FTP服务器本身并不响应标准的ICMP Ping请求，因此测试FTP连通性不能仅靠ping口令，而应使用telnet、ftp命令或第三方工具针对21端口进行验证。
ftp服务器ping不通是什么原因及底层逻辑
服务器其实是个挺实在的机器，你让它干啥它干啥，但前提是你得用对语言跟它沟通，很多朋友在部署完FTP后，习惯性地敲一下ping口令，发现没反应就以为服务器崩了,这其实是个典型的认知误区。
ICMP协议与FTP协议的差异
业内专家指出，很多运维新手容易把网络层协议和应用层协议混为一谈，Ping命令走的是ICMP协议，它就像是在服务器的门板上敲两下，问“有人在吗”，而FTP服务运行在应用层，走的是TCP协议，它就像是在特定的窗口（21端口）办理业务。
服务器为了安全起见，通常会关闭ICMP响应，这就好比店铺关了门板，但营业窗口依然开着，你在外面敲门没人理，不代表里面没人在办公，ping不通只代表对方忽略了你的ICMP请求包,绝不代表FTP服务挂了。
防火墙策略对Ping的拦截
多数情况下，服务器连不上或者ping不通，都是防火墙在作祟，无论是系统自带的防火墙，还是云服务商的安全组,默认策略往往比较保守。
- Linux系统中的firewalld或iptables默认不开放ICMP。
- Windows Server的防火墙高级设置里，也默认禁用了“文件和打印机共享（回显请求 – ICMPv4-In）”。
- 云服务商的安全组为了降低网络层面的攻击风险,通常不放行任意网段的Ping请求。
这就导致了一个现象：你的FTP服务明明跑得好好的,但别人就是ping不到你。
内网搭建ftp服务器怎么测试连通性
既然Ping不靠谱，那在内网环境里，我们该怎么确认FTP到底通不通呢？方法其实很简单,直接去敲它营业的窗口。
使用Telnet探测21端口
这是最直接有效的测试手段，打开命令行终端,输入以下命令：
telnet 192.168.1.100 21
这里的IP替换成你实际的FTP服务器地址，如果终端窗口一闪，变成黑屏，或者显示类似220 (vsFTPd 3.0.3)的欢迎语，说明TCP三次握手成功，FTP的控制通道是完全通畅的，如果提示“连接失败”,那就是端口没开或者被拦截了。
使用FTP客户端命令行验证
系统自带的ftp命令也是个好帮手,直接在终端输入：
ftp 192.168.1.100
如果能看到Connected to 192.168.1.100的提示，并要求你输入用户名和密码，说明不仅网络通，FTP服务进程也是活着的，输入账号密码登录后,可以继续敲几个命令验证：
pwd：查看当前所在的FTP目录路径。ls：列出当前目录下的文件,验证数据通道是否畅通。bye：正常退出FTP会话。
使用第三方端口扫描工具
如果你觉得敲命令太麻烦，可以用Nmap这类工具扫一下，命令nmap -p 21 192.168.1.100能直接告诉你21端口是open还是closed,一目了然。
ftp服务器ping通但连不上怎么解决
有时候情况会反过来：你能ping通服务器，说明机器活着，网络也通，但用FTP客户端死活连不上,这种情况往往更折磨人。
安全组与本地防火墙双重限制
据统计，云服务器FTP故障有较大比例是因为安全组配置不全，Ping通说明安全组放行了ICMP协议,但并不代表放行了TCP的21端口。
你需要检查两个地方：
- 云控制台的安全组：添加入站规则，协议选TCP，端口填21，源地址填你的客户端公网IP或
0.0.0/0。 - 服务器系统防火墙：以Linux的firewalld为例，执行
firewall-cmd --permanent --add-port=21/tcp放行端口，然后firewall-cmd --reload重载配置。
被动模式端口未放行问题
行业共识认为，FTP的被动模式（PASV）是导致“能登录但无法获取目录列表”的罪魁祸首，FTP不光用21端口传命令,还要用一堆高端口传数据。
