你会看到一条完整的访问地址，格式如下：
公网域名:公网端口（abc123.oray.net:45678）
记住这个完整地址格式，这是你外网访问的唯一入口。
第五步：修改FTP服务器的被动端口范围并绑定到花生壳
这是花生壳设置内网FTP服务器时最容易被忽略的一步，也是导致“链接上了但目录列表刷不出来”问题的根源，原因在于：
假设你只映射了TCP 21端口，客户端通过花生壳域名和随机端口连接上了控制通道，随后FTP服务器说“来，数据通道连我这个127.0.0.1:10001”，结果客户端发现这个地址根本访问不了，因为数据端口没有映射。
解决办法有两个层面：
- 在FTP服务器中,将被动模式端口范围设置成某个固定区间，比如10000-10010。
- 在花生壳中,为每一个被动端口添加一条TCP映射，内网主机和FTP服务器相同，内网端口是10000到10010中的每一个数字。
如果你使用的是FileZilla Server，操作路径是：编辑→设置→被动模式设置→勾选“使用自定义端口范围”→填入10000-10010。
如果你用的是Windows自带的IIS FTP，设置位置在“FTP防火墙支持”里，同样需要填写端口范围。
花钱省事的方案： 如果你觉得为每个端口添加映射太麻烦，可以考虑花生壳的“端口段映射”功能，部分付费套餐支持直接映射一个连续的端口范围，免费版只能一条一条添加。
第六步：从外网验证FTP连接是否成功
完成上述所有配置后,你需要一个真实的外网环境来测试。不建议你在内网环境下测试，因为内网访问公网域名往往会经过NAT回流，测不出真实效果。
找一个不在你局域网内的设备（比如手机用4G/5G网络），打开文件管理器或FTP客户端软件（如FileZilla Client），输入：
- 主机：花生壳分配的域名（如
abc123.oray.net） - 端口：花生壳分配的公网端口（如
45678） - 用户名和密码：你的FTP服务器账号和密码
如果你在局域网内也想测通,可以尝试在路由器上开启“NAT回流”或“Hairpin NAT”功能，但这个功能不是所有路由器都支持。
花生壳FTP链接不上的排查方法
如果你按照上述步骤做完,发现还是连不上，按照优先级检查以下几个位置：
检查Windows防火墙
花生壳客户端运行所在的主机和FTP服务器所在主机，都需要在防火墙入站规则中放行TCP 21端口和被动端口范围，右键点击“允许应用或功能通过Windows防火墙”，找到你的FTP服务进程，勾选“专用”和“公用”两个复选框。
检查FTP服务器监听地址
确保FTP服务器监听的网卡地址是内网IP，而不是仅监听127.0.0.1，在FileZilla Server的“被动模式设置”中，有一个“使用以下IP地址”的选项，这里不能填花生壳域名，保留空白或填内网IP即可。
检查花生壳映射状态
打开花生壳客户端，查看映射状态是否为“正常”，如果显示“端口占用”或“域名解析未生效”，先等1-2分钟让域名解析刷新，还不行就重启客户端。
检查端口号冲突
如果你内网FTP端口不是默认的21，而是自定义的比如2121，那在花生壳映射时“内网端口”必须填2121，不要填21。
花生壳域名变IP了怎么办
花生壳赠送的免费域名绑定的是动态IP,如果你的公网IP发生了变化，域名会自动重新解析，理论上不需要手动干预，但有一些老版本的客户端偶尔会出现解析缓存不更新的情况。
遇到这种情况,最简单的处理方式是在客户端里点一下“重新解析”或退出账号重新登录，还有一种情况是客户端所在主机的DNS缓存了旧IP，可以打开命令行输入ipconfig /flushdns刷新DNS缓存，再重新连接。
替代方案对比
在配置过程中,你会感受到免费版在带宽和端口映射数量上的局限性，这里给你一个横向参考，便于判断是否需要升级：
| 对比维度 | 花生壳免费版 | 花生壳付费版（入门） | 公网IP+DDNS方案 |
|---|---|---|---|
| 带宽限制 | 1Mbps左右 | 较高速率 | 取决于你宽带的上行带宽 |
| 配置复杂度 | 简单 | 简单 | 需要路由器端口转发 |
| 稳定性 | 依赖花生壳服务器 | 更稳定 | 依赖宽带运营商 |
| 成本 | 0元 | 每年几十元起 | 需要确认运营商是否分配公网IP |
如果你不想折腾花生壳被动模式端口映射这一堆事,并且运营商能分配给你公网IP，直接做端口转发会更干净，但多数情况下家庭宽带没有公网IPv4，花生壳这类内网穿透工具几乎是唯一低成本选择。
常见问题集中解答
花生壳FTP映射添加成功了，但外网访问时提示“无法解析主机名”，是什么情况？
域名DNS解析还没有完全生效,或者客户端所在主机的网络异常，先在本机命令行执行ping 你的花生壳域名，看是否能解析出IP，能解析通但连不上，检查映射状态是否为“正常”；如果提示未知主机名，退出花生壳客户端重新登录，等待5分钟再试。
外网能连上FTP控制端口，但刷新目录列表时卡死或超时，怎么处理？
这是被动模式数据通道没打通,再次确认你FTP服务器的被动端口范围是否填写正确，并且花生壳是否将对应的被动端口全部添加了TCP映射，另外检查FTP服务器的安全组或防火墙，被动端口段是否已放行。
花生壳免费版映射FTP服务器，实际传输速度能到多少？
免费版带宽约为1Mbps,换算成上传和下载速度在100KB到200KB每秒之间，适合传输文档、压缩包等小型文件，如果要传输大文件，建议升级带宽套餐或改用其他中转传输方式。
花生壳配置内网FTP服务器的核心就在于选对TCP协议、固定被动端口范围、把每个被动端口都映射出去，你只要把这三件事做对了，外网访问内网FTP就非常稳定，如果只做了一端口映射而忽略被动端口配置，大概率会遇到能连上但浏览不了目录的尴尬情况，按本文顺序操作，全程预计需要10-15分钟。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/789312.html
