Linux FileZilla 防火墙规则配置指南
前置说明
- FileZilla 是客户端，本身不提供防火墙配置功能；需要在操作系统层面放行相应端口与连接状态。
- 若你使用的是 FileZilla Server（服务器端），需在服务器放行 21/TCP（控制连接） 与配置的 被动模式数据端口范围；若是 Linux 上的 FileZilla 客户端 连接外部 FTP，则需在客户端所在机器的防火墙放行出站连接到目标 FTP 的端口（或临时停用防火墙测试）。
常见防火墙工具配置
- firewalld（推荐于 CentOS/RHEL/Fedora）
- 放行控制端口与被动端口范围（示例范围：50100–52100/TCP）：
- sudo firewall-cmd --permanent --add-port=21/tcp
- sudo firewall-cmd --permanent --add-port=50100-52100/tcp
- sudo firewall-cmd --reload
- sudo firewall-cmd --list-all
- 说明：被动端口范围需在服务器端（如 vsftpd、FileZilla Server）与防火墙保持一致。
- UFW（Ubuntu/Debian）
- 放行控制端口与被动端口范围（示例范围：30000–31000/TCP）：
- sudo ufw allow 21/tcp
- sudo ufw allow 30000:31000/tcp
- sudo ufw reload 或 sudo ufw enable
- sudo ufw status
- iptables（通用）
- 放行控制端口与被动端口范围（示例范围：49152–65535/TCP）：
- sudo iptables -A INPUT -p tcp --dport 21 -j ACCEPT
- sudo iptables -A INPUT -p tcp --dport 49152:65535 -j ACCEPT
- 保存规则（发行版不同，二选一或等效方式）：
- Debian/Ubuntu：sudo iptables-save > /etc/iptables/rules.v4
- RHEL/CentOS：sudo service iptables save 或 iptables-save > /etc/sysconfig/iptables
- 提示：若使用较新的 nftables 前端，请改用 nft 对应语法。
FTP 模式与端口范围要点
- 主动模式（PORT）：服务器从 20/TCP 主动连接到客户端高位端口；需在服务器侧放行 20/TCP 出站，客户端侧通常无需额外入站规则（但企业/云环境可能有出站限制）。
- 被动模式（PASV）：客户端连接到服务器配置的被动端口范围；需在服务器与防火墙同时放行该范围（如 30000–31000 或 50100–52100 等），并在 FTP 服务器配置中设置一致的范围。
- 端口范围建议：避免使用过宽范围；常见做法为 30000–31000、49152–65535 或自定义如 50100–52100，务必与服务器配置一致。
快速验证与故障排查
- 端口连通性测试（在客户端或服务器上）：
- telnet 目标IP 21
- nc -vz 目标IP 21
- 查看防火墙状态与规则：
- firewalld：sudo firewall-cmd --list-all
- ufw：sudo ufw status
- iptables：sudo iptables -L -n
- 抓包定位（服务器端）：sudo tcpdump -ni any ‘tcp port 21 or (tcp portrange 30000-31000 or 49152-65535)’
- 若仍失败：核对 FTP 服务器（或 FileZilla Server）的 PASV 端口范围、云安全组/本机防火墙是否一致，并优先测试被动模式。
更安全的替代方案
- 在不依赖 FTP 的场景，优先使用 SFTP（基于 SSH，默认端口 22/TCP），通常只需放行 22/TCP，且具备更好的加密与穿透性：
- firewalld：sudo firewall-cmd --permanent --add-service=ssh && sudo firewall-cmd --reload
- ufw：sudo ufw allow 22/tcp
- iptables：sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT。