ftp服务器搭建好后连接不上，绝大多数情况不是服务端没装好，而是网络路径、防火墙策略、被动模式端口或账号权限这四道关卡中至少一道没放行。 先把“服务是否真的在听”确认下来，再按“本地回环→局域网→公网”的顺序逐段验证,比反复重装vsftpd或IIS更有效。
先确认服务端到底有没有在监听
端口监听与进程状态
搭建完成不等于服务已经对外监听,先在服务器本机执行检查：
- Linux：
ss -tlnp | grep :21或netstat -tlnp | grep :21 - Windows：
netstat -ano | findstr :21 - 查看服务状态：Linux用
systemctl status vsftpd，Windows在“服务”里看FTP服务是否运行
如果只看到0.0.1:21，说明服务只监听回环地址，局域网和公网都连不上，vsftpd需要确认listen=YES、listen_ipv6=NO，IIS FTP要检查站点绑定IP是否为“全部未分配”或正确的网卡地址，端口被占用时，要么结束占用进程，要么换控制端口,比如把21改成2121。
账号和目录权限先排掉
连接被拒不一定都是网络问题，客户端报530 Login incorrect时,优先看三件事：
- FTP用户是否存在，密码是否包含特殊字符导致客户端解析异常
- 用户shell是否被设为
/sbin/nologin，部分服务端需要配合check_shell=NO - 根目录权限是否过严，目录是否可读可写，chroot是否把用户锁在不可访问的路径
Linux上还要看SELinux，执行getenforce，如果是Enforcing，可临时用setenforce 0测试，确认后再用setsebool -P ftpd_full_access on放行,不要长期关闭SELinux。
防火墙与安全组：ftp服务器连接不上和防火墙有关系吗
有关系，而且是最常见的卡点之一，FTP不是只开21端口就完事，控制连接和数据连接走不同端口，只放行21往往表现为“能登录、不能列目录”。
系统防火墙放行21端口
Linux firewalld环境：
firewall-cmd --permanent --add-port=21/tcpfirewall-cmd --reload- 如果改了控制端口，把21换成实际端口
Ubuntu ufw环境：
ufw allow 21/tcpufw reload
Windows环境在“高级安全Windows Defender防火墙”里新建入站规则，放行TCP 21和后续被动端口范围，临时关闭防火墙只能用于测试，定位后要逐条放行,不要长期关闭。
云安全组和NAT映射
云服务器要在安全组入方向放行21端口和被动端口范围，家庭宽带场景要在路由器上做端口映射，把公网侧21端口映射到内网FTP服务器的21端口，只映射21、不映射被动端口，就会出现登录成功但无法传输文件，业内专家指出，云服务器上FTP排障最容易漏掉的是安全组和pasv_address的配合。
被动模式端口范围：ftp被动模式连接不上怎么设置
主动模式与被动模式的区别
行业共识认为，FTP的数据连接与NAT环境天然不兼容，被动模式就是为缓解这一矛盾而普及的，主动模式下由服务端主动连客户端的数据端口，客户端在路由器或防火墙后面时经常失败；被动模式下由客户端连服务端开放的一段端口,更适合云服务器和家庭宽带。
服务端配置与客户端设置
vsftpd在vsftpd.conf中配置：
pasv_enable=YESpasv_min_port=30000pasv_max_port=31000- 云服务器经过NAT时，补充
pasv_address=公网IP
IIS FTP在“FTP防火墙支持”里设置数据通道端口范围，并填写外部IP，配置完成后，系统防火墙和云安全组都要放行30000到31000这段TCP端口，客户端侧，FileZilla默认使用被动模式，可在“站点管理器→传输设置”里确认；如果被动模式不通,再临时切主动模式做对比测试。
验证被动端口是否可达，可在客户端机器执行telnet 公网IP 30000或nc -vz 公网IP 30000，FileZilla日志出现425 Can't open data connection，基本指向被动端口未放行或pasv_address填错。
云服务器ftp连接不上怎么解决：从内网到公网的链路排查
本地能连、外网连不上：ftp服务器搭建好后外网连接不上
按三段测试法走,不要一上来就改配置：
- 服务器本机：
ftp 127.0.0.1，能登录说明服务端和账号基本正常 - 局域网另一台机器：
ftp 内网IP，能登录说明系统防火墙已放行 - 公网机器：
ftp 公网IP，不通就查云安全组、弹性公网IP绑定、端口映射
近年来部分运营商对21端口有限制，家庭宽带用户如果发现内网通、公网不通，可先把控制端口改成2121再试，北京地区家庭宽带用户排障时，还要确认自己拿到的公网IP是否为运营商级NAT地址，如果处于100.64.0.0/10网段，外网无法直接连入,需要内网穿透或申请固定公网地址。
路由器和家庭宽带场景
路由器端口映射要同时覆盖控制端口和被动端口范围，只做21端口映射，客户端可能卡在“读取目录列表”，光猫桥接、路由器拨号、动态公网IP这些环节也要确认，公网IP变化后，pasv_address和客户端站点地址都要同步更新。
不同场景排查顺序对比
| 场景 | 先查什么 | 典型现象 | 验证动作 |
|---|---|---|---|
| 服务器本机 | 服务监听、账号权限 | 本机都连不上 | ss -tlnp、看530日志 |
| 局域网内 | 系统防火墙、目录权限 | 本机通、同事连不上 | 另一台机器ftp 内网IP |
| 云服务器公网 | 安全组、pasv_address |
能登录、不能列目录 | 放行被动端口、telnet测试 |
| 家庭宽带 | 路由器映射、运营商NAT | 内网通、外网超时 | 查公网IP、换控制端口 |
ftp服务器连接不上常见问答
免费ftp服务器连接不上怎么办
免费服务端常见限制包括被动端口范围不可调、并发连接数少、公网地址不固定，先在本机用0.0.1测试，排除账号问题；再检查免费客户端是否默认主动模式，临时切换被动模式对比；最后看服务端日志里的错误码，免费方案不是不能用，但排障时要先把“免费限制”和“网络限制”分开。
ftp服务器搭建好后内网能连外网不能连是什么原因
优先查三层：云安全组或路由器端口映射是否放行控制端口和被动端口；pasv_address是否填写公网IP；公网IP是否真实可达，内网能连说明服务端、账号、系统防火墙基本正常,问题集中在公网入口和NAT回程路径上。
ftp服务器连接超时是服务端坏了吗
不一定，连接超时发生在TCP握手阶段，通常说明21端口没有到达服务端，先看监听地址、防火墙、安全组和路由，而不是重装服务，只要本机ftp 127.0.0.1能登录，服务端进程大概率没有坏,问题在外部访问链路。
ftp服务器搭建好后连接不上，真正的分水岭是“本机通不通”和“公网通不通”这两次测试。 按监听、防火墙、被动端口、权限的顺序走，多数问题能在十分钟内定位,不需要反复重装。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/ftp%e6%9c%8d%e5%8a%a1%e5%99%a8%e6%90%ad%e5%bb%ba%e5%a5%bd%e5%90%8e%e4%b8%ba%e4%bb%80%e4%b9%88%e8%bf%9e%e6%8e%a5%e4%b8%8d%e4%b8%8a%ef%bc%8cftp%e8%bf%9e%e6%8e%a5%e4%b8%8d%e4%b8%8a%e6%80%8e%e4%b9%88/
