FTP在NAT下外网访问失败的根本原因是协议双通道特性导致数据连接使用内网地址或未映射端口，必须配置ALG、端口范围转发、服务端PASV参数及防火墙放行才能打通。
FTP这类多通道协议在NAT环境下无法直通，不是端口没转对，而是协议本身会在控制连接中“明文告诉客户端：数据连我这个IP和端口”。如果服务器在内网，它报的往往是192.168.x.x这种私有地址，外网客户端根本连不上——这和端口是否开放无关。
必须启用 NAT ALG（应用层网关）
NAT设备默认只改IP头和TCP/UDP头里的地址端口，但FTP的PORT命令、PASV响应里还藏着IP和端口信息。ALG能深入数据载荷，自动替换这些内嵌地址，并同步创建对应的数据通道映射表项。
- 华为/华三等企业设备：执行firewall detect ftp或nat64 alg ftp开启ALG
- 部分家用路由器：在“安全设置”或“ALG/NAT增强”里勾选“FTP ALG”或“FTP穿透”
- Linux iptables：需加载nf_nat_ftp模块，并确保ip_conntrack_ftp已启用
端口转发不能只转21端口
仅映射TCP 21端口只能建立控制连接；数据连接仍会失败。尤其被动模式下，服务器会动态分配高位端口（如50000–50100），这些端口也必须映射并放行。
- 在路由器或防火墙上添加一条“端口范围转发”：外部端口50000–50100 → 内网FTP服务器IP:50000–50100
- FTP服务软件（如vsftpd、FileZilla Server）中明确配置pasv_min_port和pasv_max_port，限定被动端口范围，便于统一映射
- 若用高位端口替代21（如2121），客户端连接时需显式指定端口：ftp://yourddns.com:2121
Windows或服务器本机防火墙要同步放行
即使NAT和路由都配对了，Windows Defender防火墙或Linux的ufw/iptables也可能拦截数据连接请求。
- Windows：在“高级安全Windows防火墙”中新建入站规则，允许TCP端口21及你设定的被动端口范围（如50000–50100）
- Linux（vsftpd）：确认/etc/vsftpd.conf中设置了pasv_enable=YES、pasv_address=你的公网IP或DDNS域名（不能留空或填内网地址）
- 若使用DDNS，pasv_address建议填域名而非IP，避免IP变动后配置失效
验证是否真正生效
别只测能否登录，重点看能否列出目录、上传下载文件：
- 用FileZilla客户端连接，开启“调试日志”，观察PASV响应返回的IP是否为你的公网IP（不是192.168.x.x）
- 在服务器上用netstat -ant | grep :50000确认被动端口确实在监听
- 从外网用telnet yourddns.com 21测试控制通道，再用telnet yourddns.com 50001测试一个被动端口是否可达
