Windows Server FTP 服务器被动模式（PASV）完整配置指南

在企业内网或混合云环境中，Windows Server 自带的 IIS FTP 服务常被用于安全、可控的文件传输。然而，默认启用的主动模式（PORT）在防火墙或 NAT 设备后极易失败——客户端无法建立数据连接。此时，被动模式（PASV）成为标准解决方案：服务器主动开放指定端口范围供客户端连接，大幅提升穿透能力与兼容性。本文将系统讲解如何在 Windows Server（2016/2019/2022）中正确配置 FTP 被动模式，涵盖角色安装、防火墙策略、IIS 设置及常见故障排查要点，确保部署稳定、可维护且符合生产环境规范。

一、前置准备与角色安装

首先确认系统已安装 Web 服务器（IIS） 及 FTP 服务器 角色。以管理员身份运行 PowerShell：

# 检查是否已安装 IIS 和 FTP 功能
Get-WindowsFeature Web-Server, Web-Ftp-Server | Select-Object Name, Installed

# 若未安装，执行以下命令（需重启生效）
Install-WindowsFeature Web-Server, Web-Ftp-Server -IncludeManagementTools

安装完成后，打开“Internet Information Services (IIS) 管理器”，展开左侧树形结构，在“网站”节点下右键 → “添加 FTP 站点”，按向导完成基础站点创建（如站点名称、物理路径、绑定信息等）。

二、配置被动模式端口范围

被动模式依赖服务器预设的一组连续端口供数据通道使用。为便于防火墙策略管理，建议固定端口范围（例如 50021–50030），共 10 个端口。

在 IIS 管理器中，选中目标 FTP 站点 → 右侧“操作”窗格点击“高级设置” → 找到 “数据通道端口范围” 项，输入：

50021-50030

该设置将强制 FTP 服务在 PASV 响应中返回此范围内可用端口，避免动态端口带来的策略不可控问题。

三、配置 FTP 防火墙入站规则

Windows 防火墙默认阻止所有非明确允许的入站连接。必须为被动端口范围及 FTP 控制端口（21）分别添加规则：

# 允许 FTP 控制端口（TCP 21）
New-NetFirewallRule -Name "FTP-Control" -DisplayName "FTP Control Port (21)" `
    -Direction Inbound -Protocol TCP -LocalPort 21 -Action Allow -Enabled True

# 允许被动数据端口范围（TCP 50021–50030）
New-NetFirewallRule -Name "FTP-Passive-Data" -DisplayName "FTP Passive Data Ports (50021-50030)" `
    -Direction Inbound -Protocol TCP -LocalPort 50021-50030 -Action Allow -Enabled True

⚠️ 注意：若服务器位于云平台（如 Azure/AWS）或物理防火墙后，还需在对应网络层同步放行上述端口。

四、设置外部 IP 地址（关键步骤）

当服务器处于 NAT 或公网 IP 映射环境下（如家庭宽带、云主机弹性 IP），FTP 服务默认返回内网地址（如 192.168.x.x），导致客户端无法连接数据端口。必须显式指定对外可见的公网 IP：

在 IIS 管理器中，进入“服务器节点”（非站点）→ 双击“FTP 防火墙支持” → 在“外部 IP 地址”栏填入服务器实际对外 IP（如 203.0.113.45）→ 点击“应用”。

该设置将使 PASV 响应中的 IP 地址字段（如 227 Entering Passive Mode (203,0,113,45,195,66)）准确指向客户端可路由的地址。

五、验证被动模式响应

配置完成后，使用命令行 FTP 客户端测试 PASV 行为：

ftp your-server-domain.com
# 登录后输入：
ftp> passive
ftp> ls

成功时，客户端日志应显示类似：

227 Entering Passive Mode (203,0,113,45,195,66)

其中 (203,0,113,45,195,66) 解析为 IP 203.0.113.45，端口 195*256+66 = 50034 —— 此端口应在前述 50021–50030 范围内。若端口号超出范围，说明“数据通道端口范围”未生效，需检查 IIS 高级设置并重启站点。

六、增强安全性建议

被动模式本身不加密，建议同步启用以下加固措施：

• 启用 FTPS（FTP over SSL）：在站点绑定中添加“FTP SSL 绑定”，并配置有效证书；
• 限制用户权限：通过 NTFS 权限与 FTP 用户隔离机制，禁止跨目录访问；
• 启用日志审计：在“FTP 日志”功能中启用 W3C 日志，记录用户、IP、命令、状态码等；
• 禁用匿名访问：除非必要，始终要求认证登录，避免未授权上传风险。

七、典型故障排查清单

结语

Windows Server 的 FTP 被动模式配置并非简单勾选选项，而是涉及端口规划、网络地址映射、防火墙协同与权限控制的系统性任务。本文所列步骤覆盖从角色安装到生产级调优的全流程，强调端口范围固化、外部 IP 显式声明、双层防火墙（系统+网络）同步放行等核心实践。遵循本指南，可显著降低部署失败率，提升文件服务稳定性与可管理性。对于新项目，建议优先评估 SFTP 或现代 API 文件传输方案；但对存量系统或特定合规场景，正确配置的 FTP 被动模式仍是可靠、轻量且广泛兼容的选择。