PHP FTP被动模式连接失败的本质是数据连接建立失败，需通过抓包分析PASV响应、SYN/SYN-ACK交互及四类典型断点（内网IP、防火墙未放行、中间网络拦截、服务未监听）精准定位问题。
PHP FTP 被动模式连接失败，本质是数据连接（data connection）建不起来——控制连接（21端口）能通，LIST、RETR、STOR 等操作卡在“等待 PASV 响应”或超时后报 425/10060 错误。此时抓包不是辅助手段，而是定位真因的必要动作。关键不在“有没有包”，而在“包里说了什么、谁没回、哪一步断了”。
抓包前先确认 PASV 流程是否完整触发
很多问题其实根本没走到抓包那步：PHP 脚本可能压根没发 PASV 命令，或服务端拒绝执行。先加两行诊断代码：
$ftp = ftp_connect('your-server.com', 21, 30);
ftp_login($ftp, 'user', 'pass');
ftp_pasv($ftp, true); // 显式启用被动模式，别依赖默认
var_dump(ftp_raw($ftp, 'PASV')); // 打印服务器返回的原始响应，如 ["227 Entering Passive Mode (116,205,45,18,159,122)"]
如果这里返回 false 或空数组，说明控制连接已异常或服务端禁用了 PASV；如果返回 227 响应，就进入抓包环节。
用 tcpdump 抓取关键三段流量
在服务器端执行，过滤 FTP 相关会话，避免干扰：
立即学习“PHP免费学习笔记（深入）”；
- 只抓控制连接 + PASV 响应阶段：`tcpdump -i any -nn port 21 -w ftp-control.pcap` → 看是否发出 227 响应，IP 和端口是否合理
- 针对性抓数据连接尝试：从 227 响应中提取 IP 和端口（如 116.205.45.18:40762），再抓：`tcpdump -i any -nn host 116.205.45.18 and port 40762 -w ftp-data.pcap`
- 对比抓客户端出口流量（如有条件）：在客户端机器上抓 `tcpdump -i any dst host 116.205.45.18 and dst port 40762`，确认请求是否发出
重点看：服务器是否收到 SYN 包？有没有 SYN-ACK 回复？客户端是否收到？ 若服务器没收到 SYN，问题在路由/NAT/安全组；若收到但无回复，大概率是防火墙静默丢包或 Pure-FTPd 未监听该端口。
从抓包结果反推四类典型断点
对照 Wireshark 或 tcpdump 输出，快速归因：
-
227 响应里的 IP 是内网地址（如 192.168.x.x、10.x.x.x） → 客户端必然连不到，直接查
ForcePassiveIP配置是否填了公网 IP - 客户端发了 SYN 到数据端口，服务器无任何响应（无 SYN-ACK，无 RST） → 系统防火墙（firewalld/iptables）或云安全组未放行该端口段
- 服务器发了 SYN-ACK，但客户端收不到 → 中间网络存在策略限制（如企业出口防火墙拦截高位端口、运营商 NAT 失效）
-
客户端发了 SYN，服务器回了 RST → Pure-FTPd 没在该端口监听，检查
PassivePortRange是否配置生效、范围是否与抓包端口匹配、服务是否重启
PHP 层可配合验证的临时绕过方案
抓包确认是服务端 PASV 配置或网络问题后，可在 PHP 中做最小化验证：
- 强制用主动模式测试（仅限内网或客户端可控环境）：
ftp_pasv($ftp, false)—— 若此时 LIST 成功，100% 是被动模式链路问题 - 手动构造数据连接（跳过 PASV）：
$data_socket = fsockopen($pasv_ip, $pasv_port, $errno, $errstr, 10)，验证网络层连通性 - 用
ftp_rawlist()替代ftp_nlist()，避免部分服务对 nlst 的额外校验干扰判断
