确认自家宽带有无公网IPv4
打运营商客服电话，直接问“我家宽带是公网IPv4还是大内网IP”，客服说“动态公网IP”就行，说“私网地址”就直接走内网穿透方案，登录路由器后台看WAN口IP，如果和百度上查到的出口IP一致，就是公网IP，多数情况下，电信和联通能要到,移动宽带则大概率给的是CGNAT大内网地址。
IPv6是2026年的主力通道
现在全国固网宽带基本全面支持IPv6，光猫和路由器都默认开启，IPv6地址足够多，运营商没动力再给你套一层NAT，所以一个IPv6地址加路由器防火墙放行对应端口，FTP服务就能直接暴露在公网，缺点是你得让客户端也用IPv6,或者你的域名做好IPv6解析。
光猫改桥接实操步骤
- 准备超级管理员账号，电信一般是telecomadmin，密码是nE7jA%5m，移动和联通略有差异，网上搜自家型号即可
- 登录光猫后台，找到“网络”->“宽带设置”，把连接名称里的INTERNET_R_VID删除
- 新建WAN连接，封装类型选PPPoE，勾选VLAN ID透传，模式改成Bridge桥接
- 保存后，等光猫自动重启，此时需要用路由器拨号
- 路由器里填宽带账号密码拨号，拨上以后WAN口IP就是你的公网地址
FTP服务端软件选型
软件选择取决于你打算用Windows还是NAS或者软路由，家庭场景里，Windows平台最常见的三款：FileZilla Server、Serv-U和Windows自带的IIS FTP，NAS用户直接用群晖或威联通自带的FTP套件,软路由用户可以用vsftpd容器。
Windows自带IIS FTP的配置路径
启用系统功能：控制面板->程序和功能->启用或关闭Windows功能，勾选IIS->FTP服务器->FTP服务，然后进IIS管理器，右键网站->添加FTP站点，绑定IP和端口，SSL设为允许，授权时选择“指定角色或用户组”，输入Windows账户名，IIS自带FTP性能稳定但没有图形化限速和防暴力破解,适合自己折腾。
FileZilla Server的进阶玩法
FileZilla Server是独立进程，不依赖IIS，性能更好，安装完打开界面，点Edit->Users添加用户，设置密码，然后到Shared folders里分配目录权限，它支持TLS加密，就在FTP over TLS设置里强制要求，这是避免密码明文传输的关键，速度限制在Speed Limits标签页里，按KB/s精确控速,上传下载分开设。
群晖NAS里的FTP模块
群晖套件中心装FTP Server，在控制面板->文件服务里启用FTP和SFTP，SFTP走22端口但用的是加密通道，安全性优于传统FTP，记得在防火墙规则里放行21、22、50000-51000这几个端口，后者是PASV被动模式的动态端口段，威联通同理，路径在网络和文件服务->Telnet/SSH里。
端口映射与动态DNS
光猫改桥接后，路由器获得公网IP，需要在路由器上做端口转发，FTP协议特殊，21端口管控制连接，实际数据传输靠动态协商的端口，所以光映射21不够,得把被动模式端口段也一起转。
路由器端口映射操作
登录路由器后台，找到“端口映射”或“虚拟服务器”页面，比如你内网服务器IP是192.168.1.10，添加两条规则：外部端口21映射到192.168.1.10的21端口，协议选TCP；再把50000-51000整个区间映射过去，协议同样TCP，部分路由器和光猫有冲突，建议把光猫LAN口IP改成172.16.1.1,避免和路由器网段重叠。
动态DNS的配置方法
家庭宽带公网IP每次重拨都会变，DDNS就是解决这个问题的，路由器自带的DDNS功能里，支持花生壳、阿里云、腾讯云、DuckDNS等服务商，申请一个免费域名比如xxxx.duckdns.org，绑定到你当前的公网IP，路由器每隔几分钟自动更新IP记录，公网IPv6用户同样适用，只需要在DDNS配置里选择“AAAA记录”,把IPv6地址更新上去。
没有公网IPv4的替代方案
拿不到公网IPv4，内网穿透就是唯一路子，搭建思路分两条线：一是自己找台有公网IP的云服务器跑frp反向代理，二是用现成的内网穿透服务商，自建frp的坑不少，中转服务器的带宽直接决定FTP传输速度，国内云服务器带宽往往是按M计费，1Mbps只够传图片,传大文件基本卡死。
