简介面向需要快速搭建文件传输服务的个人开发者、小型团队与运维初学者这份资源提供了FileZilla Server v0.9.60的Windows安装程序及一份中文说明文档用于解决在自有机器或内网环境中架设FTP服务器、实现文件上传下载与共享管理的问题。压缩包共2个文件约2.1MB包含一个exe安装程序和一个htm说明文档前者集成服务器引擎与图形化管理界面安装时需配置监听端口、用户账户与权限后者则对配置项与使用方法作出说明便于对照操作。资源已有462人学习说明其在入门级FTP部署场景中具有一定参考价值。通过它读者可以了解主动与被动两种连接模式的差异、按用户精细划分目录读写权限的思路以及借助日志记录追踪访问活动、排查连接异常的方法同时认识SSL/TLS加密在防止传输内容被窃取或篡改方面的作用从而为项目文件分发、数据备份与内网文件共享等需求打下一个可实践的基础。1. 装之前先定版本0.9.60 和 1.x 不是一套东西搜「FileZilla Server 怎么安装」的人十有八九会直接下最新版然后拿到 1.x 的包发现管理界面没了、配置项位置全变、照着老教程点半天找不到入口。FileZilla Server v0.9.60 属于 0.9.x 这条老分支结构是「Windows 服务 独立管理端」两个进程配置落在安装目录里一份 XML 上改完重载就生效1.x 是重写过的另一套东西两者不能混着看教程。这套 FTP 服务器环境在 Windows 上极其常见装对了十分钟能传文件装错了的典型表现是客户端能登录却列不出目录、或者一传大文件就卡死新手往往怀疑网络实际是端口段和目录权限没配对。下面按「装服务 → 配账户 → 打通被动模式 → 排错 → 验证」的顺序走一遍。2. 安装 FileZilla Server 0.9.60服务、管理端口和第一条防火墙规则2.1 安装包与向导里真正要盯的三个勾选安装包文件名形如FileZilla_Server-0_9_60.exe注意别下成客户端 FileZilla Client——两个东西名字很像装完发现只有传文件的窗口、没有服务端配置界面就是拿错了。装之前先确认机器上没有别的 FTP 服务占着 21 端口IIS 的 FTP 角色、某些同步工具自带的服务都会抢后面会讲怎么查。安装向导里大部分页面可以直接下一步需要停一下的是这三处第一处是组件选择。默认会装「FileZilla Server服务端」和「Administration interface管理端」两项都保留。管理端是独立 exe理论上可以只装在运维机上远程连服务端但 0.9.60 这个年代的管理通道没有强加密跨网段连管理端口不是个好习惯常见做法是管理端和服务端同机。第二处是启动设置。这里会让你填服务端监听端口默认 21并勾选是否随 Windows 启动。生产机上把「随系统启动」勾上否则重启一次服务器 FTP 就静默失联第二天早上才发现。同时建议勾上「安装为服务」这样它跑在 Session 0 里注销登录不影响。第三处是管理密码。向导会问你管理端口的密码这一栏留空的人不少结果 14147 端口裸奔。填一个强密码记在密码库里后面每次开管理端都要用。提示安装路径默认在C:\Program Files (x86)\FileZilla Server\配置文件FileZilla Server.xml就在这个目录下。装完先把这个目录的 NTFS 权限收一下只留 Administrators 和 SYSTEM 完全控制普通用户只读都不必给。装完做一次服务层确认别急着开管理端# 查服务状态SERVICE_NAME 固定为 FileZilla Server Get-Service -Name FileZilla Server | Format-List Name, Status, StartType # 如果状态不是 Running手动拉起 Start-Service -Name FileZilla Server # 看 21 端口是否真的被它监听 netstat -ano | Select-String :21\sGet-Service看的是服务有没有被 SCM 接管netstat看的是端口有没有绑上两个都过才算服务端起来了。这里有个细节netstat结果里本地地址如果是0.0.0.0:21说明监听全部网卡如果是127.0.0.1:21那外网永远连不上——后者通常是有人改过 Settings 里的监听绑定后面排错章节会提。2.2 管理端登录14147 端口和它背后的风险打开「FileZilla Server Interface」弹出连接框要填三项Host、Port、Password。同机就连127.0.0.1端口14147密码是向导里设的那个。连上之后标题栏会显示服务端版本和当前连接数右下角不断刷日志这才算真正摸到了配置入口。管理端连不上先分两种报「Connection refused」是端口没监听报「Connection timed out」多半是防火墙或 IP 绑定。