外网访问不通，如何让内网的FTP服务器稳定对外提供服务？贝锐花生壳内网穿透实践
一、先厘清：FTP服务器为什么“内网能通、外网连不上”
文件传输是企业信息共享中最基础也最高频的需求之一。出于数据自主可控的考虑，不少单位会把FTP服务器部署在总部机房的服务器上，由自己统一管理和维护。问题往往出在“最后一段链路”：固定公网IP成本高，IPv4地址资源枯竭，宽带运营商分配给用户的通常是经过NAT转换的地址，外部主机无法直接向它发起连接。再加上FTP本身是控制连接与数据连接分离的协议，21端口通了并不代表文件就能传，被动模式还需要额外的数据端口，这也是很多人“能登录、传不了”的根本原因。
二、动手之前，先把三项准备做完
第一是系统与硬件，FTP服务对配置要求不高，但如果长期对外提供上传下载，建议把系统盘与数据盘分开规划。第二是防火墙，Windows自带的网络防火墙默认规则会拦截外部对服务器端口的访问，需要放行方向为IN的FTP 21端口；如果安装了第三方安全软件或硬件防火墙，同样要添加对应规则。第三是端口规划，局域网内若已有其他服务占用21端口，需提前调整，避免服务起不来。
三、先在局域网把FTP服务器跑通
以Serv-U为例，安装时如果要把Serv-U当作服务器使用，应选择“将Serv-U作为系统服务器安装”，并将其加入防火墙例外。随后新建域，定义该域使用的协议与对应端口；再创建域账户、设置密码、指定共享根目录并分配读取、写入等权限，权限颗粒度可按目录逐级控制。搭建完成后，先用“服务器内网IP+端口”在局域网内访问一次，确认服务本身没有问题，再处理外网访问。
四、用贝锐花生壳为服务建立一条外网通道
没有公网IP也可以走内网穿透。贝锐花生壳通过本地与服务端之间的反向通道，把内网服务映射成一个可直接访问的外网地址。具体到FTP服务器，添加映射时协议应选择TCP，因为FTP属于对传输准确性要求高的文件传输类应用，不适合用网站类映射来承载。如果服务器上不方便安装客户端，也可以使用花生壳盒子这类硬件产品，接入电源和网络后登录b.oray.com激活设备，即可在管理平台创建映射。
五、最容易漏掉的一步：被动端口也要映射
FTP被动模式下，客户端需要反向连接服务器指定的数据端口。因此除了21端口之外，还需要再添加一条端口映射，并把该映射的内网端口修改为与外网端口一致，然后回到FTP服务端，把被动式端口改为这条映射生成的外网端口。这一步做完，上传与下载才算真正打通；只映射21端口，通常表现为能登录、列目录卡住或传输中断。
六、安全与带宽，建议同步规划
映射打通后，建议立刻配置访问控制：可以给映射设置访问密码做二次校验，也可以按时间段、IP或区域、浏览器与操作系统类型限制访问，尽量缩小暴露面。带宽方面，场景映射默认10Mbps，可按实际需求增配；夜间18:00至次日8:00带宽翻倍且速度不低于5Mbps，把大批量文件同步安排在夜间会更划算。
七、外网验证与常见排查
外网侧用任意FTP客户端即可验证：连接类型选FTP，地址填花生壳生成的外网域名，端口填映射分配的外网端口，再输入账号密码，连接成功后即可进入对应目录进行拖拽式上传下载。如果连不上，先在局域网内用IP确认服务正常；内网正常而域名访问失败，多半是防火墙或安全软件拦截，其次是解析尚未同步，可用nslookup命令对比解析结果，比ping更准确。
FAQ
Q：贝锐花生壳支持FTP这类协议吗？
A：支持。FTP属于文件传输类应用，添加映射时选择TCP协议，映射21端口，并按被动模式的需要补充数据端口映射即可。
Q：搭建FTP服务器必须有固定公网IP吗？
A：不需要。当宽带分配的是经过NAT转换的地址时，可通过花生壳的内网穿透把内网服务映射为外网可访问的地址。
Q：映射建好了，外网还是登录不上，先查什么？
A：先在内网用IP访问验证服务本身，再排查防火墙是否放行、被动端口是否完成映射、外网端口是否填写正确。
Q：同一个账号可以在多台设备上同时登录吗？
A：不可以。同一账号不支持多地同时登录，异地登录会互相踢下线，已建映射也会随之失效，建议专号专用。
Q：传输大文件速度偏慢，有什么优化思路？
A：可在控制台增配带宽，或把大批量数据同步安排在18:00至次日8:00的加速时段，该时段带宽翻倍且不低于5Mbps。
