一台刚装好的 Windows Server 摆在机房里业务同事下午就要往里传报表你打开浏览器输ftp://一看——提示无法访问此文件夹。十有八九不是网络不通而是 IIS 里那个 FTP 角色压根没装、站点没建、被动端口没放行这三件事随便缺一件客户端就卡在正在连接或者读取目录列表上不动。这篇就把 Windows 上用 IIS 搭建并配置 FTP 的完整链路拆开讲从角色安装、站点创建、认证与权限、被动模式端口、防火墙规则一直讲到连上之后的乱码和 501、550 报错排查。不管你是第一次配 FTP 的新手还是配过几次但总在权限和防火墙上翻车的老手都能从这里抄到能直接落地的配置步骤也能搞清楚每一步背后的道理。1. 为什么在 Windows 上先考虑 IIS 自带 FTP而不是随手装第三方服务端1.1 IIS FTP 与 FileZilla Server、3CDaemon 之间的取舍逻辑Windows 生态里搭 FTP 有三条主流路线IIS 自带的 FTP 服务、FileZilla Server 这类独立服务端、以及 3CDaemon 这种轻量小工具。很多教程一上来就让你装第三方理由是IIS 配置麻烦。但真实场景里如果你这台机器本身就跑着 IIS、站点、或者以后要跟 Windows 账户体系打通那 IIS FTP 反而是省事的那条路。原因很直接IIS FTP 直接复用 Windows 的账户和 NTFS 权限。你不需要在 FTP 服务端里再维护一套独立的用户名密码表也不用担心服务端账户和系统账户对不上。给某个域账户开个读写权限FTP 里授权一下就能用人员离职时在系统里禁用账户FTP 访问同步就断了。这是第三方服务端做不到的天然优势。反过来说什么时候该选 FileZilla Server当你需要细粒度的传输限速、单 IP 并发控制、或者跨平台统一管理时独立服务端的界面确实更顺手。3CDaemon 这类工具则适合临时用一下、传完就关的场景它轻到几十 KB但功能也单薄没有用户隔离和成熟的日志体系不适合长期跑业务。方案账户体系权限控制适用场景主要短板IIS 自带 FTP复用 Windows 账户NTFS FTP 授权双层长期运行、与系统集成被动模式端口要手动配FileZilla Server独立账户表服务端内配置独立文件交换、限速需求账户与系统脱节3CDaemon简单账户基础读写临时传文件无隔离、日志弱我的建议很明确只要机器是 Windows Server且要长期用优先 IIS。它是系统组件跟着系统更新走没有额外进程要守出问题也好排查。1.2 装之前必须确认的三件事系统版本、角色服务、端口占用动手之前先做三个检查能帮你省掉后面一堆莫名其妙的报错。第一确认系统版本。Windows 10/11 专业版、企业版以及 Windows Server 各版本都支持 IIS FTP但家庭版不带 IIS别在这上面浪费时间。Server 版本还要注意FTP 服务是作为Web 服务器 IIS角色下的一个子功能安装的不是独立角色。第二确认 21 端口没被占用。FTP 控制通道默认走 21用下面这条命令看一眼netstat -ano | findstr :21如果有输出说明 21 已经被别的程序占了要么改 FTP 端口要么把占用程序停掉。常见占用者是一些下载工具、迅雷类软件、或者之前装过的 FTP 服务端残留。第三想清楚数据通道端口范围。这是新手最容易忽略的一步。FTP 分控制通道和数据通道控制通道走 21数据通道在被动模式下会随机开一个高位端口。如果你不把这段端口范围固定下来、防火墙不放行客户端能连上但列不出目录——也就是那个经典的读取目录列表失败。提示先把端口规划写下来比如控制端口 21被动端口范围 50000-50100后面所有配置都围绕这两个数字来别中途改。2. 从零把 IIS 的 FTP 角色装上组件勾选与站点创建2.1 通过服务器管理器添加角色的完整勾选路径Windows Server 走服务器管理器 → 添加角色和功能一路下一步到服务器角色页勾选Web 服务器(IIS)。注意勾了 IIS 之后别急着下一步展开它下面的FTP 服务器你会看到两个子项FTP 服务这是核心不勾就白搭。FTP 扩展性允许用自定义的 FTP 身份验证和日志提供程序一般用不上但勾上不吃亏。Windows 10/11 则是走控制面板 → 程序 → 启用或关闭 Windows 功能展开Internet Information Services → FTP 服务器勾选FTP 服务和FTP 扩展性同时确保IIS 管理控制台也勾上不然你没有图形界面可操作。装完之后按Win R输入inetmgr回车能打开 IIS 管理器就说明组件到位了。这一步的坑在于很多人只勾了 IIS 主项忘了展开勾 FTP 子项结果打开 IIS 管理器发现根本没有FTP 站点这一栏然后又去重装一遍。装之前把树展开看清楚就行。