查监听状态# 14147 是 0.9.x 管理端默认端口 netstat -ano | Select-String :14147 # 拿到 PID 后反查进程确认是 FileZilla server.exe 而不是别的程序 Get-Process -Id PID | Select-Object Id, ProcessName, Path在 Settings → Admin Interface settings 里可以把管理端口改成非默认值也可以限定只监听127.0.0.1。这一步值得做0.9.x 的管理协议年代久远把它暴露在公网等于送人一个改配置的入口。如果确实需要远程管理稳妥做法是先用远程桌面或跳板机进内网再连本地管理端而不是直接放开 14147。改完管理端口或绑定地址后配置不会自动生效。0.9.x 的做法是管理端菜单里 File → Reload config或者干脆重启服务Restart-Service -Name FileZilla Server重启会掐断所有在线传输安排在业务低峰做。这一点是 0.9.x 的固有行为配置热加载只覆盖一部分项端口类的改动基本都要重启。2.3 放行入站一条命令解决 21 端口别手点Windows 防火墙默认拦截入站。很多人装完本机测试通、同事连不上就是这一步漏了。图形界面点「新建入站规则」容易点错配置文件域/专用/公用三选一用命令行更可控# 放行控制通道 21/TCP三个配置文件全开避免换了网络类型就失效 New-NetFirewallRule -DisplayName FileZilla FTP Control 21 -Direction Inbound -Protocol TCP -LocalPort 21 -Action Allow -Profile Domain,Private,Public # 被动模式数据段端口段要和后面 Settings 里填的一致 New-NetFirewallRule -DisplayName FileZilla FTP Passive 50000-50100 -Direction Inbound -Protocol TCP -LocalPort 50000-50100 -Action Allow -Profile Domain,Private,Public # 核对规则 Get-NetFirewallRule -DisplayName FileZilla* | Format-Table DisplayName, Enabled, Direction, Action老系统上没有New-NetFirewallRule的话等价的 netsh 写法是netsh advfirewall firewall add rule nameFileZilla FTP Control 21 dirin actionallow protocolTCP localport21 netsh advfirewall firewall add rule nameFileZilla FTP Passive dirin actionallow protocolTCP localport50000-50100参数含义dirin是入站actionallow放行protocolTCP只放 TCP——FTP 不用 UDP别顺手全放。localport支持范围写法一条规则覆盖整段比开 100 条干净得多。还有一层常被忘掉如果机器在云上安全组是独立于 Windows 防火墙的一道门。系统防火墙开了、安全组没开症状和没配防火墙一模一样。两层都放行之后再做连通性测试# 从另一台机器测控制端口TcpTestSucceeded 为 True 才算通 Test-NetConnection -ComputerName 10.0.0.10 -Port 21Test-NetConnection测的是 TCP 握手握手成功只证明端口开着不证明 FTP 协议能跑通真正的业务验证放到最后一章。到这一步服务在跑、端口在听、防火墙放行地基算打好了。3. 用户与目录权限0.9.60 的账户模型怎么配才不出事3.1 建用户、绑目录、设主目录0.9.60 的账户模型分两层Group组和 User用户。用户可以不进组也可以继承组的目录和权限实际运维里建议至少建一个组把公共权限放组上用户只做差异部分后面加人不用重复点一遍。操作路径是管理端菜单 Edit → Users右侧点 Add 填用户名然后勾上 Password 设密码。0.9.x 的密码是明文存在 XML 里的虽然文件权限受限所以这个密码不要和域账户、邮箱密码复用单独发一个。接着切到 Shared folders 页签点 Add 选一个目录再点 Set as home dir 把它设成主目录。这一步不做的话用户登录后默认落在第一个共享目录客户端看到的初始路径会很怪。共享目录这块有个血泪经验目录的 NTFS 权限和 FileZilla 里的权限是两套东西必须同时满足。FileZilla 服务默认以 LocalSystem 运行它对本地磁盘几乎无所不能所以本机目录一般不会卡在 NTFS 上但如果共享目录指向网络路径UNCLocalSystem 访问不了远端就得把服务登录账户改成有权限的域账户或本地账户# 查看服务当前登录身份LocalSystem 无法访问 \\fileserver\share 这类 UNC 路径 Get-CimInstance Win32_Service -Filter NameFileZilla Server | Select-Object Name, StartName, State改服务账户在services.msc里做改完要重启服务。