解决IIS FTP服务器端口映射问题的核心在于正确配置Windows防火墙和路由器端口转发，并设置好被动模式端口范围，否则外部无法正常访问。
IIS FTP服务器端口映射怎么设置？
很多人在IIS里搭建好FTP服务器后，本地访问一切正常，但外网就是连不上，问题通常出在端口映射上，FTP不只是用到21端口，数据通道也需要映射,尤其是被动模式需要一组端口范围。
了解FTP主动与被动模式的区别
- 主动模式：服务器主动连接客户端的数据端口，容易受客户端防火墙限制,现在很少用。
- 被动模式：客户端主动连接服务器指定的数据端口，对客户端友好,但服务器需要开放一个端口范围并映射到外网。
行业共识认为，绝大多数场景应该使用被动模式,端口映射的重点也放在被动端口范围上。
配置防火墙入站规则
在Windows Server上，打开“高级安全Windows Defender防火墙”,新建入站规则：
- 允许TCP 21端口（控制连接）
- 允许TCP被动端口范围，例如50000-50100
- 如果使用FTPS，还需要允许TCP 990端口（隐式SSL）
具体操作路径：管理工具 → 高级安全Windows防火墙 → 入站规则 → 新建规则 → 端口，完成后,在路由器上做端口转发。
Windows服务器FTP端口映射教程：具体操作步骤
这里给出完整的操作流程，从IIS配置到路由器转发,一次走通。
在IIS管理器中设置FTP被动模式端口范围
- 打开IIS管理器,选择你的FTP站点。
- 双击“FTP防火墙支持”功能。
- 填写“数据通道端口范围”，50000-50100。
- 在“防火墙的外部IP地址”中，输入你服务器的公网IP（或路由器映射后的IP），这一步很多人忽略,导致外网访问时返回内网IP地址。
注意：端口范围要尽量小，减少攻击面，但也要足够支持并发连接,几百个端口足够中小企业使用。
在路由器中配置端口转发规则
登录路由器管理界面，找到“端口映射”或“虚拟服务器”选项：
- 规则名称：随意，如IIS FTP
- 外部端口：21 → 内部IP的21
- 外部端口范围：50000-50100 → 内部IP对应端口（端口号一致）
- 协议：TCP
- 内部IP：FTP服务器的内网地址（建议设为静态IP）
注意：如果路由器有“端口触发”功能，不要搞混，端口映射是静态规则，长期有效，配置完成后，从外网访问公网IP的21端口,应该能连接。
端口映射常见问题与排查方法
配置完成后，外网访问还是有问题？以下是最常见的两个坑。
外部访问FTP时提示连接超时
- 检查防火墙是否开放了21端口和被动端口范围，可以用telnet测试：在外部电脑上执行
telnet 公网IP 21，如果显示空白或FTP欢迎信息,说明控制连接正常。 - 如果控制连接成功但数据传输超时，问题几乎都出在被动端口映射上，检查IIS中“FTP防火墙支持”的端口范围是否与路由器转发一致,外部IP地址是否填写正确。
- 路由器端口转发规则是否生效,有些路由器需要重启才能应用新规则。
登录成功但无法列出目录
这种情况多半是被动端口没有映射到位，FTP客户端通常使用被动模式，登录后请求数据连接，如果服务器返回的IP地址是内网地址，客户端会尝试连接内网IP，自然失败，确保IIS中的“外部IP地址”填写了公网IP,且路由器对被动端口范围做了转发。
Windows防火墙有时会屏蔽来自同一子网外的连接，检查防火墙规则的作用域,确保允许所有远程IP。
IIS FTP端口映射常见问题解答
端口映射后FTP只能连上但无法上传文件，怎么办？
先确认使用的是被动模式，在FTP客户端设置中强制使用被动模式，因为主动模式在NAT环境下容易失败，如果还是不行，检查被动端口范围是否在防火墙上开放，并确认路由器做了端口转发，相当一部分用户的问题出在IIS的“FTP防火墙支持”设置中“外部IP地址”项留空或填错,填入你的公网IP即可。
被动模式端口范围设置多少才够用？
根据并发访问量来定，如果只有几个用户同时使用，几十个端口就够；如果面向公众下载，建议设置100-200个端口，端口范围设置过大会增加被扫描的风险，但通过防火墙限制来源IP可以缓解，业界普遍推荐使用50000-50100这样的范围，方便记忆,也足够中小型应用。
FTP端口映射需要额外费用吗？
不需要，端口映射本身是路由器和防火墙的基础功能，不产生额外费用，但如果你在云服务器上配置，需要检查安全组规则是否开放相应端口，这部分通常也是免费的，所谓的“FTP端口映射费用”可能是某些服务商提供的配置服务收费,自己动手完全免费。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/543386.html
