FTP 主動/被動模式深度解析：NAT 穿透、防火牆策略與 Serv-U 實戰配置

兩種模式本質差異

實驗驗證流程 (Serv-U + 埠映射)

1. 僅映射 21：PORT/PASV 均能連線、列目錄失敗 (資料通道不通)。
2. 再映射 20：PORT 完美 (列目錄/下載)；PASV 仍失敗 (伺服器隨機埠未映射)。
3. 關 20、映射 10001-10004 並設定 Serv-U PASV 埠範圍：PASV 成功；PORT 失敗 (無 20 埠)。

結論：模式由客戶端決定；伺服器需配合開放對應埠。控制通道 (21) 全程保持，資料通道臨時建立。

PASV 模式 NAT 穿透關鍵：伺服器回報公網 IP

預設 Serv-U 回報內網 IP (如 192.168.x.x)，客戶端無法連線。解決：

1. Serv-U 域屬性 → 勾選「Enable dynamic DNS」→ 取得動態域名 (如 tz0.com) 並填入 Key。
2. 伺服器設定 → Advanced → 勾選「Allow passive mode data transfer」→ IP 位址欄留白 (撥號動態 IP) 或填固定公網 IP。
3. 效果：Serv-U 接受 PASV 請求時，先查詢動態 DNS 取得公網 IP，再回報給客戶端。

防火牆策略建議

常見問題速查

• 能登入、無法列目錄/傳檔 → 資料通道不通，檢查模式與埠映射/防火牆。
• PASV 埠設 >5000 失效 → 部分 FTP 客戶端/防火牆限制被動埠上限，建議 1024-5000 區間。
• 多用戶並發 PASV 埠不足 → 擴大埠範圍、縮短閒置逾時、考慮啟用 PORT 模式分流。
• IE 預設主動模式 → 需手動改為被動 (見上表)，或改用 FileZilla/WinSCP 等專用客戶端。

總結

FTP 雙通道特性使 NAT/防火牆穿透成為核心難點。被動模式 + 伺服器固定被動埠範圍 + 公網 IP 回報 + 邊界防火牆開放對應埠 是最通用、相容性最佳的部署方案。Serv-U 內建動態 DNS 支援極大簡化動態 IP 環境下的配置。