公司很多资料需要通过ftp上传，那么就需要配置一个FTP服务器，找了一台Windows服务器捣鼓，开始按网上教程自己配置特别麻烦，何西西说用Filezilla比较方便，就去Filezilla官网下载了Filezilla Server，本来以为会很轻松搞定，没想到还是碰到一堆坑，记录下来方便以后查阅。

服务器：Windows Web Server 2008 R2，64位

坑1：安装Filezilla Server报错 "could not load TLS network. Aborting start of administration interface"

原因：根据这个Filezilla Forums里这个帖子https://forum.filezilla-project.org/viewtopic.php"FTP over TLS is not enabled, users cannot securely"

原因：未启用TLS模式。

出坑：

打开Settings

选FTP over TLS settings，勾选Enable FTP over TLS support，然后点击中间Generate new certificate...按钮

空白处都可以随便填，注意Common name (Server address)那里填127.0.0.1就行了，下面给密钥和证书选一个保存的位置，然后点最下方Generate certificate

然后在Key password填个密钥密码，随便填一个用不到的，最后点击左下OK，再打开Filezilla就不会有错误提示啦~~

上面两个坑解决以后，就可以按照网上各种教程添加用户，分配文件夹访问权限了，基本配置参考《FileZilla怎么用 FileZilla配置FTP服务图文详解》，Settings里每一项的具体作用参考《免费ftp服务器FileZilla Server配置》，大部分都默认设置就行了。

坑3：服务器本地可以访问FTP，其他机器访问连输用户名和密码的界面都弹不出

原因：防火墙封住了服务器上FTP的入站端口，这种情况下Filezilla里连有人请求连接的信息都看不到。

出坑：

打开“高级安全Windows防火墙”

右击“入站规则”，点击“新建规则”

选择“端口”，选择“TCP”，输入FTP端口，如果之前配置Filezilla时没有改过，就用默认端口21

后面就选“允许链接”，所有时候都应用该规则，最后给这条规则命名如FTP Default Port，再用其他机器访问FTP就能弹出输入用户名和密码的窗口了，Filezilla里也能看到连接的信息啦~

坑4：服务器本地可以访问FTP，其他机器输入用户名和密码后提示“打开ftp服务器上的文件夹时发生错误，请检查是否有权限”

原因：这个坑博主把上面那条提示放到百度里，也没搜到什么靠谱的解决办法，然后想着装一个Filezilla Client，用Client访问FTP是不是能看到什么错误代码，果然找到了错误 代码"425 Can't open data connection."，从stackoverflow上搜到这个解决办法《Setup FileZilla Server Passive Ports on Windows Server 2012》。大概是说FTP的客户端默认以Passive mode（被动模式，博文最后解释了FTP的主动模式和被动模式）连接服务器，Filezilla会随机打开1-65535之间的一个端口，导致这个错误的原因就是，防火墙封住了Passive mode的端口。

出坑：

在Passive mode settings里勾选Use custom port range，如果让防火墙对1-65535端口全部开放有些危险，所以先在这里限定好端口范围

然后重复坑3在入站规则里打开21端口的过程，打开限定好的Passive mode端口范围，唯一的不同就是在下面这里输入50100-51100，给这条规则命名如FileZilla - Passive FTP Ports，再用其他机器访问就没有任何阻碍啦~

至此，Filezilla配置过程中的所有坑都跳出来了，这里再补充两个小知识和一个小技巧：

1. 防火墙的入站规则和出站规则

下面是从网上copy下来的一段解释，对于FTP服务器来说，只涉及外网访问服务器，不涉及服务器访问外网，所以上面坑3和坑4都是在防火墙的入站规则里打开端口，没有修改出站规则。

出站就是你访问外网，入站就是外网访问你，用户可以创建入站和出站规则，从而阻挡或者允许特定程序或者端口进行连接。用户可以使用预先设置的规则，也可以创建自定义规则，可以将规则应用于一组程序、端口或者服务，也可 以将规则应用于所有程序或者某个特定程序；可以阻挡某个软件进行所有连接、允许所有连接，或者只允许安全连接，并要求使用加密来保护通过该连接发送的数据 的安全性；可以为入站和出站流量配置源IP地址及目的地IP地址，同样还可以为源TCP和UDP端口及目的地TCP和UPD端口配置规则。

2.FTP的主动模式和被动模式

FTP连接包括两类通道：一个控制连接（命令联系通道），几个数据连接（资料联系通道）。前者用于传递客户端的命令和服务器端对命令的响应，默认使用服务器的21端口，生存期是整个FTP会话时间。后者用于传输文件和其它数据，如目录列表等，只在需要数据传输时建立，而一旦数据传输完毕就关闭，每次使用的端口也不一定相同，根据数据连接是否由服务器发起，可以分为主动模式和被动模式。

《关于ftp的主动模式(Active Mode)和被动模式(Passive Mode)》里解释得比较清楚，FTP协议是建立在TCP协议基础上的，所以客户端与服务器的每次交互都要经过三次握手，通过两张图可以区分这两种模式：

主动模式：客户端端利用>1024的任意端口发起与服务器21端口建立连接，建立“命令联系通道”，如果要发生资料传输，通过21告知服务器端口（如1333）并 开始listen，服务器利用20端口向客户端的1333端口发起连接，建立“资料联系通道”。由于“资料联系通道”是由服务器主动建立的（图中步骤6），所以称作主动模式。

被动模式：建立“命令联系通道”的方式和主动模式基本一样，也是连接先连接服务器的21端口。但是如果需要传输资料，客户端会送出PASV指令，告诉服务器要利用被动模式建立“资料联系通道”，然后服务器会打开一个端口并开始listen，并把这个端口通过“命令联系通道”告知客户端，客户端再打开一个端口，与服务器建立“资料连接通道”。由于“资料连接通道”是由服务器被动建立的，所以称作被动模式。

3.取消FTP的自动登录

有时候我们访问某个FTP时可能设置了保存密码，之后每次访问那个FTP，都会默认通过之前的用户名和密码登录。为了安全起见不让它再自动登录，或者FTP设置了不同权限的用户，我们想通过其他用户名登录，可以在已进入的目录空白处右击，选择“登录”，弹出的窗口里把“保存密码”选项取消掉就可以了，在这个窗口里也可以输入其他用户名及密码，就是通过其他身份访问FTP了。