2.2 新建 FTP 站点时那几个字段到底怎么填在 IIS 管理器里右键网站选添加 FTP 站点会弹出一个向导。四个字段逐个说清楚FTP 站点名称随便起但建议带用途和端口比如ReportFTP-21以后站点多了好区分。物理路径这是 FTP 根目录指向的磁盘文件夹。建议专门建一个比如D:\FTPRoot别直接用系统盘的某个已有目录。原因后面讲权限时会说——这个文件夹的 NTFS 权限要单独设计混在系统目录里容易误伤。绑定和 SSLIP 地址选全部未分配或指定本机 IP端口默认 21。SSL 那一栏如果只是内网临时用可以选无但只要涉及跨网络传输建议选允许 SSL甚至需要 SSL后面配好证书再用。身份验证和授权信息这一步先勾基本授权选指定用户或所有用户权限按需求勾读取写入。这里可以先粗配真正精细的授权规则我们放到第 3 节展开。向导走完站点就建好了。此时在本机浏览器里输ftp://127.0.0.1应该能看到目录前提是认证配对了但外网机器多半还连不上因为防火墙还没放行。2.3 用一段 PowerShell 一次性建站省去点点点如果你要给多台机器配同样的 FTP或者单纯嫌图形界面慢PowerShell 一条命令能搞定。以管理员身份打开 PowerShell先导入 IIS 管理模块Import-Module WebAdministration然后创建站点需要已装好 FTP 角色New-WebFtpSite -Name ReportFTP -Port 21 -PhysicalPath D:\FTPRoot建完之后再补认证和授权Set-ItemProperty IIS:\Sites\ReportFTP -Name ftpServer.security.authentication.basicAuthentication.enabled -Value $true Add-WebConfiguration -Filter /system.ftpServer/security/authorization -Value {accessTypeAllow; roles; usersftpuser; permissionsRead,Write} -PSPath IIS:\New-WebFtpSite这个 cmdlet 在老版本 IIS 上可能需要额外的管理模块支持如果报无法识别命令改用服务器管理器手动建站或者用appcmd命令行工具%windir%\system32\inetsrv\appcmd add site /name:ReportFTP /physicalPath:D:\FTPRoot /bindings:ftp://*:21用脚本建站的好处是可复现、可版本化。把这几条命令存成一个.ps1文件新机器上跑一遍就配好了比对着教程一步步点鼠标靠谱得多。3. 用户隔离与权限设计匿名、基本、Windows 账户三种认证怎么配3.1 匿名认证的适用边界与开关位置匿名认证意味着任何人输个ftp://你的IP就能直接进来不需要用户名密码。它只适合一种场景对公网开放只读的公共文件下载。除此之外一律关掉。开关位置在 IIS 管理器里选中 FTP 站点双击FTP 身份验证能看到匿名身份验证基本身份验证Windows 身份验证三个图标。右键匿名禁用即可。默认情况下匿名是开的很多人配完发现怎么谁都能进就是忘了关这个。匿名认证还有个细节它背后映射的是一个叫IUSR的内置账户。也就是说匿名用户实际是以IUSR的身份去访问物理路径的所以物理路径的 NTFS 权限里必须给IUSR相应的读权限否则匿名能连上但读不了文件。这一点在权限排查时经常被忽略。3.2 基本认证配合授权规则的正确打开方式基本认证是让客户端提交用户名密码密码在网络上是明文或 Base64 传输的所以跨公网必须配 SSL否则等于裸奔。启用基本身份验证后默认域那栏留空即可客户端登录时输入的就是这台机器上的本地账户或域账户。启用认证只是第一步真正决定谁能访问哪些目录的是FTP 授权规则。在 FTP 站点里双击FTP 授权规则添加规则时三个维度要填允许还是拒绝拒绝优先于允许规则越具体的优先。指定用户/组可以填具体用户名也可以填角色或组比如只允许ftpgroup组访问。权限读取、写入、或者两者都勾。举个例子给ftpuser这个账户在根目录下读写权限但只想让它能看不能改某个子目录那就先全局给读再针对该目录加一条拒绝写入的规则。这种先放后收的叠加方式比一个个目录去配要清晰。注意授权规则和 NTFS 权限是与的关系两边都通过才能访问。授权规则里给了写权限但 NTFS 里没给照样写不进去。3.3 物理路径划分与 NTFS 权限必须对齐的原因这是 FTP 配置里最核心、也最容易出错的一环。IIS FTP 有一项重要能力叫用户隔离在 FTP 站点的高级设置或站点属性的FTP 用户隔离里配置有三种模式无隔离所有用户都落到同一个根目录互相能看见对方的文件。最简单也最不安全只适合完全信任的内部环境。隔离用户每个用户只能看到以自己用户名命名的子文件夹。