Windows IIS搭建FTP/HTTP文件服务器：从SMB共享到服务化分享

1. 从“共享文件夹”到“服务化分享”的转变

在Windows环境下，文件分享最常见的方式莫过于右键文件夹，选择“授予访问权限”来设置SMB共享。这个方法简单直接，局域网内的其他Windows电脑通过\\计算机名\共享名就能访问。但它的局限性也很明显：跨平台兼容性差（比如手机、Mac或Linux访问需要额外配置），防火墙规则复杂，最关键的是，它依赖于Windows自身的网络发现和计算机浏览器服务，在稍复杂的网络环境里，比如不同网段或者启用了某些安全策略的网络中，常常会“失灵”。

这就是为什么我们需要FTP和HTTP服务。它们更像是“通用语言”。FTP（文件传输协议）是一个专为文件传输设计的古老但高效的协议，几乎所有操作系统都内置了FTP客户端支持。HTTP（超文本传输协议）就更不用说了，它是互联网的基石，任何能打开网页的设备，都能通过浏览器访问HTTP文件服务器。将文件分享从“系统级共享”升级为“服务化分享”，本质上是将文件访问接口标准化、通用化。我遇到过不少场景：给测试同事传一个几百兆的安装包，用微信有限制，用网盘又慢；或者在开发调试时，需要让手机直接访问PC上的一个静态资源文件夹。这时候，在本地PC上快速起一个FTP或HTTP服务，生成一个链接丢过去，对方直接下载，效率提升不是一点半点。

Windows 10/11专业版、企业版和教育版内置的IIS（Internet Information Services）就是一个功能强大的Web服务器，它原生支持FTP服务和HTTP服务。很多人以为IIS只是用来跑ASP.NET网站的，其实它的“静态内容”和“FTP服务器”角色，正是我们实现轻量级文件分享的利器。相比于安装第三方软件（如FileZilla Server、HFS等），使用系统自带的IIS有几个好处：无需额外安装，与系统权限集成好，管理界面统一。当然，它也有缺点，比如FTP功能不如专业软件丰富，但用于临时的、小范围的文件分享，绝对是绰绰有余的。

2. 启用IIS与FTP服务器：安装与基础配置

在Windows 10上，IIS是一个可选功能，默认不安装。我们的第一步就是把它“请”出来。

2.1 安装IIS管理控制台与FTP服务

按下Win + R，输入optionalfeatures并回车，打开“启用或关闭Windows功能”窗口。这个列表里包含了系统所有可选的组件。

在这里，你需要找到并展开“Internet Information Services”。首先，确保勾选最顶层的“Internet Information Services”，这会把最基础的管理工具和组件选上。但这还不够，我们需要更精细地选择：

1. 展开“Web 管理工具”，勾选“IIS 管理控制台”。这是后续所有配置的图形化界面，必须安装。
2. 展开“万维网服务” -> “常见HTTP功能”，勾选“静态内容”。这是提供HTTP文件浏览和下载的核心功能。
3. 最关键的一步：展开“Internet Information Services”，找到并勾选“FTP服务器”。继续展开它，确保其下的“FTP服务”和“FTP扩展性”都被勾选。“FTP服务”是运行时，“FTP扩展性”通常包含了FTP over SSL（FTPS）的支持，为了更好的安全性，建议一并选中。

勾选完毕后，点击“确定”，系统会自动从本地源或Windows Update下载并安装这些组件。安装过程可能需要几分钟，并可能要求重启。安装完成后，你可以在开始菜单搜索“IIS”或“Internet Information Services (IIS) 管理器”来打开管理工具。

注意：如果你的系统是Windows 10家庭版，很遗憾，系统没有内置完整的IIS功能。上述“启用Windows功能”的列表中可能找不到“Internet Information Services”。对于家庭版用户，要实现类似功能，通常需要借助第三方软件，或者考虑使用Windows 10内置的“简单TCP/IP服务”配合其他工具，但这超出了本文基于IIS的范畴。

