创建了FTP服务器为什么访问不了？，FTP连接失败的排查技巧

创建了FTP服务器为什么访问不了？核心原因集中在防火墙规则、服务状态、主动/被动模式和数据连接端口四类问题上，其中被动模式端口未放行占多数排查场景。

FTP服务进程没起来，端口根本不通

先别急着改配置，FTP服务本身是否在运行，往往是最先被忽略的一环，很多管理员在Windows Server上安装完FTP服务后，没有启动它，或者重启服务器后服务没有自动运行，服务停止，所有连接请求都会直接超时或返回“无法连接”。

打开services.msc，找到Microsoft FTP Service，确认状态为“正在运行”，启动类型设为“自动”,然后检查端口监听状态：

netstat -an | findstr :21

没有任何输出，基本可以确定服务没起来，或者绑定了非预期网卡，此时处理FTP访问不了的思路,应该从服务本身重新拉起开始。

FTP端口不止21这一个

FTP协议的控制连接走TCP 21端口，数据连接则根据主动或被动模式走不同通道，主动模式走20端口，被动模式由一个动态端口范围提供数据传输，只放行21端口的话，客户端能登录，但后续的目录列表和文件传输都会卡死，表现就是“FTP服务器能进不能列出目录”。

FTP服务器连接被拒绝，先查四个地方

连接被拒绝是典型报错，出现这个提示，说明客户端的位置已经能抵达部分链路，但最终的服务端点没有正确响应，按以下顺序排查,覆盖绝大多数场景。

防火墙规则挡掉了入站请求

Windows自带的防火墙默认拦截主动入站，即使FTP服务正常运行，防火墙不放行21端口，外部客户端依然会收到“连接被拒绝”的提示，检查路径：打开“高级安全Windows Defender防火墙”→ 入站规则 → 新建规则 → 端口 → TCP 21 → 允许连接，如果服务器上有第三方安全软件,也需要确认其防火墙组件没有拦截FTP进程。

FTP服务绑定了错误的IP地址

服务器有多个网卡（常见于一台机器同时承担内网和DMZ业务），FTP服务可能默认绑定在某个具体IP上，客户端访问的IP与FTP监听IP不一致，连接必然被拒，在FTP服务的“绑定”配置中,手动指定监听全部IP或明确指定客户端访问的那个IP。

路由器的端口映射或NAT转发配置错误

外网访问内网FTP，本质上依赖路由器做公网IP到内网IP的转发，确认路由器的端口映射规则是否存在，协议是否为TCP，内外端口是否都是21，内网IP是否与FTP服务器一致，不少家用路由器对WAN侧回环不生效，测试时必须用手机4G/5G流量，不能用局域网内同一WiFi下的设备去访问公网IP,否则会得到假阴性结果。

被动模式数据端口未放行

这个问题非常隐蔽，21端口通了，用户名密码也验证过了，但列出目录时卡死或报错，原因在于被动模式下服务器又开放了一个随机端口，客户端去连接那个端口时被防火墙拦截，数据通道建不起来，配置FTP被动端口范围（例如50000-50100），并同步放行防火墙入站规则,问题就能解决。

FTP服务器能进不能列出目录，多半是主动/被动模式不匹配

登录成功但目录为空，或者提示“425 Failed to establish connection”，说明控制连接正常，数据连接失败，数据连接的建立方式,决定了特定网络环境下的成败。

主动模式：服务器主动连客户端

客户端通过PORT命令告知服务器自己的IP和端口，服务器反过来连接客户端，这意味着客户端必须有一个能路由直达的公网IP或正确的端口转发，现代大部分客户端都处在NAT之后，服务器从外部主动连接客户端,基本连不上。

被动模式：客户端主动连服务器

客户端发送PASV命令，服务器开放一个随机数据端口并告知客户端去连接，多数场景下，被动模式比主动模式更容易打通，但要求服务器所在的防火墙对数据端口范围开放入站,并且网络出口不会被运营商封锁高位端口。

行业共识认为，内网环境测试正常、外网访问失败的情况，90%以上与主动/被动模式切换和被动端口范围配置有关，推荐客户端固定使用被动模式,并在服务器端指定固定端口范围。

FileZilla客户端：编辑 → 设置 → 传输 → 被动模式，保存后重试。

数据连接超时的其他诱因

• 路由器开启了SIP ALG或FTP ALG，部分实现反而会破坏FTP数据通道
• 服务器安全策略限制出站连接，导致主动模式无法建立回连
• 客户端本地防火墙拦截了服务器返回的数据包

局域网FTP服务器外网访问不了，试试这些方案

不少公司用一台旧电脑搭建FTP，内网访问顺畅，外网怎么都进不去，原因可能不是配置问题,而是网络本身不具备公网可达性。

没有公网IP时，用内网穿透

运营商分配的是大内网IP，没有公网IPv4，这种情况下，路由器上配置好端口映射也无济于事，可以用FRP、ngrok这类内网穿透工具，将内网FTP服务映射到一台有公网IP的中转服务器上，外部客户端通过中转服务器访问FTP，FRP配置在服务端和客户端分别编写frps.ini和frpc.ini即可,轻量且稳定。

动态公网IP配合DDNS

如果是动态公网IP，每次拨号IP都会变化，用花生壳等DDNS服务注册域名，路由器上启用DDNS，将动态IP绑定到固定域名，这样客户端不需要关心底层IP如何变化,直接用域名访问FTP即可。

公网开放FTP的安全顾虑

FTP本身就是明文传输，账号密码和文件数据在链路上可见，暴露到公网后，会频繁遭遇暴力破解和弱口令扫描，据工信部每年公开的网络安全威胁通报，FTP类服务长期处于暴露风险较高的软件资产清单中，建议至少更换为FTPS（FTP over TLS）,或者使用SFTP替代传统FTP协议。

FTP访问问题速查表

常见问题（Q&A）

Q1：FTP服务器连接被拒绝，但Windows防火墙已经关了，为什么还连不上？

关闭系统防火墙后依然拒绝，问题通常不在Windows自带防火墙，检查第三方安全软件是否有独立出站/入站过滤，以及虚拟化平台或云安全组是否放行了对应端口，简米云、酷番云等云服务器还单独设置了安全组规则，即使系统防火墙关闭,安全组未放行21端口同样会拒绝访问。

Q2：FTP服务器能进不能列出目录，用命令行工具还能传文件吗？

普通命令行FTP工具不支持PASV主动切换，只能使用主动模式连接，若服务器在NAT后，主动模式基本无法工作，命令行工具就会出现卡在LIST命令的情况，建议换用FileZilla、WinSCP等支持模式和端口范围配置的图形化客户端，命令行批处理场景可以用curl配合FTP协议,curl支持主动和被动两种模式切换。

Q3：没有公网IP，用内网穿透工具会不会导致FTP速度变慢？

内网穿透的中转服务器带宽上限决定了实际传输速度，FTP自身的传输效率反而低于穿透瓶颈，多数穿透服务商对免费通道限制为1-2Mbps，传输大文件时会明显变慢，若频繁传输大文件，考虑租用固定带宽的轻量云服务器搭建FRP中转，或者改用支持P2P通透的ZeroTier等组网方案直接打通内网,速度更稳定。