配置方式是物理根目录比如D:\FTPRoot下面为每个用户建一个同名文件夹比如D:\FTPRoot\ftpuser。用户ftpuser登录后直接被关进自己的文件夹看不到别人。隔离用户Active Directory用 AD 里的用户主目录属性来定位适合域环境。我强烈建议用隔离用户模式。步骤是站点根目录设为D:\FTPRoot然后在下面建ftpuser、sales、report等子文件夹最后去磁盘上给这些文件夹逐个设置 NTFS 权限——只给对应的账户读写其他账户一律不给。FTP 端的隔离只是看不见NTFS 权限才是进不去的硬约束两者必须一起配缺一个都形同虚设。我见过太多案例隔离模式配了但 NTFS 上 Everyone 还留着完全控制的权限结果用户通过一些路径技巧照样能摸到别的目录。所以配完隔离后务必右键文件夹 → 属性 → 安全 → 高级把继承关掉只保留需要的账户。4. 被动模式端口与防火墙客户端连不上八成卡在这里4.1 主动模式为什么在现代网络里基本不可用FTP 有两种工作模式主动PORT和被动PASV。区别在于谁主动发起数据连接。主动模式下客户端连上服务器的 21 端口后告诉服务器我在某个高位端口等你你来连我。问题来了现在几乎所有客户端都在路由器、防火墙后面服务器主动去连客户端的高位端口十有八九被防火墙拦掉。所以主动模式在公网环境基本没法用。被动模式反过来了客户端连上 21 后服务器说你去连我的某个高位端口由客户端发起数据连接。这样客户端的防火墙不会拦但服务器这边必须把这批高位端口开放出来。结论FTP 要能用就必须配被动模式端口范围并放行防火墙。这是本文最重要的一节。4.2 数据通道端口范围该怎么算、怎么填在 IIS 管理器里选中 FTP 站点打开FTP 防火墙支持有的版本叫FTP 防火墙支持功能项里面有两个关键字段数据通道端口范围填一个区间比如50000-50100。这个区间大小怎么定端口数量要大于等于你的最大并发数据连接数。一个客户端上传或下载一个文件会占用一个数据端口如果 100 个人同时传文件你就需要至少 100 个端口。50000-50100是 101 个端口够用了。范围别开太大几千个端口全放行反而增加被扫描的风险。外部 IP 地址如果服务器在 NAT 后面比如云主机、或者内网机器通过网关映射出去要把公网映射的那个 IP 填这里。否则服务器返回给客户端的是内网 IP客户端根本连不上。这个字段是云主机和内网映射场景的必填项很多人卡在这里半天找不到原因。填完在 IIS 里点应用配置才算生效。改完最好重启一下 FTP 服务net stop ftpsvc net start ftpsvc4.3 防火墙入站规则与云主机安全组的双重放行端口范围定好了接下来是放行。Windows 防火墙这一层用两条命令搞定netsh advfirewall firewall add rule nameFTP Control 21 dirin actionallow protocolTCP localport21 netsh advfirewall firewall add rule nameFTP Passive dirin actionallow protocolTCP localport50000-50100第一条放行控制通道第二条放行被动数据通道。执行完用netsh advfirewall firewall show rule nameall | findstr FTP检查一下规则是否生效。如果机器是云主机光配 Windows 防火墙还不够云平台的安全组有的叫防火墙策略是独立的一层。你得登录云控制台在安全组入站规则里同样放行 21 和 50000-50100。这两层防火墙是与关系任何一层没放行连接都会失败。我踩过的最典型的一个坑就是本机ftp://127.0.0.1一切正常同事从外网死活连不上排查半天才发现安全组里只放了 22 和 3389FTP 端口一个都没开。配置层需要放行的端口配置位置常见遗漏Windows 防火墙21、50000-50100高级安全防火墙只放了 21忘了被动端口云安全组21、50000-50100云控制台完全没动默认全关IIS FTP 防火墙支持50000-50100IIS 管理器范围没填或外部 IP 没填提示配完这三层用一台不在本机、不在同一内网的机器去测才算真正验证通过。本机 localhost 测试连 NAT 和防火墙都不经过测不出问题。5. 连上之后才开始的坑乱码、501、550 与目录列表异常5.1 FileZilla 下载文件名乱码的字符集处理服务器配好了客户端连上了结果下载下来的中文文件名全是乱码——这个问题在 FileZilla 上尤其常见。根因是客户端和服务器对文件名的字符编码理解不一致。IIS FTP 默认用的是系统本地代码页中文 Windows 下就是 GBK。而 FileZilla 默认倾向于用 UTF-8 去解析。