这篇是 FileZilla Server 1.x（以 1.12.6 为准） 的常用配置速查文档，按实际部署顺序组织：先认识配置分区，再依次完成用户与目录权限、连接加密、被动模式与防火墙，最后是限速、日志、自动封禁和故障排查。软件本身的介绍与下载见 《FileZilla Server 1.12.6 中文介绍与使用教程：Windows 下免费开源的 FTP / FTPS 服务器》。
一、配置入口与全局规则
服务端以 Windows 服务形式在后台运行，所有配置通过独立的管理界面（Administration Interface）完成。本机连接地址 127.0.0.1、端口 14148，密码是安装时设置的管理密码；若要从另一台电脑远程管理，需在那台机器上安装「Administration only」组件，并在服务端配置里增加相应的监听地址。
主设置窗口从顶部菜单 Server → Configure 打开，用户与组也可从 Server 菜单的 Configure Users / Groups 直接进入。改完配置点 Apply 即时生效，多数项目不需要重启服务。
| 配置分区（1.x） | 管什么 |
|---|---|
| Rights management → Users / Groups | 账号、密码、所属组、可用协议、挂载点、目录权限 |
| Protocol settings → FTP and FTP over TLS (FTPS) | 监听器端口、连接安全（TLS）、被动模式、公网 IP、字符集 |
| Server listeners | 监听地址与端口，显式 / 隐式 FTPS 对应不同监听器 |
| Connection security | 证书、私钥、Let’s Encrypt 自动签发 |
| Speed limits / General settings | 上下行限速、最大连接数、超时、欢迎消息 |
| IP filter / Autoban | IP 黑白名单、连续登录失败自动封禁 |
| Logging | 日志开关、级别与文件位置 |
| Windows Share Credentials | 服务端访问 UNC 网络共享时使用的凭据 |
官方 Wiki 的「Network Configuration」等页面开头明确标注「内容针对旧版、需适配 1.x」。所以遇到老教程里写「Server → Configure → Passive mode」这类路径找不到时，不要怀疑装错了，1.x 已把这些项移到
Protocol settings → FTP and FTP over TLS (FTPS)下面。
二、用户、组与共享目录（最常用的一组配置）
1. 建账号
Rights management → Users → Add，填用户名（不建议用中文或特殊字符开头，历史版本曾出现过因用户名排序字符导致设置界面崩溃的问题，1.10.3 已修复，但保持简单最稳妥）。- 在 Credentials 里选择「要求密码登录」并设置强密码；也可按需启用系统凭据登录。1.10.0 起还能限制该用户允许使用哪些协议登录。
- 确认账号处于启用状态，再点 Apply。
2. 分配目录（挂载点）
FileZilla Server 不直接「共享文件夹」，而是用挂载点把本机真实目录映射成用户看到的虚拟路径。用户只能看到挂载给自己的目录，看不到磁盘上的其他内容。
| 字段 | 填法 | 示例 |
|---|---|---|
| Virtual path | 用户登录后看到的路径；设为 / 即锁定为根目录 |
/ 或 /upload |
| Native path | 服务器上真实的本地目录 | D:\ftp\share 或 UNC 路径 |
| 权限 | 按需要勾选，下载站给只读，收件目录给只写 | 读取 / 写入 / 删除 / 追加 / 创建 / 列目录 / 应用到子目录 |
| 自动建目录 | 本机目录不存在时由服务端创建 | Create native directory if it doesn’t exist |
常用权限组合：
| 场景 | 建议权限 |
|---|---|
| 公共下载（发布文件给大家取） | 读取 + 列目录 + 应用到子目录，不给写入 / 删除 |
| 客户上传 / 收件箱 | 只写（write only）或写入 + 创建，不给读取与列目录，避免互相看到别人的文件 |
| 完整文件管理 | 读取 + 写入 + 删除 + 追加 + 创建 + 列目录，并按需限制到子目录 |
组优先还是用户优先？ 把公共目录挂在组（Groups）上、个人目录挂在用户上，是批量管理最省事的做法。1.12.0 修复过一个优先级颠倒的 bug，现在用户挂载点正确优先于组挂载点；如果你在更老的版本上发现组目录把用户目录盖掉了，升级到 1.12.6 即可。
三、连接加密：FTP over TLS
1.x 安装时会生成自签证书，FTP 监听器默认设为要求显式 FTP over TLS，明文 FTP 登录会被拒绝。在监听器的 Protocol 选项里通常有三种模式：
