Windows Server FTP 服务器搭建与权限分配完整教程

在企业内网文件共享、运维脚本上传、日志归集等场景中，FTP 服务因其协议简单、兼容性强、部署轻量，仍是 Windows Server 环境下常用的基础服务之一。本文将基于 Windows Server 2019/2022 系统，详细讲解如何通过 IIS 管理器启用并配置内置的 FTP 服务器，涵盖安装、站点创建、SSL 加密启用、用户隔离模式设置及细粒度 NTFS 权限分配等核心环节，确保服务安全、可控、可维护。

一、前提准备与角色安装

确保服务器已加入域或处于工作群组环境，且具备管理员权限。首先需安装“FTP 服务器”角色服务——该组件隶属于 IIS（Internet Information Services）功能套件。

打开“服务器管理器” → “添加角色和功能” → 在“功能”节点下展开“Web 服务器（IIS）” → 勾选“FTP 服务器”及其子项“FTP 扩展性”和“FTP 服务”。保持默认端口（21）及 IPv4 绑定设置，完成安装后重启 IIS 服务：

# 刷新 IIS 配置并验证 FTP 模块加载状态
iisreset /restart
Get-WebConfiguration -Filter "/system.applicationHost/sites/site[@name='FTP']/bindings/binding" | Select-Object -ExpandProperty bindingInformation

二、创建 FTP 站点与基础配置

进入“IIS 管理器”，右键“站点” → “添加 FTP 站点”。填写名称（如 Internal-FTP），指定物理路径（建议使用非系统盘独立目录，如 D:\FTPRoot）。绑定设置中，IP 地址选“全部未分配”，端口保持 21；SSL 选项暂选“不要求 SSL”（后续再启用）。

身份验证方式推荐组合使用：勾选“基本身份验证”（兼容性好）与“Windows 身份验证”（更安全）；授权规则设为“指定用户”并输入 IUSR（仅用于匿名访问，生产环境不建议启用），或留空以强制登录。

三、启用 FTP 用户隔离模式（推荐安全模式）

为防止用户越权访问他人目录，必须启用“用户隔离”模式。在站点根节点右键 → “FTP 用户隔离” → 选择“用户名物理目录（不隔离）”或更严格的“隔离用户”。后者要求每个用户对应 D:\FTPRoot\LocalUser\用户名 的专属路径结构。

创建示例用户 ftpuser01 并设置密码后，手动建立其目录：

mkdir D:\FTPRoot\LocalUser\ftpuser01
icacls D:\FTPRoot\LocalUser\ftpuser01 /inheritance:r
icacls D:\FTPRoot\LocalUser\ftpuser01 /grant "ftpuser01:(OI)(CI)F"

注：(OI) 表示对象继承，(CI) 表示容器继承，F 为完全控制权限；/inheritance:r 清除原有继承权限，保障最小权限原则。

四、配置 SSL 加密传输（增强安全性）

FTP 明文传输密码存在风险，务必启用 FTPS（FTP over SSL）。需先准备有效证书（可使用本地自签名证书测试）：

# 创建自签名证书（仅测试用，生产请使用可信 CA 签发）
$cert = New-SelfSignedCertificate -DnsName "ftp.internal.local" -CertStoreLocation "Cert:\LocalMachine\My"
# 将证书绑定至 FTP 站点
Set-WebConfigurationProperty -Filter "/system.ftpServer/security/ssl" -Name "controlChannelPolicy" -Value "SslRequire"
Set-WebConfigurationProperty -Filter "/system.ftpServer/security/ssl" -Name "dataChannelPolicy" -Value "SslRequire"
Set-WebConfigurationProperty -Filter "/system.ftpServer/security/ssl" -Name "serverCertHash" -Value $cert.Thumbprint

配置完成后，客户端需使用支持 FTPS 的工具（如 FileZilla），并选择“显式 FTP over TLS”。

五、NTFS 权限精细化分配

IIS 层面的授权仅控制登录与目录可见性，实际读写权限由底层 NTFS 决定。以 ftpuser01 为例，应严格限制其仅能访问自身目录：

# 移除继承权限，仅保留必要账户
icacls D:\FTPRoot\LocalUser\ftpuser01 /remove:g "BUILTIN\Users"
icacls D:\FTPRoot\LocalUser\ftpuser01 /remove:g "NT AUTHORITY\Authenticated Users"

# 授予用户完全控制（仅限该目录）
icacls D:\FTPRoot\LocalUser\ftpuser01 /grant "ftpuser01:(OI)(CI)(M,DC)"

# 禁止列出上级目录内容（关键防护）
icacls D:\FTPRoot\LocalUser /deny "ftpuser01:(OI)(CI)(RD,AD,WD,CD,SD,RC)"

(M,DC) 表示修改权 + 删除子容器权；(RD,AD,WD,CD,SD,RC) 组合表示拒绝读取目录、添加文件、写入文件、创建目录、删除子目录、读取属性、读取扩展属性——有效阻断横向遍历。

六、防火墙与网络策略适配

Windows 防火墙默认阻止 FTP 数据连接（尤其是 PASV 模式）。需开放端口范围并启用 FTP 应用层协议：

# 启用 FTP 高级防火墙规则
Enable-NetFirewallRule -DisplayGroup "FTP Server"
# 或手动开放被动模式端口段（如 50000–50100）
New-NetFirewallPortFilter -LocalPort 50000-50100 -Protocol TCP | New-NetFirewallRule -DisplayName "FTP Passive Mode Range" -Direction Inbound -Action Allow -Profile Domain,Private

最后，在 IIS 中编辑站点 → “FTP 被动模式设置”，指定相同端口范围，并勾选“使用 IPv4”。

结语

本文系统梳理了 Windows Server 下 FTP 服务从零部署到安全加固的全流程：涵盖角色安装、用户隔离架构设计、SSL 加密启用、NTFS 权限最小化配置及防火墙协同策略。需要强调的是，FTP 协议本身存在固有局限，若业务允许，建议逐步迁移至 SFTP（基于 SSH）或 WebDAV 等更现代协议。但对于存量系统或特定嵌入式设备对接场景，正确配置的 Windows FTP 服务仍可提供稳定、可控的文件交互能力。所有操作均应遵循“最小权限、纵深防御”原则，并定期审计用户列表与访问日志，切实保障企业数据资产安全。