两边对不上中文名就花了。解决办法有两条路。一是在服务器端开启 UTF-8 支持IIS 管理器选中 FTP 站点打开FTP 目录浏览或站点的高级设置把字符集相关选项设为 UTF-8不同版本位置略有差异有的在FTP 目录浏览里勾选允许 UTF8。二是在 FileZilla 客户端里强制指定字符集站点管理器 → 字符集 → 选择使用自定义字符集填GBK或者在字符集下拉里选强制 UTF-8再试。我的经验是服务器端开 UTF-8 是正解客户端改字符集只是适配。服务器统一用 UTF-8 之后各种客户端都不会乱长期看更稳。如果服务器上有历史文件是 GBK 名那可能需要手动重命名这个没法自动解决。5.2 FTP 响应 501 的几种典型触发条件501 在 FTP 里的含义是参数或语法错误服务器收到了它看不懂或没法执行的东西。常见的触发场景一是客户端发送了服务器不支持的扩展命令。比如某些客户端用MLSD列目录而老版本 IIS FTP 或者配置不对时支持不好就会返回 501。解决办法是升级服务器端或者在客户端里关掉使用 MLSD选项改用传统的LIST。二是命令参数格式不对。比如PORT命令后面跟的地址参数格式错了或者SITE类命令参数不合规。这种情况通常出现在用脚本调用 FTP、参数拼错的时候。三是被动模式端口范围配置异常时服务器在协商数据连接时参数无效也可能报 501。排查 501 的通用思路是打开 FTP 日志看客户端到底发了什么命令。IIS FTP 日志默认在%SystemDrive%\inetpub\logs\LogFiles下记下那条返回 501 的前后命令就能定位是哪个命令的参数出问题。很多时候不是服务器坏了是客户端发了服务器不认的东西。5.3 550 权限拒绝与物理路径映射错位排查550 表示请求的操作未被允许通常跟权限和路径有关。我把它拆成两类来排。第一类是权限问题。用户能登录、能看到目录但一进某个子目录或者一写文件就 550。这时候按顺序查三层FTP 授权规则里这个用户有没有对应权限NTFS 权限里这个用户对目标文件夹有没有权限如果用了用户隔离物理路径下有没有建对应用户名的文件夹。这三层任意一层缺失都会报 550而且报错信息往往一样只能逐个确认。第二类是路径映射问题。物理路径写错了、或者路径里有中文和空格导致映射异常也会 550。排查时直接在 IIS 里看站点绑定的物理路径是否存在、权限是否对然后手动在资源管理器里用同一账户去访问该路径试试能排除很大一部分问题。还有一个隐蔽的坑用户隔离用的虚拟目录或物理目录Windows 会区分大小写吗通常不区分但如果配置里混用了不同大小写的用户名有时候会匹配不上建议统一用小写。6. 把 FTP 用稳的加固与运维习惯6.1 关掉匿名、限速、限连接数的配置位置站点跑通只是开始长期运行要加保险。第一件事就是确认匿名认证是关的前面提过这里再强调一次因为它是被扫描利用的重灾区。限速在 IIS 管理器的 FTP 站点里打开FTP 站点限制或站点属性的限制可以设最大连接数防止单台机器被大量连接拖垮比如设 100。最大带宽按 KB/s 设一个单连接的传输上限避免某个人占满出口带宽。内网文件交换场景设个 10240 KB/s 通常够用。这两个值没有标准答案看你的带宽和并发需求。我的经验是先设一个保守值跑一周看日志里的连接峰值再调整别一上来设太松出了一次带宽打满的事故就够难受的。6.2 日志分析与 SSL/TLS 加密的正确姿势IIS FTP 的日志能记录每个连接的来源 IP、操作、状态码。开启方式是在站点里双击FTP 日志记录选好日志目录和格式。有了日志谁在什么时候传了什么、哪些 IP 在反复试密码一目了然。关于加密只要跨公网就必须上 SSL/TLS。步骤是先生成或导入一张证书可以在 IIS 的服务器证书里创建自签名证书用于测试正式环境用正规 CA 签发的证书。然后在 FTP 站点的 SSL 设置里选需要 SSL绑定证书。注意选了需要 SSL之后所有客户端都必须用 FTPS 连接普通 FTP 客户端会连不上这会让一部分同事突然懵掉切换前要提前通知。6.3 长期运行 FTP 的一些个人经验配 FTP 这些年有几条经验几乎每次都用得上。第一把被动端口范围、物理路径、用户列表记录在一个文档里机器一多、时间一长靠记忆一定会错。第二新机器部署前先在一台测试机上把整套流程跑一遍确认端口规划和权限方案没问题再上生产比出事后救火省太多时间。第三定期看日志里的失败登录如果某个 IP 在疯狂试密码及时封掉或者加限制别等出事。还有一个小技巧如果只是内网同事之间传文件其实可以考虑用 IIS 的 WebDAV 或者干脆搭个内部文件共享FTP 的被动端口和字符集问题都能绕开。FTP 有它的历史包袱能用更简单的方案解决的时候没必要非跟它较劲。但真到了需要兼容老旧客户端、脚本自动化上传的场景把上面这套 IIS FTP 配置吃透基本能应付绝大多数需求。
