服务器被动模式（PASV）的核心配置思路是：在服务端指定一个可控的端口范围用于数据传输，同时确保防火墙和云安全组放行该范围，大多数连接失败问题都出在端口未放行或客户端模式不匹配上。
FTP主动模式与被动模式的区别是什么
理解被动模式之前,有必要先厘清它与主动模式的差异，很多服务器端口开放了却连不上，根因就是两种模式的数据连接建立方向截然不同。
主动模式（PORT）下，客户端先连上服务器的21端口发送指令，服务器再用自己的20端口主动去连客户端的随机端口，问题在于，客户端常在NAT或防火墙后面，服务器主动连过去大概率被拦，于是就有了被动模式。
被动模式（PASV）把主动权交给了客户端，服务器在接到PASV指令后，开放一个随机的高端口（可配置为指定范围）并告知客户端，由客户端主动去连这个数据端口，这样，连接方向始终是客户端发起，绕开了客户端防火墙的拦截问题，成为目前绝大多数FTP场景下的首选模式。
服务器被动模式怎么配置：三大主流场景实操
不同服务端程序的配置方式有差异,这里分场景列出最常用的操作路径。
vsftpd被动模式配置步骤
vsftpd是Linux上使用最广的FTP服务端,修改/etc/vsftpd/vsftpd.conf，确认或添加以下关键项：
pasv_enable=YES，开启被动模式pasv_min_port=40000，设定被动模式端口范围下限pasv_max_port=40100，设定被动模式端口范围上限pasv_address=，如果服务器在NAT或云环境内网，此处填写公网IP地址，否则客户端拿到的数据连接IP是内网地址，无法直达pasv_addr_resolve=YES，当pasv_address填的是域名时启用解析
修改完成后执行systemctl restart vsftpd使配置生效，建议用semanage port -a -t ftp_port_t -p tcp 40000-40100检查SELinux策略，否则端口被SELinux拦截是常事。
云服务器安全组与防火墙放行配置
被动模式配置完成后,最容易忽略的就是安全组，在简米云、酷番云或华为云的控制台里，找到实例对应的安全组规则，需要放行两个部分：
- 21端口,用于控制连接
- 40000-40100端口段，用于数据连接
同时检查服务器本地防火墙,CentOS系统执行：
firewall-cmd --permanent --add-port=40000-40100/tcpfirewall-cmd --permanent --add-port=21/tcpfirewall-cmd --reload
Ubuntu系统则用ufw allow 40000:40100/tcp和ufw allow 21/tcp，这里有一个行业共识值得记住：端口范围放行不到位，被动模式即使配置正确也必然连接超时。
宝塔面板及主流面板的被动模式配置
国内常用的宝塔面板,在软件商店的FTP设置中直接填写被动端口范围即可，路径是：宝塔面板 → FTP → 设置 → 被动端口范围，填入类似40000-40100的值，面板会自动写入配置文件并重载服务，如果使用Pure-FTPd，还需确认ForcePassiveIP选项填入公网IP。
IIS FTP被动模式配置要点
Windows服务器的IIS FTP服务，被动模式配置在FTP防火墙支持功能里，操作路径：IIS管理器 → 选中站点 → FTP防火墙支持 → 设置数据通道端口范围，比如40000-40100，同时填入服务器的公网IP地址，外部防火墙同样需要放行对应端口段。
被动模式连接失败的常见问题排查与解决
即便配置步骤走完,仍会碰到各种连接异常，以下问题按出现频率排序，逐一说明诊断方法和修复方案。
FTP连不上，卡在读取目录列表阶段
这是被动模式最典型的问题,客户端已能通过21端口认证，但发送PASV命令后一直卡着不动，排查路径如下：
- 确认服务器上的
pasv_min_port和pasv_max_port设置是否有效，部分版本默认无此项时随机分配端口 - 用
netstat -tlnp | grep vsftpd查看实际监听的端口范围 - 登录云控制台检查安全组,重点看数据端口段是否放行
- 在客户端改用主动模式测试,如果主动模式正常，问题基本锁定在被动端口放行上
路由器端口映射场景下的PASV地址错误
家用服务器或公司内网服务器做端口映射时,客户端收到的PASV响应里包含的是内网IP地址，导致客户端试图连接一个不可达的地址，解决办法是显式指定pasv_address为公网IP或端口映射对应的域名，行业内的通用做法是在路由器上映射21端口及被动端口范围到内网服务器IP。
简米云/酷番云等国内服务商的特殊坑
国内主流云厂商安全组的默认策略是只放行常用端口,对高端口段默认全拒绝，配置完vsftpd后，需要在安全组手动添加一条规则：协议选TCP，端口范围填40000/40100，授权对象填0.0.0/0，这里还要提醒一点，个别云平台有"内网IP优先"选项，如果服务器实例有弹性公网IP，建议关闭该选项，否则PASV响应仍可能返回内网地址。
