无法通过互联网使用文件资源管理器登录FTP

现象：局域网内通过文件资源管理器可以直接访问FTP，进行文件上传下载操作，但是在互联网却不行，只能通过第三方FTP客户端去连接。

 

配置：FTP服务器启动的监听端口是2021，防火墙映射的规则是访问端口不变，从互联网访问依然是2021端口。网络配置完，在互联网机器telnet公网IP和端口是通的。

 

检查步骤和解决：

1. 原来使用vsftpd作为ftp服务器，尝试使用其他的ftp服务端：pure-ftpd，结果一样。
2. 有同事试过windows的ftp可以，那么搭建了一台windows server 2008去搭建FTP服务，经过测试依然是不能访问。
3. 把vsftpd的监听端口从2021改为默认的21端口，再修改防火墙的映射策略，对外依然是2021，映射到内网的21端口。测试结果OK了。
4. 顺着这个思路，又把vsftpd的21端口改回2021了，然后在iptables里面做NAT规则：iptables -t nat -A PREROUTING -p tcp -m tcp --dport 21 -j REDIRECT --to-ports 2021，结果也是OK的。

 

非官网结论：

影响FTP在外网使用文件资源管理器登录的原因有：

1. 和内部防火墙可能有些关系，但关系可能不大，因本人对网络部分不太熟悉，所以没办法深究。
2. 和从防火墙到ftp服务器直接的端口有很大关系，必须是21端口。就是映射规则在指定的内网IP和端口部分，端口必须是21才可以。

 

很多公司为了安全起见，都会把默认端口修改，这里提供一个解决方案，就是在加一条NAT记录，确定防火墙这里的IP，iptables规则加上source只允许防火墙到服务器可以把21端口NAT到FTP服务的监听端口，这样公司内部的用户还是使用不了21端口，只能用2021端口。

iptables规则类似：iptables -t nat -A PREROUTING -p tcp -m tcp -s 1.2.3.4 --dport 21 -j REDIRECT --to-ports 2021