2.2 创建用于文件分享的物理目录

在配置服务之前，我们先准备好要分享的文件放在哪里。不建议直接分享系统盘根目录或用户桌面，最好创建一个独立的、路径简单的文件夹。

例如，在D:\盘根目录下创建一个名为FileShare的文件夹。你可以将需要分享的所有文件都放在这个文件夹里。为了测试，我建议先放一个简单的文本文件（如test.txt）和一个图片文件。

接下来，需要设置这个文件夹的权限。因为IIS服务是以特定的系统账户（默认为IUSR和IIS_IUSRS组）运行的，我们必须赋予这些账户读取（对于HTTP/FTP下载）或写入（对于FTP上传）的权限。

1. 右键点击D:\FileShare文件夹，选择“属性”。
2. 切换到“安全”选项卡，点击“编辑”。
3. 点击“添加”按钮，在输入对象名称中输入IIS_IUSRS，点击“检查名称”后会自动补全，然后点击“确定”。
4. 在组或用户名列表中选中刚刚添加的IIS_IUSRS，在下方权限列表中，根据你的需求勾选“读取和执行”、“列出文件夹内容”和“读取”。如果允许上传，还需要勾选“写入”。为了安全起见，初期可以只给读取权限。
5. 点击“应用”和“确定”。

3. 配置FTP站点：实现高效文件传输

有了IIS和准备好的目录，我们就可以创建FTP站点了。FTP适合大文件、多文件、需要断点续传或目录同步的场景。

3.1 创建FTP站点

打开IIS管理器，左侧连接面板是你的服务器名（通常是本机计算机名）。在服务器名上右键，选择“添加FTP站点...”。

1. FTP站点名称：输入一个易于识别的名字，例如“MyFileShare_FTP”。
2. 物理路径：点击浏览，选择我们刚才创建的D:\FileShare文件夹。
3. 绑定和SSL设置：
   • IP地址：默认是“全部未分配”，这意味着FTP服务会监听本机所有IP地址。如果你有多个网卡（比如有线、无线、虚拟机网卡），并且只想在特定网络（如内网）分享，可以在这里选择具体的IP地址。
   • 端口：默认是21。如果21端口被其他程序占用（如某些第三方FTP服务器），可以改为其他端口，如2121。但客户端连接时就需要指定端口了。
   • 虚拟主机：一般留空。
   • 自动启动FTP站点：勾选。
   • SSL：选择“无SSL”。SSL（即FTPS）可以加密传输，但需要证书，配置稍复杂。对于临时的内网分享，可以先不用。如果对安全性有要求，建议选择“需要SSL”，并导入一个自签名或受信任的证书。
4. 点击“下一步”。
5. 身份验证和授权信息：
   • 身份验证：勾选“基本”。注意，“基本”身份验证会以明文传输密码，在不加密（无SSL）的情况下有风险。但在受信任的内网环境中可以接受。匿名身份验证允许任何人无需密码访问，强烈不建议在可访问公网的环境下开启。
   • 授权：在“允许访问”下拉框中选择“指定用户”。你可以输入你的Windows用户名（格式为计算机名\用户名或.\用户名），或者输入IIS_IUSRS来允许该组所有成员。为了简单，我们可以先测试匿名访问（但仅限内网测试）。
   • 权限：勾选“读取”和“写入”（如果需要上传的话）。

点击“完成”，FTP站点就创建好了。在IIS管理器的左侧，你会看到它出现在“网站”节点下（FTP站点在IIS 7+中被归类在网站下）。

3.2 配置Windows防火墙放行FTP

创建完站点，很可能从其他电脑还无法连接。因为Windows防火墙默认阻止了FTP端口。

1. 打开“控制面板” -> “系统和安全” -> “Windows Defender 防火墙” -> “高级设置”。
2. 在左侧点击“入站规则”，右侧点击“新建规则...”。
3. 规则类型选择“端口”，下一步。
4. 选择“TCP”，并输入“特定本地端口”：21（如果你修改了FTP端口，就填你修改的端口号）。下一步。
5. 选择“允许连接”，下一步。
6. 配置文件默认全选（域、专用、公用），下一步。
7. 给规则起个名字，如“Allow FTP Port 21”，点击完成。

