核心概念：主動 vs 被動 — 誰發起數據連接？

模式	指令連接	數據連接發起方	防火牆友好度
主動 (PORT)	Client → Server:21	**Server → Client** (高埠)	差：需開放 Client 入站高埠
被動 (PASV)	Client → Server:21	**Client → Server** (高埠)	好：只需開放 Server 入站高埠

**口訣**：主動 = 服務器「回撥」客戶端；被動 = 客戶端「主動連」服務器數據埠。

三大經典報錯 → 直接鎖定模式問題

1. 426 Data connection closed, transfer aborted → **主動模式被防火牆擋住**（Server 無法連回 Client）。
2. 550 Passive mode not allowed on this server → **Server 禁用被動模式**，須改用主動或聯繫管理員開啟 PASV。
3. Data socket error: Connection timed out → **模式不匹配或防火牆/NAT 未放行數據埠範圍**。

主流客戶端切換圖解

Internet Explorer / Edge (IE 模式)

工具 → Internet 選項 → 進階 → 勾選「使用被動 FTP」 → 確定

FileZilla

編輯 → 設定 → FTP → 傳輸模式 → 勾選「被動模式」 → 限制本地端口範圍 (如 50000-51000) → 防火牆放行該範圍

CuteFTP

站點管理器 → 站點屬性 → 類型 → 選擇 PASV 模式

命令行 ftp.exe

ftp> quote PASV   ! 切換到被動模式
ftp> quote PORT   ! 切換回主動模式

瀏覽器直接訪問 ftp://

Chrome/Firefox 預設被動模式；若遇 550 錯誤，需改用專用 FTP 客戶端強制主動模式。

伺服器端配置要點（以 vsftpd / IIS 為例）

• **開啟被動模式**：`pasv_enable=YES` (vsftpd) / FTP 防火牆支援 → 被動模式啟用 (IIS)。
• **固定被動埠範圍**：`pasv_min_port=50000` `pasv_max_port=51000`，防火牆僅開放此範圍，大幅減少攻擊面。
• **指定對外 IP**（NAT 環境）：`pasv_address=公網IP`，避免 Server 回報內網 IP 導致 Client 無法連接。

NAT 穿透最佳實踐

1. Client 端：使用被動模式 + 客戶端防火牆允許 FTP 程式出站。
2. Server 端：被動模式 + 固定埠範圍 + 對外公網 IP + 防火牆放行指令埠 21 + 被動埠範圍。
3. 中間設備：啟用 **FTP ALG (Application Layer Gateway)** 讓防火牆/路由器自動識別 PORT/PASV 指令動態開放數據連接（注意：部分 ALG 會破壞 FTPS 隱性加密，建議改用 SFTP/HTTPS）。

總結

FTP 連線失敗 80% 是主動/被動模式與防火牆/NAT 不匹配。**統一改用被動模式 + 固定埠範圍 + 防火牆精準放行**，即可一勞永逸。條件允許請全面遷移至 SFTP (SSH) 或 HTTPS，徹底告別 FTP 協議缺陷。