改之前先确认该账户对目标目录有「修改」权限否则现象是登录正常、一进目录就报 550。3.2 八个权限位逐项对照勾错一个就出怪现象Shared folders 右下角那两列勾选框是 0.9.60 最容易勾错的地方很多人图省事全勾或者只勾 Read结果各种「能登录不能干活」。逐项对照如下权限项所属列勾上后允许不勾的典型现象ReadFiles下载文件能登录、能看列表一下载就 550WriteFiles上传新文件、覆盖已有文件上传同名文件报 550新文件反而成功DeleteFiles删除文件DELE 命令报 550AppendFiles断点续传、追加写入大文件续传失败只能整个重传CreateDirectories新建目录客户端建文件夹报 550DeleteDirectories删除目录删空目录也报 550ListDirectories列出目录内容登录成功但目录一片空白最容易被误判成网络问题 SubdirsDirectories进入子目录停在根目录点进子目录提示无权限「List 没勾」这个坑值得单独说。客户端登录是成功的日志里 230 也回了界面上就是一个空目录。新手会反复怀疑被动模式、怀疑防火墙实际只是目录权限少勾了一下。「 Subdirs」是 List 的子项不勾 List 时它也不生效两个一起勾才有完整浏览能力。Append 常被忽略。它管的是 APPE 命令和部分客户端的续传逻辑传几百兆的镜像时没有它断一次就得从头来。给上传目录勾上 Write Append 是常规组合。3.3 限速、连接数、IP 过滤与服务端兜底用户多了以后两件事必须设带宽和并发。限速在用户属性页的 Speed limits 里也可以放全局Edit → Settings → Speed limits。单位是 KB/s0 表示不限。给每个用户设一个下载上限比在交换机上做 QoS 直接得多。这里注意单位填 1024 是 1 MB/s 左右不是 1 Mbit/s换算的时候别搞错否则限出来只有一百多 KB。并发控制在两处。一处是全局 Max. number of usersSettings → General settings限制总连接数另一处是每 IP 的连接数限制防止单个客户端开一堆线程把池子占满。0.9.60 还有 Autoban 功能在 Settings 里配置「失败 N 次封 IP M 分钟」对暴力猜密码有实际拦截效果公网机器建议打开阈值设成 10 次失败封 30 分钟这种量级即可太激进会误伤用错密码的自己人。IP 过滤Settings → IP filter可以按网段放行或拒绝。写法是 CIDR比如192.168.10.0/24放行、0.0.0.0/0拒绝规则从上往下匹配。用的时候注意顺序把放行规则放前面、兜底拒绝放最后反过来会把所有人都挡在门外而且日志里只看到「421 拒绝连接」容易查半天。最后提一个容易被忽略的点FTP 账户和 Windows 账户是两套体系。0.9.60 的用户名密码完全由自己维护跟系统里的本地用户没有关系不要试图用域账号去登 FTP也不要在系统里为 FTP 用户建本地账户——那是 IIS FTP 的做法。搞清楚这一点能省掉一堆「为什么系统里有这个用户还是登不上」的困惑。4. 被动模式配置NAT 后面最容易翻车的一段4.1 主动与被动为什么内网通、公网不通FTP 是个「双通道」协议21 端口走命令数据另开一条连接。主动模式PORT下是服务器主动回连客户端的一个随机端口客户端在 NAT 或防火墙后面时这条回连基本进不来现象就是登录成功、LIST卡住、最后超时。被动模式PASV反过来服务器告诉客户端「你来连我这个端口」所以服务端必须明确知道自己对外的地址和开放的数据端口范围。这就解释了一个特别常见的现象内网同事连得好好的外网用户一登录就卡在列目录。内网直连时服务器报的 PASV 地址是内网 IP客户端也在内网能连上外网用户拿到内网 IP 后当然连不通。这不是玄学是 PASV 应答里的地址填错了。判断当前用的是哪种模式看客户端日志最快。FileZilla Client 里看到227 Entering Passive Mode (10,0,0,10,195,80)这样的行括号里六个数字前四个是 IP、后两个是端口195×25680 50000。如果前四个数字是内网地址而你在公网连问题就定位了。4.2 自定义端口段与外部 IP 的正确填法进 Settings → Passive mode settings三件事要一起做对。第一选「Use custom port range」填一个端口段比如 50000-50100。默认情况下 0.9.x 每次传输随机挑端口防火墙根本没法提前放行必须固定成一段。段大小按并发估同时 20 个传输留 100 个端口足够别开几千个没必要还增加暴露面。第二外部 IP。