Windows Server IIS FTP 配置：认证、权限、被动端口与排错
一台刚装好的 Windows Server 摆在机房里业务同事下午就要往里传报表你打开浏览器输ftp://一看——提示无法访问此文件夹。十有八九不是网络不通而是 IIS 里那个 FTP 角色压根没装、站点没建、被动端口没放行这三件事随便缺一件客户端就卡在正在连接或者读取目录列表上不动。这篇就把 Windows 上用 IIS 搭建并配置 FTP 的完整链路拆开讲从角色安装、站点创建、认证与权限、被动模式端口、防火墙规则一直讲到连上之后的乱码和 501、550 报错排查。不管你是第一次配 FTP 的新手还是配过几次但总在权限和防火墙上翻车的老手都能从这里抄到能直接落地的配置步骤也能搞清楚每一步背后的道理。1. 为什么在 Windows 上先考虑 IIS 自带 FTP而不是随手装第三方服务端1.1 IIS FTP 与 FileZilla Server、3CDaemon 之间的取舍逻辑Windows 生态里搭 FTP 有三条主流路线IIS 自带的 FTP 服务、FileZilla Server 这类独立服务端、以及 3CDaemon 这种轻量小工具。很多教程一上来就让你装第三方理由是IIS 配置麻烦。但真实场景里如果你这台机器本身就跑着 IIS、站点、或者以后要跟 Windows 账户体系打通那 IIS FTP 反而是省事的那条路。原因很直接IIS FTP 直接复用 Windows 的账户和 NTFS 权限。你不需要在 FTP 服务端里再维护一套独立的用户名密码表也不用担心服务端账户和系统账户对不上。给某个域账户开个读写权限FTP 里授权一下就能用人员离职时在系统里禁用账户FTP 访问同步就断了。这是第三方服务端做不到的天然优势。反过来说什么时候该选 FileZilla Server当你需要细粒度的传输限速、单 IP 并发控制、或者跨平台统一管理时独立服务端的界面确实更顺手。3CDaemon 这类工具则适合临时用一下、传完就关的场景它轻到几十 KB但功能也单薄没有用户隔离和成熟的日志体系不适合长期跑业务。方案账户体系权限控制适用场景主要短板IIS 自带 FTP复用 Windows 账户NTFS FTP 授权双层长期运行、与系统集成被动模式端口要手动配FileZilla Server独立账户表服务端内配置独立文件交换、限速需求账户与系统脱节3CDaemon简单账户基础读写临时传文件无隔离、日志弱我的建议很明确只要机器是 Windows Server且要长期用优先 IIS。它是系统组件跟着系统更新走没有额外进程要守出问题也好排查。1.2 装之前必须确认的三件事系统版本、角色服务、端口占用动手之前先做三个检查能帮你省掉后面一堆莫名其妙的报错。第一确认系统版本。Windows 10/11 专业版、企业版以及 Windows Server 各版本都支持 IIS FTP但家庭版不带 IIS别在这上面浪费时间。Server 版本还要注意FTP 服务是作为Web 服务器 IIS角色下的一个子功能安装的不是独立角色。第二确认 21 端口没被占用。FTP 控制通道默认走 21用下面这条命令看一眼netstat -ano | findstr :21如果有输出说明 21 已经被别的程序占了要么改 FTP 端口要么把占用程序停掉。常见占用者是一些下载工具、迅雷类软件、或者之前装过的 FTP 服务端残留。第三想清楚数据通道端口范围。这是新手最容易忽略的一步。FTP 分控制通道和数据通道控制通道走 21数据通道在被动模式下会随机开一个高位端口。如果你不把这段端口范围固定下来、防火墙不放行客户端能连上但列不出目录——也就是那个经典的读取目录列表失败。提示先把端口规划写下来比如控制端口 21被动端口范围 50000-50100后面所有配置都围绕这两个数字来别中途改。2. 从零把 IIS 的 FTP 角色装上组件勾选与站点创建2.1 通过服务器管理器添加角色的完整勾选路径Windows Server 走服务器管理器 → 添加角色和功能一路下一步到服务器角色页勾选Web 服务器(IIS)。注意勾了 IIS 之后别急着下一步展开它下面的FTP 服务器你会看到两个子项FTP 服务这是核心不勾就白搭。FTP 扩展性允许用自定义的 FTP 身份验证和日志提供程序一般用不上但勾上不吃亏。Windows 10/11 则是走控制面板 → 程序 → 启用或关闭 Windows 功能展开Internet Information Services → FTP 服务器勾选FTP 服务和FTP 扩展性同时确保IIS 管理控制台也勾上不然你没有图形界面可操作。装完之后按Win R输入inetmgr回车能打开 IIS 管理器就说明组件到位了。这一步的坑在于很多人只勾了 IIS 主项忘了展开勾 FTP 子项结果打开 IIS 管理器发现根本没有FTP 站点这一栏然后又去重装一遍。装之前把树展开看清楚就行。