Docker容器内C# FTP服务连接异常 被动模式列目录超时问题

核心问题本质 #

这是FTP被动模式（PASV）机制与Docker网络隔离的适配问题，不存在应用代码的硬逻辑错误：

• 从FileZilla日志可见，PASV命令返回的地址为172.17.0.2，这是Docker默认桥接网络给容器分配的内网IP，解析后的被动数据端口为234*256 + 142 = 59046。
• 你的客户端实际连接的是宿主机的127.0.0.1:6001，收到服务端返回的容器内网IP后，会尝试直接路由到172.17.0.2:59046发起数据连接，这个路径从客户端侧是完全不通的。
• 你目前使用的FTP服务组件，默认会取容器网卡上的第一个IPv4地址生成PASV响应，还会随机分配高位端口作为数据端口，两个默认行为在有NAT层的容器网络下都无法正常工作。
• 本地IDE运行时无故障，是因为服务和客户端在同一个网络命名空间内，返回的网卡IP客户端可直接连通，也不存在Docker端口映射的拦截规则。
• 服务端无对应异常日志的原因：FTP被动模式的数据端口监听是独立于控制连接的异步逻辑，客户端因网络路径不通根本无法触达这个监听端口，服务端收不到失败连接的请求，自然不会抛出异常。

具体修正步骤 #

• 调整FTP服务的PASV响应逻辑，关闭“自动探测本机网卡IP并返回”的默认逻辑，手动配置PASV模式对外宣告的IP值：该值必须与客户端实际连接服务所用的地址保持一致，比如本地测试就填127.0.0.1，生产环境就填宿主机的对外访问IP。修正后PASV返回的227报文格式类似227 Enter Passive Mode (127,0,0,1,高位字节,低位字节)，让客户端正确匹配连接目标发起数据连接。
• 为FTP服务配置固定的被动模式端口范围，不要使用随机分配的高位端口：比如在服务配置中限定被动端口段为60000-60010，避免端口随机变动无法做固定网络映射。
• 调整Docker容器启动的端口映射规则，不要仅映射控制连接端口6001，需要把被动模式的端口范围同步做映射，启动命令示例：
  docker run -d -p 6001:6001 -p 60000-60010:60000-60010 <你的FTP镜像名称>
• 可选优化Dockerfile的EXPOSE声明（该字段仅为文档说明作用，不会实际生效端口映射）：

  EXPOSE 6001/tcp
  EXPOSE 60000-60010/tcp
  

内容的提问来源于stack exchange，提问作者Andrei