FTP被动模式连接失败的主因是被动端口未在防火墙及安全组中放行，需依次检查Pure-FTPd的PassivePortRange配置、系统防火墙（firewalld/iptables）、云平台安全组规则、ForcePassiveIP设置及SELinux状态。
如果您在宝塔面板中配置了FTP服务，但客户端无法建立连接，尤其是出现超时、被动模式失败或数据连接被拒绝等现象，则很可能是被动模式（PASV）所需的端口范围未在防火墙或安全组中正确放行。以下是排查与解决该问题的具体步骤：
一、确认FTP服务运行状态及被动模式配置
宝塔面板默认使用Pure-FTPd作为FTP服务，其被动模式需指定端口范围，并确保该范围在系统防火墙和云服务商安全组中开放。若端口未配置或配置后未生效，客户端将无法完成数据通道建立。
1、登录宝塔面板，进入【软件商店】，找到已安装的Pure-FTPd，点击【设置】。
2、在【配置修改】选项卡中，查找PureFTPdConfig区域下的PassivePortRange参数。
3、确认该参数值为非空且格式正确，例如：30000 50000（表示启用30000至50000共20001个端口）。
4、若该行被注释（以#开头）或值为空，需取消注释并填写合理范围，然后点击【保存】。
5、保存后，点击【重启】按钮使Pure-FTPd重新加载配置。
二、放行被动模式端口至系统防火墙
Linux系统内置firewalld或iptables会拦截未明确允许的端口。即使Pure-FTPd配置了端口范围，若防火墙未放行，数据连接仍会被丢弃。
1、执行命令查看当前防火墙状态：systemctl status firewalld（如返回active，说明firewalld启用）。
2、若使用firewalld，执行以下命令批量添加端口范围：firewall-cmd --permanent --add-port=30000-50000/tcp（请将30000-50000替换为您实际配置的范围）。
3、执行firewall-cmd --reload重载规则使配置生效。
4、若使用iptables，执行：iptables -I INPUT -p tcp --dport 30000:50000 -j ACCEPT，再执行service iptables save（CentOS 6）或iptables-save > /etc/sysconfig/iptables（部分版本）。
三、检查云服务器安全组策略
对于阿里云、腾讯云、华为云等平台，系统防火墙之外还存在云平台层的安全组，它独立于操作系统，必须手动放行被动端口范围，否则外网FTP客户端无法抵达服务器对应端口。
1、登录对应云服务商控制台，定位到您的ECS实例。
2、进入【安全组】配置页面，找到绑定至该实例的安全组。
3、点击【配置规则】→【添加安全组规则】。
4、协议类型选择TCP，端口范围填写与Pure-FTPd中一致的数值区间，例如30000/50000（注意：部分平台要求用斜杠分隔起止端口）。
5、授权对象建议设为0.0.0.0/0（如仅限特定IP访问，请填写对应IP段）。
6、保存规则后，等待1–2分钟使策略全网同步生效。
四、验证FTP被动模式响应是否包含正确IP与端口
Pure-FTPd在PASV响应中返回的IP地址必须是客户端可路由的公网IP；若服务器为内网环境或使用NAT，需强制指定公网IP，否则客户端将尝试连接内网地址导致失败。
1、在Pure-FTPd配置文件/www/server/pure-ftpd/etc/pure-ftpd中，查找ForcePassiveIP参数。
2、若该行被注释或不存在，需添加一行：ForcePassiveIP 您的服务器公网IP（例如：ForcePassiveIP 123.56.78.90）。
3、确保该IP与云平台分配的弹性公网IP完全一致，不可填写内网IP或127.0.0.1。
4、保存文件后，再次执行bt restart 23（或通过面板重启Pure-FTPd）。
5、使用FTP客户端（如FileZilla）开启“调试日志”，连接时观察PASV响应行，确认返回的IP和端口是否匹配预期。
五、临时关闭SELinux验证干扰因素
SELinux可能限制Pure-FTPd绑定高范围端口或建立网络连接，尤其在CentOS 7/8系统中，默认策略较严格，易导致被动模式静默失败。
1、执行getenforce命令，若返回Enforcing，说明SELinux处于强制模式。
2、执行setenforce 0临时切换为宽容模式（Permissive）。
3、立即测试FTP被动连接是否恢复正常。
4、若连接成功，说明SELinux策略确为阻碍因素，可选择永久禁用（编辑/etc/selinux/config，将SELINUX=enforcing改为SELINUX=disabled）或定制策略（需额外配置semanage）。
