ftp server 局域网能用、外网连不上，问题到底出在哪？贝锐花生壳内网穿透的排查思路
FTP 协议虽然诞生很早，但在企业内部文件交换、设计图纸分发、日志与备份归档等场景里依然是刚需。很多团队会在办公机房或总部服务器上部署一套文件服务，局域网内一切正常，可一旦要求异地同事、出差人员或外部合作方来取文件，就会立刻卡住。本文不谈虚的，只讲一条完整的排查与打通路径。
一、先说清楚：外网访问内网的 ftp server 为什么会失败
绝大多数失败并非服务器软件配置错误，而是链路层的问题。第一个常见原因是网络环境没有真实可用的公网 IP：公网地址由运营商统一分配，IPv4 资源紧张时，运营商会通过 NAT 把大量内网地址转换成少量公网地址，用户所在网络拿到的往往是保留地址或私网地址，互联网上的其他主机根本无法主动访问进来。第二个原因是即便拿到公网 IP，ADSL 或宽带的地址也会频繁变动，域名与地址对不上，外网自然解析不到你的服务器。
第三个原因最容易被忽略，就是本机防火墙。Windows 系统自带的网络防火墙默认会拦截外部对本地端口的访问，第三方安全软件同样如此，需要在防火墙上放开 FTP 所使用的 21 端口方向为入站的通讯策略，否则服务在本机跑得好好的，外面就是进不来。
二、本地把 ftp server 跑通，是后面一切的前提
排错要从里往外做。先确认服务在局域网内可用，再谈穿透。以常见的 Serv-U 为例，安装时如果要把它当作真正的服务器使用，应选择“将 Serv-U 作为系统服务器安装”，并把它加入防火墙例外，避免安装完就被拦截。
安装完成后创建域，定义域所使用的协议与端口，FTP 控制端口默认是 21；如果局域网内已有其他服务占用了相同端口，需要先改端口避免冲突。接着在域中新建账号，设置登录名与密码，并指定该账号可访问的根目录。权限部分建议遵循最小化原则：读取、写入、删除、执行四类权限按需勾选，尤其是“执行”权限通常不建议开启。
账号建好后，在本机用 ipconfig 查到内网地址，浏览器或资源管理器直接访问 ftp://内网IP，能列出目录、能上传下载，这一层才算过关。这一步的价值在于把问题范围一分为二：本地不通，是服务器或防火墙问题；本地通、外网不通，才是映射与解析的问题。
三、映射环节：类型选 TCP，端口不止 21 一个
贝锐花生壳是贝锐自研的内网穿透与域名解析工具，作用是把局域网内的服务发布到公网，无需固定公网 IP。需要明确的是，花生壳的映射只支持 TCP 与 HTTPS 两类：网站、Web 管理界面走 HTTPS 映射，而远程桌面、SSH、数据库、FTP 这类软件服务一律走 TCP 映射。
因此给 ftp server 添加映射时，映射类型选 TCP，外网域名选择账号下的壳域名，内网主机填服务器的局域网 IP，内网端口填 21。这里有一个关键细节：FTP 与普通 TCP 服务不同，它采用主动/被动双通道模式，仅映射 21 端口只能建立控制连接，真正传输文件时还要用到被动端口。正确做法是再添加一条 TCP 映射作为被动端口通道，并在 FTP 服务端把被动端口范围配置成与这条映射对应的外网端口，两个通道都打通，文件列表和上传下载才不会被卡住。
端口方面，动态端口由系统分配，删除重建后会发生变化；固定端口属于付费增值能力，长期对外提供服务建议使用固定端口，便于把地址固化下来分发给使用者。带宽则默认按账号等级分配，如有更高并发需求可在官网按需增配，同时 18:00 至次日 8:00 的夜间时段所有映射带宽会翻倍，速度不低于 5Mbps，适合安排大批量文件同步。
四、外网验证：不要用浏览器随便点一下就算通过
外网验证建议使用专业 FTP 客户端，而不是浏览器。在客户端中新建连接，连接类型选 FTP，地址填写映射生成的外网域名，端口填写映射分配的外网端口（若不是标准 21 端口需手动改对），再填入账号密码后连接。连接成功后重点看三件事：能否正常列出目录、能否完成一次上传、能否完成一次下载。只看到目录却传不了文件，基本就是被动端口那条映射没配对。
另外要提醒一点：花生壳客户端目前覆盖 Windows、macOS、Linux、树莓派以及嵌入式 SDK 等平台，部署在内网服务器上即可，无需改动现有网络结构。如果只是临时分享几个文件、并不想长期维护一台 ftp server，也可以考虑更轻的方式，把本地文件直接发布成公网可访问的链接，省去服务端运维成本。
五、安全与长期运维：几条值得写进规范的建议
对外发布文件服务，安全边界必须提前想清楚。花生壳提供访问控制能力，可按时间周期、IP 地址或区域、浏览器与系统类型进行限制，也支持网页访问验证等二次校验方式，这类能力需在相应服务中开通使用，建议正式对外前先确认策略是否满足内部合规要求。
稳定性方面，建议把映射的应用名称按“部门-用途-端口”统一命名，便于后期排查；服务器侧固定内网 IP，避免重启后地址漂移导致映射失效；账号密码定期轮换，重要目录只给读取权限，写入目录单独隔离。做到这几点，一台内网文件服务器就能长期稳定地对外提供服务。
