当前位置：首页 > 文章列表 > 文章 > php教程 > 宝塔FTP连接失败？被动模式端口与防火墙检查

宝塔FTP连接失败？被动模式端口与防火墙检查

2026-04-05 11:00:34 0浏览收藏

宝塔FTP连接失败常被误认为账号或服务问题，实则多因被动模式（PASV）配置不完整所致：系统防火墙与云服务器安全组未开放指定端口范围、vsftpd中pasv_address错误填写为内网IP或留空、宝塔升级后配置被重置，均会导致登录成功但LIST/RETR等操作超时或报错425；只需统一固定端口范围（如50021-50025）、在各层防火墙精准放行、确保pasv_address严格设为公网IP，并通过命令行验证227响应中的地址与端口是否匹配，即可快速定位并根治这一高频顽疾。

宝塔FTP无法连接_检查被动模式端口与防火墙放行

FTP被动模式端口没开，连接卡在 LIST 或 227 响应

宝塔面板默认开启被动模式（PASV），但只随机分配端口范围（如 10000-10100），而系统防火墙或云服务器安全组通常没放行这一整段——导致客户端能登录（USER/PASS 成功），但一执行 LIST、RETR 就超时或报错 425 Failed to establish connection。

实操建议：

进宝塔 → 网站 → FTP → 编辑对应账号 → 找到「被动模式端口范围」，改成固定小范围，比如 50021-50025（避开常用端口，也方便防火墙配置）
Linux 系统防火墙必须放行该范围：firewall-cmd --permanent --add-port=50021-50025/tcp，然后 firewall-cmd --reload
阿里云/腾讯云等平台，还需在「安全组规则」里手动添加入方向 TCP 规则，端口填 50021/50025（注意是“/”不是“-”，部分控制台不认连字符）
改完重启 FTP 服务：bt restart 14（14 是宝塔中 FTP 服务编号）

vsftpd 配置里 pasv_address 写错内网 IP 或留空

当服务器有公网 IP 和内网 IP（比如阿里云 ECS 的私有地址），pasv_address 必须设为服务器的**实际公网 IP**。设成 127.0.0.1 或内网地址（如 172.18.x.x），客户端拿到这个地址后根本连不上，典型表现是 FileZilla 报错 Connection timed out after 20 seconds of inactivity。

实操建议：

编辑 vsftpd 配置：/www/server/vsftpd/vsftpd.conf
确认以下三项存在且正确：
pasv_enable=YES
pasv_min_port=50021
pasv_max_port=50025
pasv_address=你的公网IP（不是内网 IP，也不是域名）
改完别忘 systemctl restart vsftpd（宝塔有时不完全接管 vsftpd 生命周期）

客户端用主动模式（PORT）反而连得上？说明被动模式彻底失效

FileZilla 或 WinSCP 默认走 PASV，但如果手动切换成主动模式（PORT）能列目录、传文件，基本坐实是被动模式路径断了——不是账号密码错，也不是 FTP 服务没启，而是 PASV 的数据通道压根建不起来。

实操建议：

先别急着换主动模式，它在多数 NAT 环境下根本不可用（尤其用户端是路由器拨号），只是临时验证手段
检查客户端是否被代理或全局翻墙软件劫持：关掉 Clash、Surge 等工具再试，有些会强制改 FTP 控制连接的 Host 头
用命令行验证被动响应是否正常：ftp -v 你的IP → 登录后输入 quote pasv，看返回的 227 Entering Passive Mode (...) 里 IP 和端口是否匹配你配的 pasv_address 和端口范围