三种情况分清机器直接持有公网 IP选「Use the following IP」填那个公网地址。机器在 NAT 后面云主机弹性 IP、家用路由器端口映射同样选「Use the following IP」但填的是映射后的公网地址不是网卡上的内网地址。地址会变0.9.60 有「Retrieve external IP address from」的选项通过一个外部地址回显本机出口 IP。公网 IP 固定就别用这个多一次外部依赖多一个故障点。第三勾上「Dont use external IP for local connections」。这个选项的作用是内网来源的连接PASV 应答里回内网地址外网来源才回公网地址。不勾的话内网用户会被塞一个公网 IP如果出口不支持 NAT 回环hairpin内网用户反而连不上而外网用户是好的——这种「只有内网连不上」的倒挂现象非常迷惑人。配置改完同样要 Reload config 或重启服务然后确认端口段真的在监听# 传输过程中执行应该能看到 50000-50100 之间的端口处于 LISTENING netstat -ano | Select-String :50(0[0-9][0-9]|100)\s没看到监听是正常的——被动端口是传输时才临时开的不传输时不占。所以这条命令要在客户端正卡住的时候跑如果那一刻也没看到端口说明端口段没生效回去检查是否点了 Reload。防火墙和安全组要把整段放行规则在 2.3 已经给过。这一步漏了的表现是PASV 应答正常返回了公网 IP 和端口客户端去连然后425 Cant open data connection。4.3 给 0.9.60 配一张证书把明文密码关掉原生 FTP 的账号密码是明文过网络的同网段抓个包就出来了。0.9.60 支持 FTPSFTP over TLS配起来不复杂。进 Settings → SSL/TLS settings先点「Generate new certificate」生成一张自签名证书。填国家、组织、通用名通用名填客户端连接时用的域名或 IP 就行。密钥长度按当时的机器性能选 2048 位别选 1024。生成完勾上「Enable SSL/TLS support」然后有两个模式「Allow explicit FTP over TLS」允许但不强制客户端可以选择明文或加密。「Force explicit FTP over TLS」强制加密明文连接直接被拒。过渡期用 Allow等所有客户端都切到显式 TLS 之后再改成 Force。切换那天一定会有人来问「怎么突然连不上了」提前打招呼。客户端的连法是在站点管理器里把加密方式选成「Require explicit FTP over TLS」首次连接会弹证书确认自签名证书没有公共 CA 背书需要手动信任一次。这一步不要图省事让用户点「以后都不提示」证书换了以后不会有任何告警。注意FTPS 和 SFTP 不是一回事。FTPS 是 FTP 加 TLS还是 21 端口那套SFTP 跑在 SSH 上通常是 22 端口FileZilla Server 0.9.60 不提供 SFTP 服务。客户端里选错协议报错信息会让人往完全错误的方向查。证书配好之后被动端口段和防火墙规则不用改TLS 只影响握手和加密不影响端口分配逻辑。5. 常见问题排查五个我反复遇到的坑5.1 425 Cant open data connection登录成功但列不出目录现象客户端能登录日志显示 230 登录成功紧接着LIST挂住几十秒后报425 Cant open data connection。换内网机器试又是好的。原因被动模式没配对。三种可能——PASV 应答里回的是内网 IP、自定义端口段没启用、或者端口段没在防火墙/安全组放行。三者现象一模一样得逐个排除。解决先在客户端日志里找到227 Entering Passive Mode那行把括号里的 IP 和端口解出来。IP 是内网地址就回去改 Passive mode settings 的外部 IPIP 对了但端口不在你设的段里说明「Use custom port range」没生效检查是否 Reload 过配置IP 和端口都对但连不上那就是防火墙或安全组按 2.3 的规则补。判断顺序固定成「地址 → 端口段 → 防火墙」能省掉大部分来回试。5.2 530 Login incorrect密码明明是对的现象用户名密码确认无误客户端就是报530 Login incorrect或者偶尔能登、偶尔不能。原因按出现频率排——用户名大小写不一致0.9.x 默认区分大小写密码里有特殊字符某个客户端做了转义开了 Autoban之前几次失败把来源 IP 封了用户被禁用用户属性里的账户启用勾没勾。解决先看服务端日志管理端主窗口会实时打登录失败的记录包含来源 IP 和失败原因。如果是 Autoban在 Settings → Autoban 里能看到被封的 IP 列表手动解封或等超时。如果是特殊字符把密码换成字母数字组合试一次能登就说明是客户端转义问题再针对性处理。别在没看日志的情况下反复改密码那是纯碰运气。5.3 管理端连不上、配置改了不生效现象管理端报连接超时或者配置明明改了客户端行为没变化。