如果内网可以访问21端口，但通过防火墙映射后无法访问，这通常是因为防火墙或路由器的配置问题。以下是一些可能的解决方案和检查步骤：

1. 检查防火墙映射配置

确保你的防火墙或路由器已经正确配置了端口映射。通常，你需要将外部端口映射到内部服务器的21端口。例如，如果你的内部服务器IP地址是 192.168.1.100，并且你希望外部通过端口2121访问内部的21端口，你需要在防火墙或路由器上进行以下配置：

• 外部端口：2121
• 内部IP地址：192.168.1.100
• 内部端口：21

2. 检查被动模式端口映射

如果使用被动模式（PASV），还需要将被动模式使用的端口范围也进行映射。假设你已经配置了被动模式端口范围为10000到10100，你需要在防火墙或路由器上进行以下配置：

• 外部端口范围：10000-10100
• 内部IP地址：192.168.1.100
• 内部端口范围：10000-10100

3. 检查路由器的NAT配置

确保路由器的NAT（网络地址转换）配置正确。有些路由器可能需要额外的配置来确保数据连接能够正确通过。

4. 检查服务器的IP地址配置

确保vsftpd配置文件中正确配置了服务器的IP地址。编辑 /etc/vsftpd.conf 文件，添加或修改以下行：

pasv_enable=YES
pasv_min_port=10000
pasv_max_port=10100
pasv_address=公网ip
pasv_addr_resolve=YES

5. 检查防火墙规则

确保防火墙允许外部访问21端口和被动模式端口范围。如果你使用的是UFW（Uncomplicated Firewall），可以使用以下命令：

sudo ufw allow 21/tcp
sudo ufw allow 10000:10100/tcp

6. 检查网络连通性

使用 telnet 或 nc 命令从外部网络测试端口连通性。例如：

telnet 221.11.32.26 21

如果连接成功，你应该会看到FTP服务器的欢迎消息。

7. 检查日志文件

查看vsftpd的日志文件，以获取更多关于连接问题的详细信息。日志文件通常位于 /var/log/vsftpd.log 或 /var/log/xferlog：

sudo tail -f /var/log/vsftpd.log

完整示例

以下是完整的步骤示例：

1. 配置防火墙映射：
   • 登录到你的防火墙或路由器管理界面。
   • 配置端口映射：
     • 外部端口：2121
     • 内部IP地址：192.168.1.100
     • 内部端口：21
   • 配置被动模式端口映射：
     • 外部端口范围：10000-10100
     • 内部IP地址：192.168.1.100
     • 内部端口范围：10000-10100
2. 编辑vsftpd配置文件：

   sudo nano /etc/vsftpd.conf
   

   添加或修改以下行：

   pasv_enable=YES
   pasv_min_port=10000
   pasv_max_port=10100
   pasv_address=公网ip
   pasv_addr_resolve=YES
   

3. 保存并退出编辑器。
4. 配置防火墙规则：

   sudo ufw allow 21/tcp
   sudo ufw allow 10000:10100