| 模式 | 含义 | 建议 |
|---|---|---|
| Require explicit FTP over TLS | 强制加密，拒绝明文，仍用 21 端口，客户端先连再发 AUTH TLS | 默认且推荐 |
| Explicit FTP over TLS and insecure plain FTP | 加密与明文都接受，兼容性好但凭据可能明文传输 | 仅供受信任的内网、或必须兼容老旧设备时临时使用 |
| Implicit FTP over TLS (deprecated) | 连接即加密，传统上用 990 端口，已废弃 | 除非对接老系统，否则不要用 |
- 在
Protocol settings → FTP and FTP over TLS (FTPS) → Connection security里查看或替换证书 / 私钥。 - 自签证书会让客户端首次连接弹「不受信任」警告；有域名且 80/443 可达时，可用内置的 Let’s Encrypt 集成自动申请并续期证书，警告即消失。
- 客户端（如 FileZilla Client）站点设置里加密方式必须选「要求显式 FTP over TLS」；用 Windows 资源管理器打开
ftp://...走的是明文 FTP，在默认配置下会失败，属于预期行为。
再次强调：FTPS 不是 SFTP。免费版 FileZilla Server 只支持 FTP / FTPS；SFTP 走 SSH 22 端口，属于付费的 Pro Enterprise Server。客户端选错协议会直接连不上。
四、被动模式与防火墙 / NAT（外网访问的关键）
FTP 用两条连接：21 端口传命令，另一条数据连接传文件列表与文件内容。被动模式下由服务端开一个端口等客户端来连，因此服务器侧必须放行一组端口。默认配置只适用于「服务器直接连公网、防火墙允许所有高端口入站」的情况，家用路由器 / 云主机安全组场景下必须手工配置。
- 进入
Protocol settings → FTP and FTP over TLS (FTPS) → Passive mode。 - 勾选 Use custom port range，填一段端口，例如
50000到51000。官方 Wiki 建议选 50000 以上的端口，范围至少 50 个（TCP 端口释放有延迟，范围太小会导致连续传小文件失败）。 - 服务器在 NAT 路由器后：在 Public IP / custom host 处填公网 IP，或让服务端自动从外部服务获取；固定公网 IP 直接填，动态 IP 建议用自动获取。同时保留「本地连接使用默认主机」一类选项，保证局域网内仍能正常访问。
- 在 Windows 防火墙放行 TCP 21 和这段被动端口；服务器在路由器后，还要把 21 与整段被动端口转发到这台机器的内网 IP。
- 客户端一般只需允许出站连接，不用额外配置。
# 管理员权限 PowerShell：一次放行控制端口与被动端口范围 New-NetFirewallRule -DisplayName "FileZilla Server Control" -Direction Inbound -Protocol TCP -LocalPort 21 -Action Allow New-NetFirewallRule -DisplayName "FileZilla Server Passive" -Direction Inbound -Protocol TCP -LocalPort 50000-51000 -Action Allow
如果按「允许某个程序」而不是「允许端口」的方式配置，务必选 FileZilla server.exe，不是 FileZilla Server Interface.exe——官方 Wiki 反复强调这一点，选错就会出现「能登录但目录列表超时」。
| 端口 | 用途 | 是否必须对外开放 |
|---|---|---|
| 21 / TCP | FTP 控制连接（显式 FTPS 同样用 21） | 必须 |
| 50000–51000 / TCP（示例） | 被动模式数据连接 | 必须，且与服务端设置一致 |
| 990 / TCP | 隐式 FTPS（已废弃） | 仅在启用隐式模式时需要 |
| 20 / TCP | 主动模式数据连接，由服务端主动外连 | 一般不需要入站放行 |
| 14148 / TCP | 管理界面端口 | 不要对公网开放，只在本机 / 内网使用 |
测试陷阱：官方 Wiki 明确说，在局域网内部用公网 IP 测试自己的服务器是不可靠的（路由器可能把这种行为判为攻击并阻断），即使偶尔成功也不能证明外网能连。唯一可靠的办法是从局域网外部的真实网络连一次。另外别把管理端口 14148 映射到公网，管理界面密码一旦暴露，整个服务器配置都可被改。
五、限速、连接数、日志与安全加固
| 设置项 | 作用与建议 |
|---|---|
| Speed limits | 全局或按用户 / 组限制上传下载速度，避免 FTP 传大文件把带宽占满；可按时段设置不同规则 |
