FTP、FTPS和SFTP名称相似，网络机制却完全不同。FTP使用控制连接和独立数据连接；FTPS在FTP上加入TLS；SFTP则运行在SSH协议中。代理配置前如果连协议都没确认，很容易出现登录成功却无法列目录或传文件。
三种协议对比
| 协议 | 传输基础 | 典型网络难点 |
|---|---|---|
| FTP | 控制通道加数据通道 | 主动/被动模式、NAT和端口范围 |
| FTPS | FTP加TLS | 证书、加密后网关难解析数据端口 |
| SFTP | SSH子系统 | SSH认证、主机密钥和跳板机 |
FTP主动模式为什么难过NAT
主动模式由服务器反向连接客户端指定的数据端口。客户端位于NAT或防火墙后时，服务器通常无法建立连接。代理和企业出口也很难处理动态回连，所以跨网环境更常使用被动模式。
被动模式也不是只开21端口
被动模式由服务器返回数据端口，客户端再主动连接。服务器需要配置固定被动端口范围，并让防火墙、负载均衡和NAT正确映射。服务器返回内网IP时，外部客户端会连接失败。控制连接成功不代表数据通道可用。
FTP能否经过SOCKS5
客户端若支持SOCKS5，可以让控制和被动数据连接经代理转发，但必须确认DNS、认证和多个连接都被代理。只代理控制连接会导致登录后卡住。代理容量也要考虑并行文件传输产生的连接数。
HTTP CONNECT为何不通用
部分客户端能通过HTTP CONNECT建立到固定目标端口的隧道，但FTP被动数据端口不断变化，普通HTTP代理难以自动处理。历史上的HTTP-FTP网关能力也不能假定存在。应优先选择明确支持的文件传输架构。
SFTP应按SSH链路配置
SFTP通常使用SSH端口和认证，可采用SSH配置中的ProxyJump或ProxyCommand经过受控跳板机或SOCKS工具。代理接入后仍必须验证服务器主机密钥，不能关闭StrictHostKeyChecking。
SSH代理与跳板机差异见SSH通过SOCKS5、ProxyCommand连接。
FTPS证书与数据通道
显式FTPS通常先建立FTP控制连接再升级TLS；隐式FTPS从连接开始加密。加密后，中间设备无法轻易解析控制通道中的被动端口信息，因此更依赖服务器正确配置端口范围和NAT。客户端应验证服务器证书和域名。
账号密码怎样保护
明文FTP会暴露凭据和数据，不适合不受信网络。应优先SFTP或FTPS，并将密码、SSH私钥和代理凭据分开管理。不要把密码写入批处理参数、进程列表和脚本仓库。
断点续传与文件完整性
大文件中断后是否可续传，取决于协议命令、服务器和客户端实现。恢复后应校验文件大小与哈希，不能只看到传输命令成功。上传临时文件时可先使用临时名称，完成校验后再原子重命名。
常见故障现象
- 能登录但不能列表：数据通道、防火墙或被动地址；
- 小文件成功、大文件中断：空闲超时、带宽或连接重置；
- SFTP主机密钥变化：停止连接，核对服务器变更；
- FTPS证书错误：检查CA、域名和TLS模式；
- 只有部分文件失败：权限、文件名、配额或并发。
排查顺序
- 确认FTP、FTPS还是SFTP；
- 记录客户端、端口和TLS模式；
- FTP分别验证控制与数据通道；
- 核对被动端口范围和NAT地址；
- SFTP核对SSH跳板机与主机密钥；
- 传输测试文件并校验哈希；
- 清理临时账号和详细日志。
结论
FTP代理问题的难点是独立数据通道，SFTP则应按SSH处理。确认协议后再选择SOCKS、跳板机或私网连接，才能避免用一个HTTP代理地址覆盖完全不同的文件传输机制。
