Linux系统下FileZilla的防火墙设置指南

Linux下FileZilla防火墙设置指南

一 场景与原则

• FileZilla 是跨平台的 FTP/SFTP 客户端，本身不提供防火墙配置功能；在 Linux 上需通过系统防火墙放行相应端口与协议。常见场景包括：在 Linux 上用 FileZilla 客户端连接外部 SFTP(22/TCP) 或 FTP(21/TCP) 服务器；以及在 Linux 上部署 FileZilla Server 时被其他客户端访问。请先明确角色（客户端还是服务器端）与所用协议（SFTP 还是 FTP），再按下方对应步骤放行端口。

二 使用 firewalld 放行端口

• 适用于 CentOS/RHEL/Fedora 等默认使用 firewalld 的系统。
• 基本操作
  • 启动并持久化：sudo systemctl start firewalld && sudo systemctl enable firewalld
  • 查看状态与规则：sudo firewall-cmd --state；sudo firewall-cmd --list-all
• 放行 SFTP（推荐）
  • 放行 22/TCP：sudo firewall-cmd --permanent --add-port=22/tcp && sudo firewall-cmd --reload
• 放行 FTP（主动/被动均需放行控制端口）
  • 放行 21/TCP（控制连接）：sudo firewall-cmd --permanent --add-port=21/tcp
  • 被动模式需额外放行一段数据端口范围（示例为 50100–52100/TCP）：sudo firewall-cmd --permanent --add-port=50100-52100/tcp
  • 应用：sudo firewall-cmd --reload
  • 说明：若修改了 FileZilla Server 的被动端口范围，请同步调整防火墙端口范围。

三 使用 UFW 放行端口

• 适用于 Ubuntu/Debian 等使用 UFW 的系统。
• 基本操作
  • 启用：sudo ufw enable
  • 默认策略：sudo ufw default deny incoming；sudo ufw default allow outgoing
  • 状态与规则：sudo ufw status；sudo ufw status verbose
• 放行端口
  • SFTP：sudo ufw allow 22/tcp
  • FTP：sudo ufw allow 21/tcp；如为被动模式，放行所选端口段（示例）：sudo ufw allow 50100:52100/tcp
• 提示：UFW 规则即时生效，修改后无需额外重载命令。

四 使用 iptables 放行端口

• 适用于使用 iptables 的系统（部分发行版或容器环境）。
• 基本操作
  • 查看规则：sudo iptables -L -n -v
  • 放行端口
    • SFTP：sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
    • FTP 控制：sudo iptables -A INPUT -p tcp --dport 21 -j ACCEPT
    • FTP 被动数据端口段（示例）：sudo iptables -A INPUT -p tcp --dport 50100:52100 -j ACCEPT
  • 保存规则（发行版不同路径可能不同）
    • Debian/Ubuntu：sudo iptables-save | sudo tee /etc/iptables/rules.v4
    • RHEL/CentOS 7 以前常用：sudo service iptables save（或保存到自定义文件后手动恢复）
• 提示：若系统同时运行 firewalld/ufw，请避免规则冲突，建议只保留一种防火墙管理工具。

五 验证与常见问题

• 连通性验证
  • FTP 控制通道：nc -vz <服务器IP或域名> 21 或 telnet <服务器IP或域名> 21
  • SFTP：ssh <用户名>@<服务器IP或域名> -p 22（能登录即表明 22/TCP 可达）
  • 被动端口段：可对范围内的任一端口测试（示例）：nc -vz <服务器IP或域名> 50100
• 常见问题与处理
  • 使用 FTP 被动模式时，除 21/TCP 外，务必放行服务器配置的被动端口范围；否则列表/传输会卡在“正在建立数据连接”。
  • 云服务器需同时在 云安全组/NACL 放行对应端口（如 22/TCP 或 21/TCP + 被动端口段）。
  • 若使用 SFTP，仅需放行 22/TCP，无需配置 FTP 被动端口段。
  • 修改 FileZilla Server 的被动端口范围后，需同步更新防火墙规则并重启服务或重载防火墙。
  • 如需限制来源，可在 firewalld 使用 zone 与 –add-source 或在 UFW/iptables 中按源地址限制。