2.2 新建 FTP 站点时那几个字段到底怎么填在 IIS 管理器里右键网站选添加 FTP 站点会弹出一个向导。四个字段逐个说清楚FTP 站点名称随便起但建议带用途和端口比如ReportFTP-21以后站点多了好区分。物理路径这是 FTP 根目录指向的磁盘文件夹。建议专门建一个比如D:\FTPRoot别直接用系统盘的某个已有目录。原因后面讲权限时会说——这个文件夹的 NTFS 权限要单独设计混在系统目录里容易误伤。绑定和 SSLIP 地址选全部未分配或指定本机 IP端口默认 21。SSL 那一栏如果只是内网临时用可以选无但只要涉及跨网络传输建议选允许 SSL甚至需要 SSL后面配好证书再用。身份验证和授权信息这一步先勾基本授权选指定用户或所有用户权限按需求勾读取写入。这里可以先粗配真正精细的授权规则我们放到第 3 节展开。向导走完站点就建好了。此时在本机浏览器里输ftp://127.0.0.1应该能看到目录前提是认证配对了但外网机器多半还连不上因为防火墙还没放行。2.3 用一段 PowerShell 一次性建站省去点点点如果你要给多台机器配同样的 FTP或者单纯嫌图形界面慢PowerShell 一条命令能搞定。以管理员身份打开 PowerShell先导入 IIS 管理模块Import-Module WebAdministration然后创建站点需要已装好 FTP 角色New-WebFtpSite -Name ReportFTP -Port 21 -PhysicalPath D:\FTPRoot建完之后再补认证和授权Set-ItemProperty IIS:\Sites\ReportFTP -Name ftpServer.security.authentication.basicAuthentication.enabled -Value $true Add-WebConfiguration -Filter /system.ftpServer/security/authorization -Value {accessTypeAllow; roles; usersftpuser; permissionsRead,Write} -PSPath IIS:\New-WebFtpSite这个 cmdlet 在老版本 IIS 上可能需要额外的管理模块支持如果报无法识别命令改用服务器管理器手动建站或者用appcmd命令行工具%windir%\system32\inetsrv\appcmd add site /name:ReportFTP /physicalPath:D:\FTPRoot /bindings:ftp://*:21用脚本建站的好处是可复现、可版本化。把这几条命令存成一个.ps1文件新机器上跑一遍就配好了比对着教程一步步点鼠标靠谱得多。3. 用户隔离与权限设计匿名、基本、Windows 账户三种认证怎么配3.1 匿名认证的适用边界与开关位置匿名认证意味着任何人输个ftp://你的IP就能直接进来不需要用户名密码。它只适合一种场景对公网开放只读的公共文件下载。除此之外一律关掉。开关位置在 IIS 管理器里选中 FTP 站点双击FTP 身份验证能看到匿名身份验证基本身份验证Windows 身份验证三个图标。右键匿名禁用即可。默认情况下匿名是开的很多人配完发现怎么谁都能进就是忘了关这个。匿名认证还有个细节它背后映射的是一个叫IUSR的内置账户。也就是说匿名用户实际是以IUSR的身份去访问物理路径的所以物理路径的 NTFS 权限里必须给IUSR相应的读权限否则匿名能连上但读不了文件。这一点在权限排查时经常被忽略。3.2 基本认证配合授权规则的正确打开方式基本认证是让客户端提交用户名密码密码在网络上是明文或 Base64 传输的所以跨公网必须配 SSL否则等于裸奔。启用基本身份验证后默认域那栏留空即可客户端登录时输入的就是这台机器上的本地账户或域账户。启用认证只是第一步真正决定谁能访问哪些目录的是FTP 授权规则。在 FTP 站点里双击FTP 授权规则添加规则时三个维度要填允许还是拒绝拒绝优先于允许规则越具体的优先。指定用户/组可以填具体用户名也可以填角色或组比如只允许ftpgroup组访问。权限读取、写入、或者两者都勾。举个例子给ftpuser这个账户在根目录下读写权限但只想让它能看不能改某个子目录那就先全局给读再针对该目录加一条拒绝写入的规则。这种先放后收的叠加方式比一个个目录去配要清晰。注意授权规则和 NTFS 权限是与的关系两边都通过才能访问。授权规则里给了写权限但 NTFS 里没给照样写不进去。3.3 物理路径划分与 NTFS 权限必须对齐的原因这是 FTP 配置里最核心、也最容易出错的一环。IIS FTP 有一项重要能力叫用户隔离在 FTP 站点的高级设置或站点属性的FTP 用户隔离里配置有三种模式无隔离所有用户都落到同一个根目录互相能看见对方的文件。最简单也最不安全只适合完全信任的内部环境。