FTP局域网无法访问，究竟是防火墙、权限还是端口问题？

当您在局域网中尝试访问FTP服务器却屡屡碰壁时，这无疑会影响工作效率和数据传输的流畅性，FTP（文件传输协议）在局域网内是共享文件的高效方式，其无法访问的问题通常由多个环节的配置不当或故障引起，本文将提供一个系统化、分步骤的排查指南，帮助您定位并解决“FTP局域网无法访问”的难题。

基础网络连通性排查

在深入FTP服务本身之前，首要任务是确认客户端与FTP服务器之间是否存在基础的网络连接,这是所有上层服务能够通信的基石。

使用Ping命令测试：在客户端的命令提示符（CMD）或终端中，输入 ping [FTP服务器的IP地址]。ping 192.168.1.100。
- 成功：如果收到来自服务器的回复，说明两者之间的网络链路是通畅的,物理连接和IP配置基本无误。
- 失败：如果出现“请求超时”或“目标主机无法访问”，则问题可能出在网线、交换机、路由器，或者服务器的IP地址配置有误,此时应检查网络硬件和IP设置。
使用Tracert命令追踪路径：如果Ping通但连接依旧有问题，可以使用 tracert [FTP服务器的IP地址] 命令，该命令能显示数据包从客户端到服务器所经过的路由节点，有助于判断是否在中间某个网络设备（如路由器）上被拦截。

确认网络连通后,下一步是检查FTP服务器上的服务是否正在运行。

Windows服务器：
打开“服务”（可以在运行中输入 services.msc），找到名为“Microsoft FTP Service”或类似名称的服务（取决于您安装的FTP软件，如FileZilla Server会有自己的服务），检查其状态是否为“正在运行”，启动类型是否为“自动”，如果未运行,请手动启动它。
Linux服务器：
大多数Linux发行版使用vsftpd或proftpd，可以使用以下命令检查服务状态（以vsftpd为例）：
systemctl status vsftpd
如果服务未激活（inactive），使用 systemctl start vsftpd 启动，并用 systemctl enable vsftpd 设置开机自启。

防火墙是导致FTP服务无法访问的最常见原因，FTP协议较为特殊，它使用两个端口：一个用于命令（控制连接），一个用于数据传输,防火墙必须正确配置以允许这两个连接。

FTP有两种工作模式：主动模式（Active Mode）和被动模式（Passive Mode）,它们的防火墙配置要点截然不同。

模式	工作原理	防火墙配置要点
主动模式	客户端从一个随机端口N连接到服务器的21端口，服务器从其20端口主动连接回客户端的N+1端口来传输数据。	客户端防火墙需要允许来自服务器20端口的入站连接，在局域网中，由于客户端防火墙通常较为宽松，此模式有时可行，但若客户端位于NAT后，则会失败。
被动模式	客户端从一个随机端口N连接到服务器的21端口，然后客户端向服务器发送PASV命令，服务器开放一个随机的高端口P，并告知客户端，客户端再从其另一个随机端口连接到服务器的P端口进行数据传输。	服务器防火墙需要开放21端口以及一个指定范围的被动模式高端口（例如50000-51000），这是在局域网和互联网环境下更推荐、更可靠的模式。

配置建议：

首选被动模式：在FTP服务器软件中，启用被动模式，并指定一个端口范围，在vsftpd的配置文件vsftpd.conf中，添加：
```
pasv_enable=YES
pasv_min_port=50000
pasv_max_port=51000
```
开放服务器防火墙端口：
- Windows防火墙：在“高级安全Windows防火墙”中，分别创建入站规则，允许TCP协议的21端口和您指定的被动模式端口范围（如50000-51000）。
- Linux防火墙：使用firewall-cmd或iptables开放端口，使用firewall-cmd：
  firewall-cmd --permanent --add-port=21/tcp
  firewall-cmd --permanent --add-port=50000-51000/tcp
  firewall-cmd --reload

即使服务运行正常,配置错误也会导致访问失败。

用户权限：确认您使用的FTP账户存在、密码正确，并且拥有访问其主目录的权限，检查FTP服务器的用户配置，确保该用户未被禁用,且其根目录设置正确。
IP绑定：检查FTP服务器软件的配置，看它是否绑定到了特定的IP地址，如果绑定到了一个错误的IP（如127.0.0.1或外网IP），局域网内的其他机器自然无法访问，通常应设置为监听所有可用IP（0.0.0.0）。
SSL/TLS设置：如果您的FTP服务器强制使用加密连接（如FTPS），请确保客户端也配置了相应的加密选项（如“显式FTP over TLS”）,配置不匹配会导致连接握手失败。

有时问题也可能出在客户端。

客户端防火墙或杀毒软件：部分安全软件可能会阻止FTP客户端的某些网络活动,尝试临时禁用客户端的防火墙或杀毒软件进行测试。
FTP客户端软件：更换一款FTP客户端软件（如从Windows自带的资源管理器换成FileZilla Client）进行测试，以排除特定客户端软件的兼容性问题或配置错误，FileZilla Client提供了详细的连接日志,是诊断问题的强大工具。