IIS FTP 服務 PASV 被動模式埠範圍修改指南：使用 adsutil.vbs 精確控制埠數量提升安全性

問題背景

IIS 內建 FTP 服務 PASV (被動模式) 預設埠範圍 1024-65535 (超過 6 萬個埠)，防火牆難以精細管控，構成安全隱患。實際業務中，PASV 連線通常僅需 10-20 個埠 即可滿足併發需求。

修改方法：使用 adsutil.vbs 管理腳本

標準命令列操作

cd C:\Inetpub\AdminScripts
adsutil.vbs set /MSFTPSVC/PassivePortRange "10000-10009"

• 範例開放 10 個埠 (10000-10009)，可根據併發量調整 (建議 20-50 個)
• 執行成功會顯示：PassivePortRange : (STRING) "10000-10009"

權限不足時使用 cscript 提權執行

cd C:\Inetpub\AdminScripts
cscript adsutil.vbs set /MSFTPSVC/PassivePortRange "10000-10009"

• 需以 管理員身分執行命令提示字元
• 若報錯「存取被拒」，檢查是否為 Administrators 群組、UAC 是否攔截

修改後驗證與生效

1. 重新啟動 FTP 服務：
   net stop MSFTPSVC && net start MSFTPSVC
   或 IIS 管理員 → FTP 網站 → 停止/啟動
2. 防火牆新增入站規則：
   埠：10000-10009、協定：TCP、動作：允許、設定檔：域/專用/公用 (視環境)
3. 用戶端驗證：
   FileZilla/WinSCP → 連線模式選「被動」→ 連線成功且資料傳輸正常

原理說明

• /MSFTPSVC/PassivePortRange 為 IIS Metabase 中 FTP 服務的被動模式埠範圍屬性
• 格式為字串 "起始埠-結束埠"，含頭含尾
• 修改後 FTP 服務啟動時讀取此範圍分配 PASV 資料連線埠

進階安全建議

常見問題

最佳實踐：PASV 埠範圍設定為 20000-20049 (50 埠)，防火牆精確放行，啟用 FTPS、隔離用戶、強密碼、審計日誌，構建纵深 FTP 安全防線。定期掃描確認無非預期埠開放。

• 上一篇文章： 伺服器測試評測三大核心維度：性能基準、功能驗證與能效分析標準化流程
• 下一篇文章： Intel Matrix RAID 技術深度解析：兩顆硬碟同時實現 RAID 0 速度與 RAID 1 安全的家用級最佳方案

關於伺服器

LSI 8708E SAS RAID 卡 MSM 管理軟體刪除陣列操作圖解

Windows Server 2003 DHCP 伺服器資料庫遷移三步驟完整教學 (netsh 匯出/匯入)

IIS 7/7.5 配置 PHP FastCGI 環境完整圖文教程 (效能最佳、支援 PHP 5.3+)