隔离用户每个用户只能看到以自己用户名命名的子文件夹。配置方式是物理根目录比如D:\FTPRoot下面为每个用户建一个同名文件夹比如D:\FTPRoot\ftpuser。用户ftpuser登录后直接被关进自己的文件夹看不到别人。隔离用户Active Directory用 AD 里的用户主目录属性来定位适合域环境。我强烈建议用隔离用户模式。步骤是站点根目录设为D:\FTPRoot然后在下面建ftpuser、sales、report等子文件夹最后去磁盘上给这些文件夹逐个设置 NTFS 权限——只给对应的账户读写其他账户一律不给。FTP 端的隔离只是看不见NTFS 权限才是进不去的硬约束两者必须一起配缺一个都形同虚设。我见过太多案例隔离模式配了但 NTFS 上 Everyone 还留着完全控制的权限结果用户通过一些路径技巧照样能摸到别的目录。所以配完隔离后务必右键文件夹 → 属性 → 安全 → 高级把继承关掉只保留需要的账户。4. 被动模式端口与防火墙客户端连不上八成卡在这里4.1 主动模式为什么在现代网络里基本不可用FTP 有两种工作模式主动PORT和被动PASV。区别在于谁主动发起数据连接。主动模式下客户端连上服务器的 21 端口后告诉服务器我在某个高位端口等你你来连我。问题来了现在几乎所有客户端都在路由器、防火墙后面服务器主动去连客户端的高位端口十有八九被防火墙拦掉。所以主动模式在公网环境基本没法用。被动模式反过来了客户端连上 21 后服务器说你去连我的某个高位端口由客户端发起数据连接。这样客户端的防火墙不会拦但服务器这边必须把这批高位端口开放出来。结论FTP 要能用就必须配被动模式端口范围并放行防火墙。这是本文最重要的一节。4.2 数据通道端口范围该怎么算、怎么填在 IIS 管理器里选中 FTP 站点打开FTP 防火墙支持有的版本叫FTP 防火墙支持功能项里面有两个关键字段数据通道端口范围填一个区间比如50000-50100。这个区间大小怎么定端口数量要大于等于你的最大并发数据连接数。一个客户端上传或下载一个文件会占用一个数据端口如果 100 个人同时传文件你就需要至少 100 个端口。50000-50100是 101 个端口够用了。范围别开太大几千个端口全放行反而增加被扫描的风险。外部 IP 地址如果服务器在 NAT 后面比如云主机、或者内网机器通过网关映射出去要把公网映射的那个 IP 填这里。否则服务器返回给客户端的是内网 IP客户端根本连不上。这个字段是云主机和内网映射场景的必填项很多人卡在这里半天找不到原因。填完在 IIS 里点应用配置才算生效。改完最好重启一下 FTP 服务net stop ftpsvc net start ftpsvc4.3 防火墙入站规则与云主机安全组的双重放行端口范围定好了接下来是放行。Windows 防火墙这一层用两条命令搞定netsh advfirewall firewall add rule nameFTP Control 21 dirin actionallow protocolTCP localport21 netsh advfirewall firewall add rule nameFTP Passive dirin actionallow protocolTCP localport50000-50100第一条放行控制通道第二条放行被动数据通道。执行完用netsh advfirewall firewall show rule nameall | findstr FTP检查一下规则是否生效。如果机器是云主机光配 Windows 防火墙还不够云平台的安全组有的叫防火墙策略是独立的一层。你得登录云控制台在安全组入站规则里同样放行 21 和 50000-50100。这两层防火墙是与关系任何一层没放行连接都会失败。我踩过的最典型的一个坑就是本机ftp://127.0.0.1一切正常同事从外网死活连不上排查半天才发现安全组里只放了 22 和 3389FTP 端口一个都没开。配置层需要放行的端口配置位置常见遗漏Windows 防火墙21、50000-50100高级安全防火墙只放了 21忘了被动端口云安全组21、50000-50100云控制台完全没动默认全关IIS FTP 防火墙支持50000-50100IIS 管理器范围没填或外部 IP 没填提示配完这三层用一台不在本机、不在同一内网的机器去测才算真正验证通过。本机 localhost 测试连 NAT 和防火墙都不经过测不出问题。5. 连上之后才开始的坑乱码、501、550 与目录列表异常5.1 FileZilla 下载文件名乱码的字符集处理服务器配好了客户端连上了结果下载下来的中文文件名全是乱码——这个问题在 FileZilla 上尤其常见。根因是客户端和服务器对文件名的字符编码理解不一致。IIS FTP 默认用的是系统本地代码页中文 Windows 下就是 GBK。