## 症状现象
FTP 客户端能登录、能看到欢迎信息，执行列目录或传输文件时卡住超时。命令通道是通的（21 端口工作正常），数据通道建立失败——这是被动模式端口段没放行的典型表现。FTP 协议有两条通道：命令通道走 21，数据通道在主动与被动两种模式下走完全不同的路径，云服务器环境下被动模式的端口段放行是最高频的坑。
## 主动与被动的差异
主动模式：服务器主动从自己的 20 端口连回客户端开出的端口。客户端在 NAT 或防火墙后面时，服务器的回连会被客户端侧拦掉，这是家用与办公网络的常态，所以主动模式在现代网络里基本走不通。被动模式：客户端主动连服务器开出的高位端口，服务器不回连，客户端侧无需任何特殊配置，如今的默认选择。代价转移到服务器侧：被动模式开的端口段是动态的，防火墙不认识就会拦，于是出现命令能通、数据不通的怪象。
## 配置要点
以 vsftpd 为例，把被动端口段固定到一个明确范围：
pasv_enable=YES pasv_min_port=50000 pasv_max_port=50100
端口段按最大并发连接数估算，一个连接占一个端口。关键的一步是两层放行：顺云控制台防火墙规则放行 21 与 50000 到 50100 整段 TCP，系统内 firewalld 同样放行。漏掉端口段的任何一侧，故障照旧。NAT 环境还要配 pasv_address 为公网 IP，否则服务器把内网地址报给客户端，客户端连一个不可达的内网端口。
## 验证与收尾
客户端显式选被动模式重连，列目录、上传、下载各测一遍。仍超时的，在服务器上 ss 看数据通道端口有没有被监听、客户端有没有连上来，一层层收窄。安全提醒：FTP 明文协议口令裸奔，公网服务尽量换 SFTP 或 FTPS，同样的便捷，安全性高一个量级；确需 FTP 的，端口段收窄、强口令、fail2ban 盯住失败登录。数据无价，通道先行，但别用 1990 年代的安全标准。