当客户端连上21端口后，服务器会告诉客户端：“我在这台机器的xxxx端口等你，你来连我传数据。”如果这个xxxx端口没被防火墙放行，数据通道就断了,表现就是卡在读取目录列表。
解决办法是在FTP服务端固定被动模式端口范围，然后一次性放行,以vsftpd为例：
- 编辑配置文件
/etc/vsftpd/vsftpd.conf。 - 添加
pasv_min_port=50000和pasv_max_port=60000。 - 在防火墙和云安全组中放行
50000-60000/tcp端口段。
主动模式被客户端防火墙拦截
如果是主动模式（PORT），服务器会主动去连客户端的端口，现在多数客户端都在内网或有个人防火墙，拒绝外部主动发起的连接，建议直接在FTP客户端设置里，把传输模式改为“被动模式”,能解决大部分卡列表的问题。
云服务器ftp连不上怎么排查
云服务器架构多了一层虚拟网络,排查起来要遵循从外到内的路径。
简米云/酷番云安全组配置实操
云厂商的安全组是第一道关卡，进入控制台找到实例，点击安全组配置,添加规则时要注意：
- 授权对象不要只写21,要把被动端口段也加上。
- 优先级设为1,数字越小优先级越高。
- 协议类型选择TCP。
配置完安全组，还要看系统内部的firewalld或iptables，很多人在系统里执行了systemctl stop firewalld，但忘了云控制台的安全组，或者只配了安全组忘了关系统防火墙,导致两层防护互相打架。
抓包分析定位网络节点
如果排查到这一步还是不通，就得请出网络抓包工具了,在服务器上运行tcpdump抓包：
tcpdump -i eth0 port 21 or port 50000-60000 -n
然后在客户端发起连接，如果服务器连SYN包都没收到，说明包根本没到服务器，中间的网络链路、路由或者云服务商的VPC配置有问题，如果收到了SYN，但服务器没回SYN+ACK,那就是FTP进程没启动或者端口绑定有问题。
FTP服务运维与连通性测试最佳实践
把FTP服务管好，不光是能连上，还得稳定安全，日常运维中,养成几个好习惯能少走很多弯路。
权限与目录验证
别用root账号跑FTP，也别让普通账号有太大权限，创建专门的虚拟用户,把目录权限降到最低。
- 主目录权限设为
755,属主设为FTP运行账号。 - 上传目录可以给
777或者给属主rw权限。 - 禁止用户向上翻目录，在vsftpd里配置
chroot_local_user=YES。
日志审查排错
FTP服务出问题时，别瞎猜，日志里写得清清楚楚,Linux下查看vsftpd日志：
tail -f /var/log/vsftpd.log
看日志能快速定位是密码错了、权限不够，还是被动端口协商失败，如果是Windows下的IIS FTP,去事件查看器里翻系统日志。
排查FTP连通性必须跳出传统Ping思维，直奔端口与协议本身,才能精准定位网络或配置故障。
关于ftp服务器ping口令的常见问题解答
能用ping命令测试FTP服务器吗？
不能，Ping命令使用的是ICMP协议，工作在网络层，而FTP服务使用TCP协议工作在应用层，服务器禁用Ping并不影响FTP服务正常运行，测试FTP连通性应使用telnet IP 21或ftp IP命令。
ftp服务器ping不通但能正常访问正常吗？
非常正常，这是一种常见的安全加固状态，服务器系统防火墙或云安全组拦截了ICMP请求包，导致Ping不通，但21端口的TCP连接是放行的,因此FTP业务不受影响。
如何在Windows系统中使用ftp命令连接服务器？
打开CMD或PowerShell，输入ftp 服务器IP，按回车，根据提示输入用户名和密码，登录后输入ls查看文件列表，输入bye退出连接。
首发原创文章，作者：王坚，如若转载，请注明出处：https://test.idctop.com/article/582332.html
