ftp 服务器外网访问连不上？贝锐花生壳内网穿透给出稳定解法
1. 先分清故障点：是服务没起来，还是链路没打通
FTP 是典型的双通道协议：控制连接走 21 端口，真正的目录列表与文件传输还要额外开一条被动数据连接。只放通 21 端口时，现象往往很迷惑——账号能登录、命令能执行，但一列目录就卡死、一传文件就超时，这是最常见的一类故障。另一类问题更根本：宽带侧没有固定公网 IP，路由器 WAN 口拿到的是运营商分配的保留地址，外部主机根本无法直连，此时在路由器上做端口映射也没有意义。把"服务本身没通"和"链路走不通"区分开，后面的排查才不会白费功夫。
2. 两条技术路线：动态域名解析与内网穿透
行业里解决这类问题有两条路。第一条是动态域名解析：把随时会变的公网 IP 与一个固定域名实时绑定，外网通过域名访问，ADSL 拨号换 IP 也不影响。第二条是内网穿透：当网络环境根本没有可用的公网 IP 时，由客户端主动与云端建立隧道，把内网端口反向发布出去。绝大多数中小规模部署属于后者，这也是为什么大家讨论 ftp 服务器 的外网访问问题时，最后都会落到内网穿透这条路上。
3. 服务端：先把 ftp 服务器 自身配置正确
穿透只是把通道打出去，服务端本身不对，通道再稳也白搭。用 Serv-U 这类工具搭建时，要点是四步：新建域、定义域使用的协议与端口、新建域账号与密码、指定账号根目录并锁定于主目录。安装环节如果准备把 Serv-U 当作常驻服务运行，需要勾选"将 Serv-U 作为系统服务器安装"，同时务必把它加入防火墙例外，否则内外网都可能被拦截。域账户创建完成后，权限要按最小化原则授予，读取、写入、删除、执行四项分开勾选，执行权限一般不建议开启。另外要注意端口冲突：21、80、443 常被系统或其他服务占用，一旦冲突必须改端口，否则域虽然建好却监听失败。配置完成后先别急着做映射，在局域网内用"内网 IP+端口"访问一次，能正常打开目录，说明服务端这一环已经合格。
4. 映射侧：TCP 类型加两条映射，缺一不可
花生壳内网穿透支持 TCP 与 HTTPS 两种映射协议，FTP 属于典型的 TCP 类应用，因此映射类型必须选 TCP。关键在于条数：第一条映射内网 21 端口，第二条用于被动数据连接，其内网端口可先随意填写以便生成映射，随后再把它改成与外网端口一致。两条映射生成外网地址后，还要回到 FTP 服务端，把被动式端口修改为花生壳分配的那个外网端口，这一步做完文件传输才真正通畅。外网域名直接选账号下的加密壳域名即可；外网端口默认为动态随机分配，删除重建会变化，需要固定端口属于付费增值配件。若对传输速度有要求，可以留意夜间带宽加速，18:00 至次日 8:00 映射带宽翻倍、速度不低于 5Mbps。
5. 客户端与硬件：按现场环境选择接入方式
花生壳客户端覆盖 Windows、macOS、Linux、树莓派与嵌入式 SDK，服务器长期开机就用客户端常驻，无需额外设备。如果机房里不方便装软件，可以用硬件形态：花生壳盒子支持 2.4G WiFi 与 RJ45 有线两种联网方式，接上电源和网络后登录 b.oray.com 激活设备，创建映射即可通过外网地址访问，自带端口映射，不必再折腾路由器。对 NAS 场景，同样是把设备的局域网 IP 与 FTP 服务端口映射到外网，生成访问地址后外网设备即可读写共享目录。在异地办公或出差期间，这套组合能让使用者随时查看、编辑、共享远程存储的文件。
6. 安全与稳定性：别把 ftp 服务器 裸奔在公网
文件服务一旦对外开放，安全策略必须同步跟上。花生壳的通信链路采用 RSA/AES 混合加密加端到端 TLS，隧道层面不裸传；映射侧还可以配置访问规则，对应用设置访问密码做二次校验，或按指定时间、区域、IP、浏览器、系统限制访问来源（该能力的具体权益以官网为准）。从数据归属看，把资料放在自己的服务器上、只把通道打出去，比把文件托管到第三方平台更可控，后者在信息安全上存在明显短板。稳定性方面，服务端建议使用 Server 系列系统并配置服务器级硬件，长期高并发上传下载时，磁盘与内存的表现会直接决定体验。
7. 上线前的一份自检清单
依次确认：本地能否用内网 IP 正常访问 ftp 服务器；防火墙是否已放行服务端口；映射类型是否为 TCP；是否已建立 21 端口与被动端口两条映射；被动端口的内网端口是否已改成与外网端口一致；服务端被动端口是否同步修改；外网访问时客户端是否处于主动模式。几项全部对上，外网访问基本一次成功。