此外，FTP协议在主动模式下，服务器还会使用一个随机端口（20）来传输数据。为了让FTP正常工作，通常还需要放行FTP数据通道。更简单的方法是直接允许“FTP服务器”这个预定义的规则。

1. 同样在“入站规则”中，点击“新建规则...”。
2. 这次选择“预定义”，从下拉列表中找到“FTP服务器”。选中它，下一步。
3. 在下一个界面，确保“FTP服务器”和“FTP服务器被动模式”都被勾选。下一步。
4. 操作选择“允许连接”，完成。

这样，防火墙就配置好了。

3.3 客户端连接测试

在另一台电脑（或同一台电脑）上，打开文件资源管理器，在地址栏输入：ftp://你的IP地址例如：ftp://192.168.1.100

如果设置了非21端口，则需要输入：ftp://192.168.1.100:2121

按回车后，可能会弹出登录框。如果之前授权给了特定用户，就输入用户名和密码。如果允许了匿名访问，用户名可以尝试anonymous，密码为空或任意邮箱地址。

成功连接后，你就可以像操作本地文件夹一样，浏览、下载甚至上传文件了。你也可以使用专业的FTP客户端，如FileZilla Client、WinSCP等，它们支持更丰富的功能，如队列传输、断点续传。

实操心得：FTP的主动与被动模式这是一个经典的坑。简单说，FTP有主动（PORT）和被动（PASV）两种连接模式。主动模式下，服务器主动连接客户端的数据端口，这在客户端位于防火墙或NAT路由器后时经常会失败。被动模式下，客户端连接服务器的数据端口。在IIS中，你可以在FTP站点的“FTP防火墙支持”功能里设置外部IP地址和数据端口范围，以支持被动模式穿越路由器。对于大多数内网环境，默认设置通常能工作。但如果遇到“已连接但无法列出目录”的问题，首先应该考虑在客户端FTP软件中将传输模式改为“被动（PASV）”。

4. 配置HTTP文件服务器：通过浏览器直接访问

相比FTP，HTTP服务的使用门槛更低，任何设备有浏览器就行。我们通过IIS添加一个专门用于浏览文件的网站。

4.1 添加网站

在IIS管理器中，左侧右键点击“网站”，选择“添加网站...”。

1. 网站名称：例如“MyFileShare_HTTP”。
2. 物理路径：同样选择D:\FileShare。
3. 绑定：
   • 类型：保持http。
   • IP地址：同样可以选择“全部未分配”或指定IP。
   • 端口：HTTP默认是80。如果80端口被占用（如已有其他Web服务器），可以改用其他端口，如8080。切记不要使用已被系统或其他应用占用的端口。
   • 主机名：留空。如果你有内网域名并想通过域名访问，可以在这里填写。
4. 确保“立即启动网站”被勾选，点击“确定”。

现在，一个最简单的HTTP文件服务器就创建好了。在浏览器中输入http://你的IP地址（如果用了80端口）或http://你的IP地址:8080（如果用了8080端口），你应该能看到D:\FileShare目录下的文件列表。点击文件名即可下载。

4.2 启用目录浏览功能

有时候，你可能会看到“403.14 - Forbidden”错误，提示“Web 服务器被配置为不列出此目录的内容”。这是因为默认情况下，IIS会优先寻找默认文档（如index.html, default.htm），如果没找到且不允许目录浏览，就会报错。

我们需要显式启用目录浏览：

1. 在IIS管理器中，点击你刚创建的“MyFileShare_HTTP”网站。
2. 在中间的功能视图面板中，找到并双击“目录浏览”。
3. 在右侧操作面板中，点击“启用”。