TLS/SSL加密下的被动模式异常
启用FTPS后,被动模式的数据连接也需要加密，vsftpd中需要确保require_ssl_reuse=NO或YES与客户端能力匹配，部分旧版FileZilla对SSL会话复用支持不完善会导致数据连接失败，建议将客户端升级到较新版本，让数据连接在TLS层正常协商。
FileZilla等客户端被动模式设置验证
客户端侧也需要正确配置,FileZilla的操作路径是：编辑 → 设置 → 连接 → FTP → 被动模式，选择"使用服务器的IP"或自定义的被动模式端口范围，部分网络环境下，客户端位于双层NAT后面，需要开启"使用FTP代理"或设置被动模式回退策略，这类网络环境较少见，但遇到连接超时值得检查。
服务端Socket连接数超限导致PASV响应缓慢
当服务器并发连接较多时,被动模式端口都被占用，新请求只能长时间等待，这种情况下核查pasv_min_port到pasv_max_port的端口总数，默认100个端口供100个并发连接使用，多数网站场景够用，但流量集中时确实会占满，业界做法是同步调大端口范围到300个左右，同时配合max_clients限制总连接数，避免个别异常连接长期占用端口池。
FTP传输大文件中途断开
大文件传输中途断开经常与数据连接的稳定性有关,需要确认两点：一是防火墙或安全组对连接会话是否存在空闲超时策略，部分企业级防火墙默认空闲超时过短，对长达数小时的大文件传输极为不利，二是本地网络运营商对长连接的限制，不少民用宽带的NAT会话表老化时间较短，遇到跨地域传输大文件时，可尝试在服务端设置pasv_promiscuous=YES允许非标准端口连接，或改用支持断点续传的客户端配合REOP命令。
被动模式安全加固建议
被动模式端口范围等于对外暴露了一段端口,必须做防护，以下几点是运维中反复验证过的：
- 端口范围不要设置过宽,够用即可。100个端口的范围能满足约100个并发数据连接，个人网站给20-50个端口足够
- 启用
iptables或firewalld对被动端口做来源IP白名单限制，只允许特定客户端IP段访问 - 开启vsftpd的连接速率限制：
local_max_rate=500000限制单用户下载速度 - 定期查看
/var/log/xferlog和/var/log/secure里的登录记录，异常时回溯数据端口范围对应的连接频次 - 条件允许时,按最小权限原则为FTP账号单独规划目录，避免使用管理员账户登录
主动模式与被动模式的选型建议
选哪种模式取决于你连接服务器的实际环境。一个实用的判断标准：如果你无法预测客户端的网络环境，优先考虑被动模式；如果客户端和服务端都处于内网且防火墙规则可控，主动模式的性能消耗更低。
- 主动模式适合内网直连、无NAT网关的场景，数据传输效率更高，但跨越公网时容易受运营商NAT限制
- 被动模式适合客户端位于复杂网络环境、需要跨地域传输文件的场景，兼容性更好，但要求服务端防火墙配合放行特定端口段
近年来国内云服务商的安全组体系对被动模式友好度提升明显,端口放行配置趋于简单化，使用被动模式已经成为多数站点的主流选择，特别是涉及图片资源上传下载的服务器业务，运维人员通常直接把被动模式作为默认行为处理。
关于被动模式与Web应用上传场景的联动优化
FTP被动模式的服务端配置本身只是基础,实际业务中经常要和Web应用的上传需求一起调整，比如Nginx做反向代理后，Node.js应用里通过multipart/form-data上传文件的大小限制和超时参数，和FTP被动模式无关，但业务方看到"上传失败"会习惯性先怀疑FTP配置，此时需要检查路径：应用代码中关于上传临时目录的写入权限，php.ini中upload_tmp_dir是否有写权限，以及服务器磁盘空间是否够用，一个不起眼的磁盘占用过高，会让FTP被动模式和Web上传同时表现出"连接失败"。
数据库服务器场景同理,MySQL服务的bind_address是否监听所有网卡，可能影响FTP备份脚本从远程写入数据的连通性，排查时建议依序验证：TCP连接层（telnet IP 21）、FTP认证层、被动端口数据层、最终磁盘IO层，逐层缩小问题范围。
Q&A：关于服务器被动模式的高频疑问
问：被动模式的端口范围开多少合适？
答： 根据实际并发连接数决定，个人FTP或小型站点开20-50个端口足够，中大型业务场景可以设置100-300个端口，端口范围越大，暴露面越大，不建议盲目开成10000个端口。
问：为什么我在华为云上配了vsftpd被动模式，局域网能连但公网连不上？
答： 多数情况下是安全组未放行数据端口，或pasv_address未设置为公网IP，华为云安全组需放行21端口和被动端口段，同时确认私网IP和公网IP的映射关系是否正确。
问：FileZilla连不上服务器被动模式，错误提示一直停留在"等待PASV响应"？
答： 先在FileZilla的"文件 → 站点管理器 → 传输设置"中确认被动模式已启用，再检查服务器的被动端口范围是否防火墙放行，服务端日志中如果看到PASV命令后无数据连接记录，基本可以确定是数据端口被拦截。