问题根源是被动模式端口未正确配置或NAT映射缺失；需依次配置FileZilla Server被动端口范围、Windows防火墙放行、路由器端口转发、验证PASV响应，并对动态IP启用DDNS。
如果您在FileZilla Server中已能正常登录，但客户端始终无法列出目录、上传或下载文件，则极大概率是被动模式端口未正确配置或NAT映射缺失。以下是具体操作步骤：
一、配置FileZilla Server被动端口范围
被动模式要求服务器预先开放一段高位端口供数据连接使用，客户端将主动连接该范围内的某个端口。若未指定自定义范围，FileZilla Server会随机选择系统可用端口，导致防火墙无法预设规则，从而阻断数据通道。
1、启动FileZilla Server Interface程序，并确保以管理员身份运行。
2、点击顶部菜单栏的Edit → Settings，打开全局设置窗口。
3、在左侧树状菜单中，展开FTP项，点击Passive mode settings。
4、勾选Use custom port range复选框。
5、在下方输入框中填入端口区间，例如：50000-50020（建议跨度控制在20–50之间，避免过大增加安全风险）。
6、勾选Use the following IP，并在文本框中填入服务器的公网IP地址（若服务器位于NAT后，此项为必须；若直连公网可留空，但强烈建议填写）。
二、在Windows防火墙中放行被动端口范围
仅在FileZilla Server中设置端口范围并不足够，Windows防火墙默认会拦截所有未明确允许的入站连接。必须为该端口范围添加专用入站规则，否则客户端的数据连接请求将被直接丢弃。
1、按下Win + R，输入wf.msc并回车，打开“高级安全Windows Defender防火墙”。
2、在左侧面板点击入站规则，再点击右侧的新建规则…。
3、选择端口，点击下一步。
4、选择TCP，在“特定本地端口”中输入与FileZilla Server中一致的范围，例如：50000-50020，点击下一步。
5、选择允许连接，点击下一步。
6、保持所有网络类型（域、专用、公用）均被勾选，点击下一步。
7、在名称栏输入FileZilla Passive Ports (50000-50020)，点击完成。
三、在路由器上配置端口转发（NAT映射）
当FileZilla Server部署在家庭宽带或企业内网中（即服务器具有私有IP，如192.168.x.x），外部客户端必须通过路由器访问。此时需将公网端口映射至服务器的对应端口，否则PASV响应中的IP和端口对客户端无效。
1、登录路由器管理界面（通常为192.168.1.1或192.168.0.1，凭设备标签或说明书确认）。
2、查找端口转发（Port Forwarding）、虚拟服务器或NAT设置相关选项。
3、新增一条规则：外部端口范围填入50000-50020，内部IP地址填入FileZilla Server所在主机的局域网IP（如192.168.1.100），内部端口范围同样填入50000-50020。
4、另建一条规则：外部端口填21，内部IP同上，内部端口填21，协议选择TCP。
5、保存并重启路由器（部分型号需重启才生效）。
四、验证被动模式是否生效
配置完成后需验证服务器是否正确返回PASV响应，这是判断端口与NAT映射是否协同工作的关键证据。若响应中IP或端口不在预设范围内，说明配置存在错位。
1、在FileZilla Client中新建站点，主机填入服务器公网IP，协议选FTP - File Transfer Protocol，加密选只使用普通FTP（不推荐，仅用于测试）。
2、连接成功后，在客户端日志窗口中查找形如227 Entering Passive Mode (xxx,xxx,xxx,xxx,p1,p2)的响应行。
3、计算实际端口号：p1 × 256 + p2，确认结果落在您设定的范围内（如50000–50020）且对应公网IP正确。
4、若IP显示为内网地址（如192.168.x.x）或端口号超出范围，说明“Use the following IP”未填写或填写错误，需返回第一步修正。
五、处理动态公网IP场景
若您的宽带运营商分配的是动态公网IP（即每次拨号IP可能变化），则手动填写固定IP会导致PASV响应失效。此时必须引入DDNS服务，使域名始终解析到当前IP，再在FileZilla Server中填写该域名而非IP地址。
1、注册并配置一个DDNS服务（如No-IP、DynDNS或路由器内置的花生壳）。
2、在路由器中启用DDNS客户端，绑定您的域名与当前WAN口IP。
3、回到FileZilla Server的Passive mode settings中，勾选Use the following IP，但不再填写IP，而是填入您申请的完整DDNS域名（如myftp.no-ip.org）。
4、确保该域名DNS记录A记录已正确指向当前公网IP，并在客户端连接时使用该域名作为主机地址。
