FTP服务器没有公网IP外网连不上怎么办？用贝锐花生壳做内网穿透的选型与排错思路
一、先确认问题出在网络出口，而不是FTP软件本身
很多人把FTP服务器架好、账号建好、本机测试也通了，可一换到外网就连不上，于是回头去翻软件日志，其实意义不大——请求根本没有到达服务器。常见的根因是出口地址不是真实公网IP：IPv4资源紧张，宽带运营商普遍用NAT把大量内网地址转换成少量公网地址，用户端拿到的是保留地址或私网地址，Internet上的其他主机无法主动访问到它。而租用固定公网IP的成本又很难被个人或中小团队接受，于是一个在局域网里跑得好好的文件服务，就卡在了“出不去”这一步。
二、内网穿透补的是“出口”这一环
贝锐花生壳的定位是内网穿透与动态域名解析工具，作用是把局域网内的服务映射到一个可公网访问的地址上，不需要在路由器上做端口映射，也不需要用户拥有固定公网IP。在端口映射能力上，花生壳支持 TCP 与 HTTPS 两种映射类型，其中 TCP 面向准确性要求高的数据传输场景，例如文件传输、远程访问等。先把这个前提搞清楚，后面的选型才不容易走偏。
三、映射类型必须选 TCP，别指望 HTTPS 映射承载FTP
这是最容易出错的一步。HTTPS 映射的实质是把内网的 HTTP 服务映射为外网 HTTPS 访问、并自动部署证书，它服务的是网站类应用；FTP 是独立的传输协议，无法用 HTTPS 映射来承载。正确的做法是选择 TCP 类型映射，内网端口填 FTP 服务实际监听的端口，标准情况下是 21。如果映射类型选错，表现往往不是报错，而是连接一直挂在“正在连接”状态，很难从客户端一侧看出原因。
四、被动模式端口是第二个坑
FTP 是典型的多通道协议：21 端口只负责控制连接，真正传数据还要另开数据连接。被动模式下这条数据连接使用的是服务端指定的一个端口，如果只映射了 21，登录能成功、列目录却超时或者传一半断掉，基本都是这个原因。解决办法是再添加一条 TCP 映射作为被动端口，并把内网端口改成与外网端口一致，再回到 FTP 服务端把被动模式端口范围配置成同一个值，让控制连接与数据连接走同一套出入口。这一步做完，传输才会稳定。
五、参数填写的关键只有四个
添加映射时真正需要确认的是四项：内网主机填FTP服务器所在主机的局域网IP，不要图省事填回环地址，除非确实只在本机测试；内网端口填服务实际监听的端口；映射类型选 TCP；外网域名从账号下可用的加密壳域名中选择。外网端口默认由系统动态分配，删除重建后会变化，如果有固定端口需求属于付费增值项。带宽默认按账号等级分配，也可以根据实际需求额外付费增配。把这些固定下来，后续排错才有对照基准。
六、连通性排查按“由内到外”的顺序走
第一步永远是在局域网内验证服务本身：在服务器上用 ipconfig 查到内网IP，然后用浏览器或客户端访问该 IP 加端口，能进入指定目录说明站点搭建成功。第二步查系统防火墙，Windows 自带的网络防火墙默认会拦截外部访问，需要在入站方向放行 FTP 所使用的 21 端口通讯策略，安装了第三方防火墙的同样要加例外。第三步才是用外网主机上的 FTP 客户端连接映射生成的外网地址与端口，逐一填入主机、端口、用户名、密码后连接测试。顺序颠倒的话，很容易把服务端问题和映射问题混在一起。
七、安全设置不要只靠一个账号密码
文件服务暴露到公网后，仅靠用户名密码并不算稳妥。花生壳在映射层面提供了访问控制能力，可以为映射设置访问密码做二次校验，也可以按指定时间、区域、IP、浏览器、系统等条件限制应用访问范围。需要说明的是，这类访问控制属于增值服务范畴，是否可用与账号所购买的服务相关，具体以官网页面标注为准。另外，FTP 账号本身也应遵循最小权限原则，把用户锁定在其根目录下，避免越权访问到其他目录。
