iis服务器ftp外网如何访问

IIS服务器搭好了FTP，服访问内网访问一切正常，器p外网何外网却死活连不上——这大概是服访问Windows管理员最常踩的坑之一。问题多半不在FTP本身，器p外网何而在三个环节：Windows防火墙、服访问IIS的器p外网何FTP被动模式设置、以及路由器或云安全组的服访问端口转发。逐个排查，器p外网何十分钟能搞定。服访问

先说防火墙。器p外网何Windows防火墙默认会拦截所有入站FTP流量，服访问哪怕你已经在IIS里勾选了“允许FTP服务”。器p外网何打开“高级安全Windows Defender防火墙”，服访问找到“入站规则”，器p外网何看看有没有一条“FTP Server (FTP Traffic-In)”且状态为“已启用”。服访问没有就新建规则，端口选TCP 21，然后放行。但注意——只放行21端口远远不够，FTP被动模式还会随机使用高位端口（通常是1024-65535），这些端口默认全被防火墙拦着。

被动模式是外网访问失败的头号元凶。IIS的FTP默认使用主动模式，但主动模式要求服务器主动连接客户端的随机端口，这在NAT环境下几乎必死。标准做法是在IIS的FTP站点“FTP防火墙支持”里，填写一个端口范围，比如50000-50100，然后在防火墙里放行这100个端口。同时，把“FTP防火墙支持”里的“外部IP地址”填成你服务器的公网IP，或者如果服务器在路由器后面，填路由器的公网IP。

端口转发这块，我见过太多人栽跟头。如果你用的是云服务器（阿里云、腾讯云这类），在云控制台的安全组里，必须放行TCP 21和50000-50100。如果服务器在公司或家里，登录路由器管理页，找到“端口转发”或“虚拟服务器”，把外网端口21映射到内网服务器的IP和21端口，同理转发50000-50100。这里有个细节：有些路由器不支持转发连续端口范围，得一条条加，麻烦但别偷懒。

还有个隐蔽问题——IIS的FTP用户隔离。如果你给用户配置了隔离目录，但用户主目录的NTFS权限没设好，外网用户登录后可能看到空目录或直接报错。检查一下FTP站点根目录和用户目录的权限，至少给“读取”权限，上传文件得给“写入”。我遇到过一例，权限全对，但用户目录在D盘，NTFS继承权限被改乱了，最后用“icacls”重置才解决。

最后说个实战案例。有个朋友用IIS做FTP，内网一切正常，外网用FileZilla连接时，总是卡在“正在解析主机名”然后超时。我远程一看，他路由器端口转发配了，防火墙也放行了，但IIS的FTP站点绑定的IP地址是内网IP，而“FTP防火墙支持”里的外部IP留空了。填上公网IP后，秒连。这问题不亲自动手，光看配置文档根本发现不了。

顺带提一句，如果外网访问还是失败，直接抓包看。用Wireshark监听服务器网卡，看客户端连接时发的FTP命令，如果看到“227 Entering Passive Mode”后面跟着的IP地址是内网地址，那就是外部IP没填对。这招比反复改配置高效得多。

别指望IIS的FTP能扛住大流量并发，它更适合小规模文件共享。如果公司外网访问量超过20人同时在线，建议换FileZilla Server或Serv-U。IIS的FTP服务在Windows Server 2012之后基本没更新过，性能和安全都跟不上时代了。但作为临时方案或轻量用途，按上面几步排查，外网访问基本能通。