ftp服务器如何才能外网访问
公司内网那台FTP服务器，器网访问从外网连不上，器网访问这是器网访问常态。默认情况下，器网访问FTP服务只监听内网IP，器网访问路由器也不会主动把外部请求转进来。器网访问想让外网访问，器网访问核心就一件事：打通网络路径，器网访问同时处理好FTP协议本身的器网访问“双连接”特性。
先说最直接的器网访问做法——端口映射。登录路由器管理后台，器网访问找到“虚拟服务器”或“端口转发”功能。器网访问把FTP服务器的器网访问内网IP填进去，通常需要映射两个端口：21号端口负责控制连接，器网访问20号端口负责主动模式下的器网访问数据连接。但这里有个坑，被动模式（PASV）下数据端口是随机的，只映射20和21往往不够。
我见过不少人卡在这一步。他们映射完21端口，用FileZilla从外网连，登录成功，但一到列目录就卡死。原因就是被动模式返回了一个内网IP给客户端，客户端拿着这个内网地址当然连不上。解决办法有两个：一是在FTP服务端配置里指定被动模式的公网IP，并限定一个端口范围，比如50000-50100，然后在路由器上把这个范围也映射进去；二是干脆改用主动模式，但主动模式要求客户端开放端口给服务器连，现在客户端大多在NAT后面，基本行不通。所以被动模式加端口范围映射，是更现实的选择。
选FTP服务端软件也有讲究。Windows自带的IIS FTP管理器，配置被动端口范围还算直观，在“FTP防火墙支持”里填公网IP和端口范围就行。Serv-U或者FileZilla Server，同样有类似设置。我个人偏好FileZilla Server，界面简单，被动模式设置就在“被动模式设置”里，勾选“使用以下IP”，填上公网IP，再指定端口范围，重启服务就生效。
动态公网IP是另一个麻烦。家宽或小企业宽带，公网IP可能几天一变。路由器上做个DDNS（动态域名解析），比如用花生壳、No-IP或者Cloudflare的API，把域名和当前公网IP绑定。客户端连域名而不是IP，IP变了也能自动跟上。DDNS客户端一般路由器自带，没有的话在FTP服务器上装一个也行。
还有一层：运营商封端口。部分地区的宽带运营商封了80、443，甚至21端口。如果你映射完发现外网连不上，先别怀疑配置，用手机4G网络telnet一下公网IP的21端口。连不上就是被封了。换非标准端口，比如2121，服务端和映射同步改，客户端连接时指定端口。这招能绕过大部分端口封锁。
安全方面别裸奔。FTP明文传输账号密码，外网暴露21端口，扫描器几分钟就能找上来。至少做三件事：禁用匿名访问，强密码策略，以及限制登录失败次数。有条件上FTPS（FTP over TLS），或者干脆换SFTP——基于SSH，加密传输，只需要一个端口，比FTP省心得多。如果只是传文件，SFTP或者WebDAV往往比FTP更适合外网场景。
最后提一个真实案例。去年帮朋友调一台群晖NAS的FTP外网访问，路由器映射了21和被动端口范围，DDNS也正常，但外网始终连不上。查了半天，发现群晖防火墙里没放行被动端口范围。服务端防火墙、路由器防火墙、运营商三层，任何一层没通都不行。用telnet和tcpdump逐层排查，半小时搞定。所以配置完别急着收工，从外网实际测一遍，列目录、上传、下载都跑通才算完。
外网访问FTP，本质是让数据包能正确往返。端口映射解决入口，被动模式配置解决数据连接，DDNS解决地址变化，换端口解决封锁，加密和访问控制解决安全。每一步都到位，外网才能稳定连上。