FTP连不上八成是被动模式端口未通：需同步配置Pure-FTPd的PassivePortRange与forcepassiveip，放行系统防火墙及云安全组对应端口段（如30000-40000），并重启服务。
FTP连不上，八成是被动模式端口没通——不是FTP服务没启，也不是账号密码错，而是数据通道根本建不起来。
确认 Pure-FTPd 的 PassivePortRange 是否启用且合理
Pure-FTPd 默认不开被动端口范围，或只留默认注释行，客户端能登录控制连接（21端口），但一传文件就卡住、超时、报 425 Can't open data connection。
- 进宝塔【软件商店】→ 找到已安装的
Pure-FTPd→ 【设置】→ 【配置修改】 - 搜索
PassivePortRange，确保这行没被#注释，且格式为两个数字空格分隔，例如：30000 50000（不能写成30000-50000或带单位） - 范围不宜过小（如仅开 10 个端口易冲突），也不宜过大（如 10000–65535 可能触发云平台限制）；推荐
30000 40000或35000 45000 - 改完必须点【保存】再点【重启】，否则配置不加载
检查 forcepassiveip 是否指向公网 IP
客户端在 PASV 模式下收到服务器返回的 IP+端口后，会直连该地址建数据通道。如果这里填的是内网 IP（如 192.168.0.1），外网用户必然连不通。
- 仍在同一【配置修改】页，搜索
forcepassiveip（通常在 188 行附近） - 去掉开头的
#，把后面值改成你服务器的**真实公网 IP**（不是内网、不是 127.0.0.1、不是域名） - 若服务器在 NAT 后（如家用宽带、部分云厂商子网），且无固定公网 IP，此选项应留空或设为
0.0.0.0（部分版本支持），但更稳妥的做法是确保有公网 IP 并正确填写 - 同样需保存 + 重启
firewalld / iptables 必须放行被动端口段
即使 Pure-FTPd 配好了，Linux 自带防火墙仍会丢弃 30000–40000 范围的入站 TCP 包，导致数据连接被静默拒绝。
- 先查防火墙状态：
systemctl status firewalld（active 表示启用）或iptables -L -n | head - firewalld 用户执行：
firewall-cmd --permanent --add-port=30000-40000/tcp，再firewall-cmd --reload - iptables 用户执行：
iptables -I INPUT -p tcp --dport 30000:40000 -j ACCEPT，然后持久化（CentOS 7+：iptables-save > /etc/sysconfig/iptables） - 别漏掉控制端口：
21和20也要放行（虽然现代 FTP 客户端多用 PORT/PASV，但部分旧工具或脚本仍依赖 20）
云服务器安全组规则必须显式添加被动端口段
这是最常被忽略的一环：阿里云/腾讯云/华为云的安全组，和系统防火墙完全独立。就算本地 firewalld 全放行，安全组没开 30000–40000，外网流量根本到不了你的服务器网卡。
- 登录云厂商控制台 → 找到对应 ECS 实例 → 进入绑定的安全组 → 【配置规则】
- 新增入方向规则：协议类型选
TCP，端口范围填30000/40000（注意是斜杠/，不是短横-，腾讯云等界面明确要求此格式） - 同时补上
20/21端口规则（类型同为 TCP） - 规则生效无需重启服务器，但建议等 1–2 分钟再测试
真正麻烦的点不在某一步做错，而在于四个地方要全部对齐：Pure-FTPd 配置里的端口范围、forcepassiveip 值、系统防火墙规则、云安全组规则——任意一个写错数字、用错符号（比如 - 写成 / 或反之）、忘了重启服务或重载规则，都会让 FTP 卡在“能登录但传不了文件”这个状态。
