搭建FTP后公网无法访问，绝大多数原因在于被动模式端口范围未正确配置，同时防火墙或路由器未同步开放该端口段，导致数据连接无法建立。
为什么公网无法访问FTP？常见原因拆解
FTP协议本身使用两个通道：命令通道（默认21端口）和数据通道，主动模式下，服务器主动连接客户端指定端口，但多数客户端在家用内网，无法被外网主动连接，因此被动模式成为主流，被动模式下，服务器开放一段随机端口，客户端通过命令通道获取这些端口后主动连接，如果这段端口范围没有在服务器、防火墙和路由器上统一开放,数据连接必然失败。
防火墙和路由器端口转发缺失
- 服务器端Windows防火墙或云安全组只开放了21端口,未开放被动端口范围。
- 家用路由器未做端口转发，或只转发了21端口,未转发被动端口段。
- 运营商可能封锁了21端口，需改用其他端口作为命令端口（如2121）。
FTP服务器被动配置错误
- 服务器被动端口范围未设置，导致系统随机分配,防火墙无法针对固定端口开放。
- 服务器返回的IP地址是内网IP（如192.168.x.x），客户端无法通过该地址建立数据连接，需要手动设置外部IP地址,或启用NAT回环功能。
网络环境限制
- 企业内网、云服务器VPC环境存在多层NAT,仅靠简单端口转发可能不够。
- 部分云厂商默认禁止FTP流量,需额外调整安全组或白名单。
FTP被动端口范围是什么？为什么必须配置
被动端口范围是服务器允许客户端建立数据连接的一组端口，客户端在登录后，通过命令通道收到服务器发送的IP和端口号，然后主动发起连接，如果端口范围过大，安全风险增加；过小则并发连接数受限。
主动模式与被动模式区别
| 模式 | 数据连接建立方式 | 典型场景 |
|---|---|---|
| 主动模式 | 服务器主动连接客户端端口 | 客户端有公网IP且防火墙允许入站 |
| 被动模式 | 客户端主动连接服务器端口 | 客户端在内网，服务器有公网IP |
多数情况下，家庭或企业客户端都位于内网，所以被动模式是首选，但被动模式要求服务器开放一段端口,并确保这些端口可被外网访问。
端口范围选择建议
- 常用的临时端口范围：49152-65535（动态端口）,但需根据实际开放策略调整。
- 也可选择较小范围如50000-50100,配合防火墙精确控制。
- 范围大小应根据并发连接数预期设置，每个用户每次数据连接占用一个端口,空闲数分钟后释放。
FTP服务器被动端口范围配置实操
以下以主流FTP服务器为例，展示具体配置步骤，注意,每个步骤后都需要重启服务生效。
FileZilla Server（Windows）
- 打开FileZilla Server Interface,连接服务器。
- 点击菜单栏“Edit” -> “Settings”。
- 左侧选择“Passive mode settings”。
- 勾选“Use custom port range”，设置起始和结束端口,例如50000到50100。
- “External IP address”处填写服务器公网IP（或动态域名），若不确定可留空，使用默认自动检测,但检测可能不准确。
- 在Windows防火墙中开放该端口范围（入站规则）。
- 若在路由器后,做好端口转发。
vsftpd（Linux）
- 编辑配置文件：
vim /etc/vsftpd/vsftpd.conf - 添加或修改以下参数：
pasv_enable=YESpasv_min_port=50000pasv_max_port=50100pasv_address=你的公网IP（必须设置,否则客户端会收到内网IP）pasv_addr_resolve=YES（如果使用域名）
- 保存，重启vsftpd：
systemctl restart vsftpd - 配置防火墙（iptables或firewalld）开放端口段。
Windows Server IIS FTP
- 打开“IIS管理器”,选择FTP站点。
- 双击“FTP防火墙支持”。
- 在“数据通道端口范围”中设置端口范围，例如50000-50100。
- 在“外部IP地址”中填入服务器的公网IP。
- 在Windows防火墙或云安全组中开放相应端口。
- 重启FTP服务。
防火墙和路由器端口转发设置步骤
端口转发是连接内网FTP服务器和公网的关键，很多用户只转发21端口，却忽略了被动端口范围,导致连接失败。
家用路由器端口转发
- 登录路由器管理界面，找到“端口转发”或“虚拟服务器”。
- 添加两条规则：
- 规则1：外部端口21，内部端口21,内部IP地址指向FTP服务器。
- 规则2：外部端口范围50000-50100，内部端口范围50000-50100,内部IP地址同上。
- 保存,重启路由器或等待生效。
云服务器安全组（以简米云为例）
- 进入ECS安全组，选择“入方向”规则。
- 手动添加规则：
- 协议类型：TCP，端口范围：21/21，授权对象：0.0.0.0/0（或限制访问IP）。
- 协议类型：TCP，端口范围：50000/50100，授权对象：0.0.0.0/0。
- 优先级设高,保存。
防火墙软件设置
- Windows防火墙：新建入站规则，选择“端口”，TCP，特定本地端口填入21,50000-50100,允许连接。
- iptables（Linux）：
iptables -A INPUT -p tcp --dport 21 -j ACCEPT以及iptables -A INPUT -p tcp --dport 50000:50100 -j ACCEPT,并保存规则。
客户端连接测试与验证
配置完成后，使用FTP客户端从外网连接测试，推荐FileZilla Client,因为它会显示详细日志。
查看日志确认被动模式
- 连接成功后，查看日志中“Passive mode”或“PASV”字样。
- 日志中会显示服务器返回的IP和端口，确认IP是否为公网IP,端口是否在之前设置的范围内。
- 如果客户端收到内网IP地址，说明服务器外部IP配置错误，需重新设置pasv_address或external IP。
常见失败日志解读
- “500 Illegal PORT command”或“425 Cannot open data connection”：通常是被动端口范围未开放,或防火墙拦截。
- “Connection timed out”：端口转发未生效,或端口被运营商阻断。
- “Address family not supported by protocol”：IPv6/IPv4不匹配,尝试强制使用IPv4。
其他需要注意的细节
动态公网IP与DDNS
如果公网IP是动态的，FTP服务器中的外部IP配置无法固定，此时应使用DDNS域名，并在服务器中设置域名解析，vsftpd中可以设置pasv_address=yourdomain.ddns.net
配合pasv_addr_resolve=YES。
FTP over TLS/SSL
使用加密FTP（FTPS）时，命令端口可能变为990，数据端口仍是动态范围，防火墙和端口转发需要同时开放990端口和被动端口范围,部分客户端需要显式或隐式加密设置。
运营商限制
国内部分运营商屏蔽了21端口，建议将命令端口改为其他端口（如2121），同时调整路由器端口转发和服务器监听端口，被动端口范围不受影响,但需确保客户端设置相应端口。
Q&A: FTP服务器被动端口范围与公网访问常见问题
FTP被动端口范围怎么设置才能避免安全风险？
端口范围越小，暴露面越窄，建议根据最大并发连接数估算，例如预期同时10个数据连接，范围可设置为50000-50020，同时配合防火墙只允许特定IP访问这些端口，或使用Fail2Ban等工具防暴力破解，服务器端的被动端口范围应与防火墙规则完全一致,避免遗漏。
公网无法访问FTP，但内网可以，为什么？
内网访问时，FTP数据连接通常直接使用内网IP，不受公网端口转发和防火墙影响，公网访问失败的原因集中在两点：一是路由器端口转发未覆盖被动端口范围；二是服务器返回了内网IP地址，客户端无法连接，通过日志确认服务器返回的IP类型，即可定位问题,内网正常不代表外网配置正确。
搭建FTP后，简米云服务器无法连接怎么办？
简米云服务器需同时配置安全组和服务器内部防火墙，安全组入方向开放21端口和被动端口范围时，注意授权对象要包含你的客户端IP或0.0.0.0/0（测试后建议收紧），服务器内部操作系统防火墙（如iptables或Windows防火墙）必须开放相同端口，否则安全组放行后仍被系统拦截，简米云经典网络与专有网络VPC在端口转发规则上无差异，但VPC中服务器需注意内部IP是否随NAT变换，设置FTP服务器外部IP时,使用公网IP即可。
FTP公网访问问题无论表现形式如何，核心解决路径是一致的：正确配置被动端口范围，并确保服务器、防火墙、路由器三者开放相同端口段，同时指定服务器返回的外部IP地址，按照上述步骤逐一排查，大多数外网连接问题都能解决。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/577607.html
