方案一：开启FTP ALG (应用层网关) - 推荐

ALG能动态解析FTP协议报文，并智能地修改其中的地址和端口信息，是实现无缝穿越NAT的通用解决方案。使用此方案，你不需要关心端口是否一一对应。

• 配置步骤：

  1. 在防火墙上仅映射FTP控制端口（如21）。

  2. 开启FTP的ALG功能。

  3. 配置安全策略：放行从Untrust到Trust区域的相关流量。

• H3C防火墙配置示例（CLI）：

  # 1. 进入外网接口，配置FTP控制端口的NAT Server映射（假设公网IP为1.1.1.1）

  <H3C> system-view
  [H3C] interface gigabitethernet 1/0/1
  [H3C-GigabitEthernet1/0/1] nat server protocol tcp global 1.1.1.1 21 inside 192.168.1.10 21
   # 2. 在此接口下开启FTP ALG功能
  [H3C-GigabitEthernet1/0/1] nat alg ftp
  [H3C-GigabitEthernet1/0/1] quit
   # 3. （可选）如果需要修改非标准端口，才需配置port-mapping #
  [H3C] port-mapping ftp port 2121
  此方案生效后，当防火墙收到服务器回复的192.168.1.10:60001时，ALG会智能地将其替换为1.1.1.1:60001（或一个临时公网端口），客户端收到正确的公网地址后即可正常建立数据连接。

 方案二：手动映射端口范围

如果无法使用ALG，例如流量被TLS加密（FTPS），则只能采用静态映射方案。这时，公网端口必须和私网端口一一对应，因为防火墙无法再通过解析报文来动态替换端口信息。

• 配置步骤：

  1. 在FTP服务器上：限制一个固定的被动端口范围，例如60000-60010。

  2. 在防火墙上：为该端口范围内的每一个端口，都创建一条nat server映射规则，并且公网端口必须与内网端口保持一致。

• H3C防火墙配置示例（CLI）：

  # 为端口范围60000-60010创建批量映射规则

  [H3C] interface gigabitethernet 1/0/1
  [H3C-GigabitEthernet1/0/1] nat server protocol tcp global 1.1.1.1 60000 60010 inside 192.168.1.10 60000 60010
  这条命令会将公网IP 1.1.1.1 的 60000 端口精确映射到内网服务器 192.168.1.10 的 60000 端口，60001对60001，以此类推。

• 安全策略：同样，你需要配置安全策略，允许外网客户端访问这些端口范围。