原因管理端口被改过或绑定到了别的地址14147 被其他程序占用改了配置没执行 Reload/重启改的是管理端本地缓存的视图没写回服务端。解决先netstat -ano | findstr 14147确认有没有进程在听。没有的话去服务端安装目录看FileZilla Server.xml里的管理端口配置或者临时把服务停掉重装一遍管理端。有进程在听但连不上检查是不是绑到了127.0.0.1而你在别的机器上连。配置不生效这一类养成习惯改完立刻 File → Reload config涉及监听端口、绑定地址、服务账户的改动直接Restart-Service。5.4 中文文件名乱码服务端和客户端各说各话现象上传的中文名文件在客户端显示正常别人下载下来是乱码或者反过来服务器上看着是乱码。原因FTP 协议早期没有统一的文件名编码0.9.x 默认走 UTF-8但一些老客户端、某些脚本工具按本地代码页GBK解释两边对不上。解决优先统一到 UTF-8。服务端 0.9.x 这一侧基本不用动重点在客户端把字符集设成 UTF-8用命令行或脚本上传的显式指定编码别依赖系统默认。已经传上去的乱码文件文件名本身已经是错的字节序列只能在服务器上手工重命名没有自动修复的后悔药。批量文件建议打包成 zip 再传绕开文件名编码问题这是最稳的做法。5.5 服务起不来、21 端口被占现象Start-Service报错或者服务显示 Running 但netstat里 21 端口属于别的进程。原因IIS 的 FTP 角色、其他同步软件、上一份没卸干净的 FileZilla 服务抢了 21 端口或者服务账户被改成了一个没有「作为服务登录」权限的账号。解决先定位占用者# 找出占用 21 端口的进程 $conn Get-NetTCPConnection -LocalPort 21 -State Listen -ErrorAction SilentlyContinue $conn | ForEach-Object { Get-Process -Id $_.OwningProcess } | Select-Object Id, ProcessName, Path确认是别的服务就停掉并禁用是残留的 FileZilla 就sc.exe delete清掉再重装。服务账户问题看事件查看器里的系统日志报「登录失败」或「权限不足」就是账户的事改回 LocalSystem 或给它补「作为服务登录」权限。这一步别硬重启机器了事重启只是让占用者晚一点再抢而已。6. 装完怎么验证三层测试一次过配置全绿不等于能用。我习惯分三层验每层用不同手段出问题时能立刻定位到哪一层。层次验什么手段通过标准服务层进程和服务状态Get-Service、netstatRunning 且 21 在听协议层控制通道能否握手Test-NetConnection、curlTCP 通、能拿到 230数据层被动模式能否传数据真实上传下载一次文件完整、大小一致协议层用 curl 最省事不用装客户端# 明文测试-v 会把 227 应答打出来方便核对 PASV 返回的 IP 和端口 curl -v ftp://user:password10.0.0.10/test.txt -o test.txt # 强制被动模式确认数据通道能建立 curl --ftp-pasv -v ftp://user:password10.0.0.10/ # FTPS 显式加密测试--ftp-ssl 会走 AUTH TLS curl --ftp-ssl -k -v ftp://user:password10.0.0.10/test.txt -o test.txt-v的输出重点看三行230是登录成功227 Entering Passive Mode里带的地址和端口要能被你从客户端访问到最后226 Transfer complete才是数据真的传完了。只有 230 没有 226就是典型的被动模式问题回第 4 章查。数据层一定要传一个非空、有子目录的真实文件不要用空文件测。空文件不触发数据连接测了等于没测。我一般的做法是建一个test/子目录里面放一个几 MB 的文件做一遍「进子目录 → 上传 → 下载 → 对比哈希」# 服务端侧比对确认落盘的文件和源文件一致 Get-FileHash .\test\upload.bin -Algorithm SHA256上传成功但哈希不一致多半是文本模式/二进制模式搞混了或者中间有代理截断这种情况比连不上更隐蔽。最后一步是从真正要用的那台客户端上测不是从服务器本机。本机测永远是通的因为不经过防火墙和 NAT。找一个和最终用户同网段、同出口的机器装 FileZilla Client用「显式 FTP over TLS」连一次看日志里 PASV 返回的地址是不是公网地址、端口是不是在你设的段里。从那以后我每次上线 FTP 服务器都强制走一遍「服务状态 → 21 握手 → 被动段实传 → 外网客户端复测」这四步不再信「能登录就算好了」这种判断。FTP 这个协议的双通道结构决定了它有一半的故障藏在上传下载里登录成功反而是最容易达成的部分。希望帮到你。本文还有配套的精品资源点击获取