FTP跨路由器访问服务器的核心做法是：在目标服务器所在网络的边界路由器上配置端口映射（端口转发），将路由器的公网IP:21端口映射到内网服务器的IP:21端口，外部设备通过“公网IP:21”即可访问。这个答案对所有品牌路由器都适用,区别只在配置界面的入口位置。
FTP跨路由器访问服务器的根本逻辑
对内网设备来说，FTP服务器（比如一台装好Serv-U或FileZilla Server的Windows电脑）拥有一个“私有地址”，例如192.168.1.100，这个地址只在局域网内部有效，外网根本“看不见”它，路由器承担着“翻译官”的角色，它有一个公网IP，同时给内网设备分配私网IP，跨路由器访问FTP，本质上就是让路由器当中间人：外网访问路由器公网IP的21端口时，路由器把数据包转交给内网的192.168.1.100。
行业共识认为，这一步是整个FTP跨网段访问的基础，如果路由器端口映射没做对,后面改再多软件配置都是白费。
FTP端口映射怎么设置手把手操作
先确认FTP服务器的内网IP和端口，大多数FTP服务默认使用21端口（命令端口），如果你用的是FileZilla Server，安装时可以自定义端口，但建议保持默认，同时给服务器设置静态内网IP，避免DHCP租约到期导致IP变化,这是很多人配置完端口映射后隔几天又失效的原因。
登录路由器管理后台，通常在浏览器输入192.168.1.1或192.168.0.1，具体看路由器底部标签，找不到后台地址的话，在电脑的命令行窗口输入ipconfig，查看“默认网关”就是路由器的管理地址。
找到“端口映射”或“虚拟服务器”功能，不同品牌叫法不一样：TP-Link叫“虚拟服务器”，小米叫“端口转发”，华硕叫“端口转发”，爱快叫“端口映射”，功能位置也略有差异,但逻辑相同。
填写映射规则参数,核心项如下：
- 外部端口（WAN端口）：填21（若不确定,填21即可）
- 内部IP地址（LAN IP）：填FTP服务器的内网IP，例如192.168.1.100
- 内部端口（LAN端口）：仍填21
- 协议：选TCP（FTP使用TCP传输）
- 状态：启用
保存后，从外网访问时，FTP工具里填路由器公网IP，端口填21（若运营商封锁了21端口，可将外部端口改为2121，同时内部端口保持21），这种“外网端口不同、内网端口不变”的做法很常见,多用于规避运营商对21端口的封锁。
跨路由器访问FTP总是失败先查这些坑
很多人做完端口映射后仍然连不上，原因是多方面的，按以下顺序排查,能解决大部分问题。
内网测试通过了吗
先用同一局域网内的另一台电脑测试：打开资源管理器，输入“ftp://192.168.1.100”，能进说明FTP服务正常，或者在同一局域网的电脑上打开命令提示符，输入“ftp 192.168.1.100”验证，内网测试通了,问题就锁定在外网环节。
Windows防火墙拦截了FTP
Windows系统自带的防火墙默认会拦截外部对FTP的访问，进入“控制面板 → Windows Defender防火墙 → 允许应用通过防火墙”，勾选“FTP服务”和“文件和打印机共享”，或者为FTP服务单独添加入站规则：允许TCP端口21，如果你改了外部端口2121,入站规则也要对应添加2121。
路由器“安全防护”功能误杀了连接
部分路由器自带“攻击防护”或“防火墙”开关，会拦截外网到内网的非标准连接，尤其在企业路由器上，这个功能默认开启，日志里会出现大量“外部连接被阻止”的记录，登录路由器后台，在安全设置里把FTP服务器的IP加入白名单,或临时关闭攻击防护测试是否解决。
FTP主动模式与被动模式的端口问题
这是FTP跨路由器访问里最隐蔽的坑，FTP协议有两种工作模式：主动模式（PORT）和被动模式（PASV）。
主动模式下，客户端连接服务器21端口后，服务器主动从20端口发起数据连接，这个连接方向是从路由器到外网，路由器通常允许，但在NAT环境中很多客户端无法响应,因为数据连接的目标地址是客户端的私网IP。
被动模式下，服务器开放一个随机的1024以上端口让客户端连接，很多路由器只转发21端口，没有转发1024-65535范围内的动态数据端口，导致连接卡在“列出目录”这一步表面上连上了FTP,但看不到文件列表。
最实际的解决办法：把FTP服务器设置为“被动模式”，并指定一个固定的被动端口范围，例如50000-50100，FileZilla Server的“被动模式设置”里可以填写，然后在路由器上额外映射这个端口范围到同一内网IP，协议选TCP，华为和H3C企业路由器上，这组端口转发记录通常要写100条（每条对应一个端口），但多数家用路由器支持端口段批量转发，填入起始端口50000、结束端口50100即可。
不同场景下FTP跨路由器访问的具体方案
家用宽带没有固定公网IP怎么办
多数家用宽带的IP是动态的，重启光猫或路由器后公网IP就变了，靠域名解析来访问才算稳妥。
方案是使用DDNS（动态域名解析），路由器内置了DDNS功能，绑定一个花生壳或No-IP域名，每次IP变化，路由器自动通知域名服务商更新解析记录，外部访问统一使用固定域名（例如你的用户名.oicp.net）,不再记忆一串数字。
