如何为被动模式 FTP 服务器配置 Windows 防火墙
由于 FTP 工作方式所致，在防火墙后的服务器上使用文件传输协议 (FTP) 服务会产生一系列的挑战。通过打开到 TCP 端口号 21 的“命令通道”连接，标准模式 FTP 客户端会启动到服务器的会话。客户端通过将 PORT 命令发送到服务器请求文件传输。然后，服务器会尝试启动返回到 TCP 端口号 20 上客户端的“数据通道”连接。客户端上运行的典型防火墙将来自服务器的此数据通道连接请求视为未经请求，并会丢弃数据包，从而导致文件传输失败。Windows Vista 和 Windows Server 2008 中的 高级安全 Windows 防火墙 支持有状态 FTP，该 FTP 允许将端口 20 上的入站连接请求与来自客户端的先前出站 PORT 命令相匹配。但是，如果您通过 SSL 使用 FTP 来加密和保护 FTP 通信，则防火墙不再能够检查来自服务器的入站连接请求，并且这些请求会被阻止。
为了避免此问题，FTP 还支持“被动”操作模式，客户端在该模式下启动数据通道连接。客户端未使用 PORT 命令，而是在命令通道上发送 PASV 命令。服务器使用 TCP 端口号进行响应，客户端应连接到该端口号来建立数据通道。默认情况下，服务器使用极短范围（1025 到 5000）内的可用端口。为了更好保护服务器的安全，您可以限制 FTP 服务使用的端口范围，然后创建一个防火墙规则：仅在那些允许的端口号上进行 FTP 通信。
PASV方式设置：
所有FTP服务器软件都支持PORT方式。大部分FTP服务器软件PORT方式和PASV方式都支持。Serv-U默认配置下两种方式都支持。如果要关闭PASV方式，请打开Serv-U，进入 Domains -> user.dns0755.net -> Settings -> Advanced -> 把“Allow passive mode data transfers”前面的钩去掉。
PASV方式与防火墙的问题：
如果安装了防火墙，需要在防火墙上打开一些端口给FTP的PASV模式使用，否则使用PASV模式无法登录。在 Serv-U的Local Server -> Settings -> Advanced -> PASV port range里，填入给PASV模式使用的本地端口范围，如60000-60020。如果使用Win 9x/Me，请把端口范围限制在5个以内，如果使用Win NT/2000/XP/2003，请把端口范围限制在20个以内。之后，再在防火墙里打开这个范围的端口就可以了。