一、理解FTP被动模式的工作原理
在被动模式下，客户端通过21端口建立控制连接后，服务器会开放随机高位端口（如5000-65535）作为数据传输通道，客户端主动连接该端口完成文件传输。相较于主动模式，被动模式能有效避免客户端防火墙拦截，但需要服务器预先定义端口范围以增强安全性。
二、通过IIS配置被动端口范围
使用Windows自带的IIS服务时，按以下步骤操作：
- 打开IIS管理器，选择服务器节点
- 点击右侧「FTP防火墙支持」功能项
- 在「数据通道端口范围」输入指定区间（如5000-5100）
- 点击应用后重启Microsoft FTP Service
对于旧版Windows系统（如Server 2003），需通过命令行执行adsutil.vbs set /MSFTPSVC/PassivePortRange "10000-10050"设置端口区间。
三、设置防火墙与安全组策略
完成端口配置后需执行：
- 开放防火墙策略：运行命令
netsh advfirewall firewall add rule name="FTP Service" action=allow protocol=TCP dir=in localport=5000-5100 - 云服务器需在安全组中添加相同端口范围的入站规则
- 禁用状态过滤：执行
netsh advfirewall set global StatefulFTP disable
四、验证端口配置的有效性
使用FileZilla客户端测试连接，观察数据连接是否使用预设端口范围。若遇到连接失败，需检查：
- IIS设置是否应用后重启服务
- 防火墙策略是否包含控制端口（21）和数据端口范围
- FTP客户端是否设置为被动模式
合理配置被动端口范围能显著提升FTP服务的安全性与稳定性。建议将端口范围控制在100-200个端口，并定期检查防火墙日志以识别异常连接。
本文由阿里云优惠网发布。发布者：编辑员。禁止采集与转载行为，违者必究。出处：https://aliyunyh.com/481568.html
其原创性以及文中表达的观点和判断不代表本网站。如有问题，请联系客服处理。