| 最大连接数 / 每 IP 连接数 | 限制并发，防止单用户开几十个连接拖垮服务 |
| Timeout（连接 / 登录 / 传输超时） | 踢掉长期挂着的空闲连接；文件大、网络慢时适当放宽传输超时 |
| IP filter | 黑白名单，只允许特定网段访问，适合内网文件服务器 |
| Autoban | 连续登录失败达到阈值后自动临时封禁 IP，可显著降低公网暴力破解噪音 |
| Logging | 开启日志并指定文件位置，排查 530 / 425 类问题时先看服务端日志，比猜快得多 |
| 欢迎消息 / 协议限制 | 可自定义欢迎语，并在 1.10.0 之后按用户限制允许使用的登录协议 |
| 在线会话监控 | 管理界面可查看当前连接与传输，必要时中断会话或封禁该 IP |
六、访问 Windows 网络共享（UNC）目录
服务端默认以 SYSTEM 身份运行，直接把挂载点的 Native path 写成 \\NAS\share 这类 UNC 路径时，常因凭据不足而访问失败。1.11.0 起提供了 Rights Management → Windows Share Credentials，在这里为对应的 UNC 路径配置有权限的账号即可。若只是本机磁盘目录，则不需要这一步，用普通本地路径最稳妥。
另外，如果挂载点指向一个还不存在的目录，可勾选自动创建；1.13.0-beta1 起改为「首次访问时创建」，稳定版 1.12.6 仍按配置即时创建。
七、配置备份与升级
- 改完一轮配置后用管理界面的导出配置功能存一份备份，重装或迁移时可直接导入。1.12.6 正好修复了「配置导出时界面崩溃」的问题，建议至少升到这一版再做导出。
- 静默安装（无人值守升级）从 1.12.1 起会在需要时自动备份配置文件，不必手工干预。
- 升级大版本前先看官方版本历史：1.12.x 里多次修复崩溃与 GnuTLS 安全依赖，服务端暴露在公网时尤其建议保持最新稳定版。
- 不要把 1.13.0-beta1 之类的预发布版用于生产环境，测试版功能（如 Web Client）变化较大。
八、故障排查对照表
| 症状 | 优先检查 | 处理 |
|---|---|---|
| 完全连不上 / 连接超时 | 服务是否运行、21 端口是否放行、云主机安全组 | 启动服务；放行 TCP 21；确认没有只放行了管理界面程序 |
| 530 Login incorrect | 账号、密码、是否启用、凭据类型 | 核对用户名大小写与密码，确认账号启用且启用密码登录 |
| 503 / 提示必须使用 TLS | 客户端加密方式 | 客户端选「要求显式 FTP over TLS」；勿用 Windows 资源管理器的明文 FTP |
| 登录成功但列目录超时 / 425 Can’t open data connection | 被动端口范围、NAT 公网 IP、防火墙与路由器转发 | 放行并转发 50000–51000；填公网 IP 或启用自动获取；从外网复测 |
| 能登录却看不到预期的目录 | 挂载点虚拟路径与 Native path、权限、用户 / 组优先级 | 确认 Virtual path 为 /、目录真实存在、已勾选列目录权限；升级到 1.12.0+ 避免组覆盖用户挂载点 |
| 上传被拒 / 无法删除 | 权限组合 | 按需补写入、删除、创建、追加权限，并确认应用到子目录 |
| 中文文件名乱码 | 字符集设置 | 客户端强制 UTF-8（OPTS UTF8 ON），核对服务端字符集配置 |
| 首次连接弹证书警告 | 自签证书 | 信任该证书，或用 Let’s Encrypt 集成换成受信任证书 |
| UNC 网络共享访问失败 | 服务运行身份与共享凭据 | 在 Windows Share Credentials 补凭据，或改用本地路径 |
| 改了配置没生效 | 是否 Apply、是否改到了别的监听器 | 点 Apply；1.x 支持多监听器，确认改的是客户端实际连接的那个 |
九、上线前检查清单
- 管理密码已改强，管理端口 14148 未对公网开放。
- 每个用户只挂载了必要的目录，权限按最小原则设置。
- 监听器保持强制显式 FTP over TLS，未为了「方便」全局放开明文 FTP。
- 被动端口范围与防火墙、路由器、云安全组三处配置一致。
- 已从局域网外部真实连接并成功上传、下载、列目录各一次。
- 日志开启、自动封禁已配置，配置已导出备份。
小结
FileZilla Server 的配置其实围绕三件事：谁能来（用户与组）、能看到什么（挂载点与权限）、怎么连得上（TLS + 被动端口 + 防火墙 / NAT）。前两件在 Rights management 里一次配好即可长期不动，最容易反复出问题的是第三件。按本文第四节把端口和公网 IP 配齐、再从外网实测一次，绝大多数「能登录但列不出目录」的问题都能一次解决。
参考与下载：官方下载页（1.12.6）｜官方版本历史｜官方 Wiki：Network Configuration｜官方源码入口。汉化与网盘镜像见本站介绍篇。