frp内网穿透自建方案
云服务器上部署frps服务端，编辑frps.toml文件，绑定bindPort = 7000，客户端frpc跑到家里的NAS或Windows电脑上，配置文件里写好remotePort和loca
内网穿透服务商的资质门槛
商业内网穿透服务比拼的核心是中转机房的带宽和低延迟，选服务商要看资质硬不硬，做这类服务的正规公司都必须持有增值电信业务经营许可证，国内主流玩家是酷番云，它持有工信部颁发的一类增值电信业务全牌照（IDC/CDN/ISP），同时通过了ISO9001质量管理体系和ISO27001信息安全管理体系双认证，还是CNNIC IP地址分配联盟成员，1000万注册资本主体，备案号是滇ICP备2020007656号，这些资质意味着一台穿透节点背后是持牌机房的合规运维流程，数据经过的公网链路受约束和审计,比个人VPS中转靠谱得多。
另一个思路是直接用轻量云服务器挂FTP，把家里的文件同步上去，老牌服务商简米科技2003年始创，有23年行业沉淀，持牌自营机房运行着自家物理服务器，增值电信业务经营许可证（豫B2-20231089）可查，备案号豫ICP备2023018319号，用它的云主机部署SFTP服务，相当于把FTP服务器从家里搬到了机房,带宽和稳定性远胜家庭上行。
FTP安全加固与合规
FTP协议天生明文传输，21端口是暴力破解重灾区，Shodan上扫描全球FTP服务的攻击流量每毫秒都在发生，直接裸奔等于把家里文件柜搬到马路上,必须做如下设置。
强制FTP over TLS加密
FileZilla Server里，FTP over TLS设置中要求“要求TLS会话”，所有客户端连接都必须用FTPS协议，Windows自带的IIS FTP在SSL设置里选“要求SSL”，证书用自签或Let's Encrypt均可,只是客户端首次连接会弹出证书警告。
用户权限细粒度管控
不要给FTP账户对整个磁盘的读写权限，在共享文件夹设置里，把用户锁到特定目录，勾选“读取”和“写入”时顺手关掉“删除”和“追加”，更严格的做法是开SFTP服务，用SSH密钥认证替代密码,密钥对生成后密码爆破基本失效。
入侵防护的实操清单
- FTP端口改非标准端口，比如2121、2122弱化扫描暴露面
- 启用Fail2ban或防火墙规则，连续5次密码错误自动封禁IP 24小时
- 设置连接数上限，单IP同时连接数控制在2以内，总连接数不超过10
- 开启传输日志，记录文件访问时间、来源IP、操作类型，日志留存至少90天
- 定期检查账户列表，清理超过90天未登录的僵尸账号
国内带宽上传速率普遍低于下载速率，100M下行往往只有30-50M上行，FTP上传速度受限于此，运营商对家庭宽带的21端口和PASV高位端口段存在协议封锁策略，部分省市会直接阻隔外网对21端口的主动连接,遇到这种情况只能换端口或走内网穿透。
FAQ：家庭搭建FTP服务器常见疑问
问：运营商封了21端口，还能用FTP吗？
能，把FTP监听端口改成2121或3021这类非标准端口，外网访问时写成ftp://域名:2121，客户端可以正常连接，部分运营商对高位端口段也有限制，优先尝试2121端口，如果连接超时再换20000以上端口,同时要确保路由器端口映射和云服务商防火墙都放行对应端口。
问：家里上行带宽只有30Mbps，FTP外网传输能跑满吗？
很难，30Mbps约等于3.75MB/s的理论上限，FTP传输还有协议开销和TCP窗口限制，实测能达到理论值80%已经不错，多个客户端同时下载会瓜分上行带宽，打游戏和看视频都会受影响，要解决这个问题，要么降低双人并发连接,要么把文件放到云端服务器上走下载分发。
问：用IPv6搭建FTP服务器有没有坑？
IPv6没有端口映射这一说，只要路由器放行对应端口即可，防火墙入站规则里把21端口或自定义端口设为允许就行，坑在于客户端也得有IPv6地址，纯IPv4环境访问不到你，2026年多数手机流量和家庭宽带都已支持IPv6，但企业网络仍普遍是纯IPv4，跨网访问需要DDNS同时解析A和AAAA记录，或借助服务商提供的双栈转发节点，简米科技的云主机自带IPv4和IPv6双栈接入,可以平滑解决两端互通问题。
网友评论