而 FileZilla 默认倾向于用 UTF-8 去解析。两边对不上中文名就花了。解决办法有两条路。一是在服务器端开启 UTF-8 支持IIS 管理器选中 FTP 站点打开FTP 目录浏览或站点的高级设置把字符集相关选项设为 UTF-8不同版本位置略有差异有的在FTP 目录浏览里勾选允许 UTF8。二是在 FileZilla 客户端里强制指定字符集站点管理器 → 字符集 → 选择使用自定义字符集填GBK或者在字符集下拉里选强制 UTF-8再试。我的经验是服务器端开 UTF-8 是正解客户端改字符集只是适配。服务器统一用 UTF-8 之后各种客户端都不会乱长期看更稳。如果服务器上有历史文件是 GBK 名那可能需要手动重命名这个没法自动解决。5.2 FTP 响应 501 的几种典型触发条件501 在 FTP 里的含义是参数或语法错误服务器收到了它看不懂或没法执行的东西。常见的触发场景一是客户端发送了服务器不支持的扩展命令。比如某些客户端用MLSD列目录而老版本 IIS FTP 或者配置不对时支持不好就会返回 501。解决办法是升级服务器端或者在客户端里关掉使用 MLSD选项改用传统的LIST。二是命令参数格式不对。比如PORT命令后面跟的地址参数格式错了或者SITE类命令参数不合规。这种情况通常出现在用脚本调用 FTP、参数拼错的时候。三是被动模式端口范围配置异常时服务器在协商数据连接时参数无效也可能报 501。排查 501 的通用思路是打开 FTP 日志看客户端到底发了什么命令。IIS FTP 日志默认在%SystemDrive%\inetpub\logs\LogFiles下记下那条返回 501 的前后命令就能定位是哪个命令的参数出问题。很多时候不是服务器坏了是客户端发了服务器不认的东西。5.3 550 权限拒绝与物理路径映射错位排查550 表示请求的操作未被允许通常跟权限和路径有关。我把它拆成两类来排。第一类是权限问题。用户能登录、能看到目录但一进某个子目录或者一写文件就 550。这时候按顺序查三层FTP 授权规则里这个用户有没有对应权限NTFS 权限里这个用户对目标文件夹有没有权限如果用了用户隔离物理路径下有没有建对应用户名的文件夹。这三层任意一层缺失都会报 550而且报错信息往往一样只能逐个确认。第二类是路径映射问题。物理路径写错了、或者路径里有中文和空格导致映射异常也会 550。排查时直接在 IIS 里看站点绑定的物理路径是否存在、权限是否对然后手动在资源管理器里用同一账户去访问该路径试试能排除很大一部分问题。还有一个隐蔽的坑用户隔离用的虚拟目录或物理目录Windows 会区分大小写吗通常不区分但如果配置里混用了不同大小写的用户名有时候会匹配不上建议统一用小写。6. 把 FTP 用稳的加固与运维习惯6.1 关掉匿名、限速、限连接数的配置位置站点跑通只是开始长期运行要加保险。第一件事就是确认匿名认证是关的前面提过这里再强调一次因为它是被扫描利用的重灾区。限速在 IIS 管理器的 FTP 站点里打开FTP 站点限制或站点属性的限制可以设最大连接数防止单台机器被大量连接拖垮比如设 100。最大带宽按 KB/s 设一个单连接的传输上限避免某个人占满出口带宽。内网文件交换场景设个 10240 KB/s 通常够用。这两个值没有标准答案看你的带宽和并发需求。我的经验是先设一个保守值跑一周看日志里的连接峰值再调整别一上来设太松出了一次带宽打满的事故就够难受的。6.2 日志分析与 SSL/TLS 加密的正确姿势IIS FTP 的日志能记录每个连接的来源 IP、操作、状态码。开启方式是在站点里双击FTP 日志记录选好日志目录和格式。有了日志谁在什么时候传了什么、哪些 IP 在反复试密码一目了然。关于加密只要跨公网就必须上 SSL/TLS。步骤是先生成或导入一张证书可以在 IIS 的服务器证书里创建自签名证书用于测试正式环境用正规 CA 签发的证书。然后在 FTP 站点的 SSL 设置里选需要 SSL绑定证书。注意选了需要 SSL之后所有客户端都必须用 FTPS 连接普通 FTP 客户端会连不上这会让一部分同事突然懵掉切换前要提前通知。6.3 长期运行 FTP 的一些个人经验配 FTP 这些年有几条经验几乎每次都用得上。第一把被动端口范围、物理路径、用户列表记录在一个文档里机器一多、时间一长靠记忆一定会错。第二新机器部署前先在一台测试机上把整套流程跑一遍确认端口规划和权限方案没问题再上生产比出事后救火省太多时间。第三定期看日志里的失败登录如果某个 IP 在疯狂试密码及时封掉或者加限制别等出事。还有一个小技巧如果只是内网同事之间传文件其实可以考虑用 IIS 的 WebDAV 或者干脆搭个内部文件共享FTP 的被动端口和字符集问题都能绕开。FTP 有它的历史包袱能用更简单的方案解决的时候没必要非跟它较劲。但真到了需要兼容老旧客户端、脚本自动化上传的场景把上面这套 IIS FTP 配置吃透基本能应付绝大多数需求。