部分ISP使用“大内网”结构分配到的是运营商私网IP，路由器上的WAN口IP是100.64.x.x这样的保留地址，这种情况路由器端口映射无法生效，因为外部根本找不到这个地址，这时需要向运营商申请公网IP,或改用下文提到的内网穿透工具。
公司内部FTP外网访问不了运营商封锁端口是主因
多数运营商已经封锁了80端口、8080端口和21端口（主要用于防范垃圾邮件和恶意程序），外部设备连接21端口时，运营商会直接丢弃数据包，路由器日志里没有任何异常记录，遇到这种情况，把外部端口改成其他数字，比如2121或2021，同时在FTP服务器的被动模式设置中，把“外部IP地址”填写为路由器公网IP，否则被动模式的数据连接会错误响应为内网IP，改完端口后，访问语法为“ftp://公网IP:2121”。
云服务器上运行FTP且跨路由器访问
在云服务器上，光改操作系统防火墙没用，还得在云平台的安全组里放行端口，登录简米云/酷番云控制台，进入实例的“安全组”配置，添加入方向规则：TCP端口21（或2121）、TCP端口50000-50100（被动模式数据端口），来源设为0.0.0.0/0（允许所有IP），这一步不做，内部配置再正确也外网不通，云服务器安全组其实扮演的就是路由器端口映射的作用，二者的生效位置不同,但目标一致。
企业内网跨网段FTP访问
如果只是公司内部不同部门间的FTP跨路由器访问，比如生产部门在192.168.1.x网段，行政部门在192.168.2.x网段，两部门通过路由器互联，这种情况不需要端口映射，直接在两台路由器的“静态路由”表里分别添加指向对方网段的路由记录即可，如果公司用了三层交换机或核心交换机，在交换机上配VLAN间路由更高效，FTP服务器所在网段的交换机接口上开启“ip helper-address”或手动配置路由指向服务器所在VLAN。
没有公网IP时怎么远程访问FTP服务器
当路由器WAN口确实没有公网IP（例如手机热点网络或公司内网双层NAT），端口映射方案完全失效，此时行业通用的替代方案是“内网穿透”工具，例如frp（Fast Reverse Proxy）。
用frp打通FTP跨路由器访问的前提是，你有一台有公网IP的云服务器（费用较低，按年约百元级别，这是当前市场上针对无公网IP场景的主流解法）,架构如下：
- 在云服务器上运行frps服务端（文件名为frps，配置文件frps.toml），打开bindPort = 7000和vhostHTTPPort = 8080。
- 在内网FTP服务器上运行frpc客户端（文件名为frpc，配置文件frpc.toml），写入：
serverAddr = "云服务器公网IP" serverPort = 7000 [[proxies]] name = "ftp" type = "tcp" localIP = "127.0.0.1" localPort = 21 remotePort = 2121
- 外部访问时，FTP工具连接云服务器公网IP的2121端口,frp会把流量隧道转发到内网FTP服务器的21端口。
配置完成后，FTP跨路由器访问服务器也好、跨运营商访问也罢，用户看到的始终是云服务器的公网IP,完全不依赖本地路由器的端口映射。
Q&A：远程访问FTP的高频疑问
路由器端口映射设置正确，外网FTP还是连不上，下一步怎么办？
检查路由器WAN口IP是否为公网地址，登录路由器后台，查看“网络状态”或“WAN口状态”，如果IP是10.x.x.x、100.x.x.x、172.16.x.x中间段，说明运营商分配的是私网IP（运营商大内网），端口映射不生效，致电宽带运营商客服，申请“公网IP”即可，多数情况下可免费开通,开通后公网IP会显示为其他开头的非保留地址段。
FTP被动模式端口怎么在路由器上映射，具体怎么填？
在FTP服务器软件上，将被动端口范围固定为例如50000-50100（连续100个端口），在路由器“端口映射”中添加两条规则：一条是21端口映射（外部端口21或2121），另一条是端口段映射（外部端口50000-50100、内部端口50000-50100，协议TCP），若路由器不支持端口段转发，则填写100条独立规则,或更换支持端口段的企业级路由器。
用手机流量能访问家里FTP服务器吗？
能，手机使用4G/5G流量时具有独立的运营商出口IP，通过“ftp://你的DDNS域名:外部端口”即可访问，注意手机FTP客户端（例如ES文件浏览器）需要开启被动模式选项，否则可能能连接但列表加载不出来，如果家里宽带是大内网结构，手机走流量也无法直接访问，因为流量出口同样位于运营商NAT之后，此时需借助frp内网穿透方案，实际上多数移动端访问FTP失败，原因就是被动模式数据端口未在路由器映射列表中放行,而非路由器本身配置问题。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/579334.html