刷新浏览器，现在你应该能看到文件和文件夹的列表了。

4.3 放行HTTP防火墙端口

和FTP一样，我们需要在防火墙中放行HTTP端口。

1. 打开防火墙高级设置，新建入站规则。
2. 选择“端口”，TCP，特定本地端口：80（或你自定义的端口，如8080）。
3. 后续步骤与FTP类似，选择允许连接，配置文件全选，命名规则为“Allow HTTP Port 80”，完成。

4.4 处理浏览器安全警告（非HTTPS）

使用HTTP协议时，现代浏览器（如Chrome、Edge）可能会在地址栏显示“不安全”的提示。这是因为HTTP是明文传输。对于纯粹的内网文件分享，这个警告可以忽略。如果你觉得碍眼，可以考虑为IIS配置HTTPS（需要SSL证书），但这会显著增加配置复杂度。一个更简单的办法是，在浏览器中访问时，直接输入服务器的内网IP地址，而不是localhost或计算机名，有时能避免一些安全策略的拦截。

5. 高级配置与安全加固要点

基础的分享功能搭建完成后，为了更实用、更安全，我们还需要关注一些细节。

5.1 身份验证与授权控制

• 匿名访问：对于HTTP站点，你可以在功能视图中找到“身份验证”功能，禁用“匿名身份验证”，启用“Windows身份验证”或“基本身份验证”。这样，访问者就需要输入有权限的Windows账户密码。注意：基本身份验证同样以明文传输密码，务必与HTTPS结合使用。
• IP地址限制：在IIS中，你可以为站点或特定目录设置“IPv4地址和域限制”。通过添加“允许条目”或“拒绝条目”，可以精确控制哪些IP或网段能够访问。这对于将服务限制在特定办公室或VLAN内非常有用。
• FTP用户隔离：在FTP站点设置中，有一个“FTP用户隔离”功能。如果允许多个用户访问，启用“用户名称目录”隔离可以确保每个用户登录后只能看到自己的专属目录，无法访问其他人的文件，这对于多用户场景是必要的安全措施。

5.2 性能与连接管理

• 连接限制：在站点级别的“限制”设置里（对于HTTP，在“管理”->“配置编辑器”中搜索limits；对于FTP，有直接的“FTP请求筛选”和“高级设置”），可以限制最大带宽、最大连接数、连接超时等。防止单个用户占用过多资源，影响服务器其他工作。
• MIME类型：如果通过HTTP分享的文件类型比较特殊（例如某些专有格式.dwg,.rp），浏览器可能不知道如何处置，会直接下载。你可以在IIS的“MIME类型”设置中，为这些扩展名添加对应的内容类型（如application/octet-stream表示通用二进制流），确保浏览器行为符合预期。

5.3 常见问题排查链路

即使按照步骤操作，也可能遇到问题。下面是一个典型的排查思路：

1. 服务是否启动？在IIS管理器中，检查站点状态是否为“正在启动”。右键站点可以“启动”、“停止”、“重启”。
2. 端口是否监听？在服务器上，以管理员身份打开命令提示符，运行netstat -ano | findstr :80（将80替换为你的端口号）。查看是否有LISTENING状态的进程在监听该端口。如果没有，说明IIS服务或站点绑定可能有问题。
3. 防火墙是否放行？确认防火墙入站规则已正确添加并启用。可以临时关闭防火墙（仅用于测试）来确认是否是防火墙问题。
4. 权限是否正确？这是最常见的问题。反复检查物理文件夹的NTFS权限，确保IIS_IUSRS或你指定的用户账户有足够的权限（读取、列出文件夹内容）。可以在文件夹安全属性里，使用“高级”->“有效访问”选项卡来验证特定用户的有效权限。
5. 身份验证问题？对于需要登录的站点，确认用户名密码正确，并且该用户在服务器上有有效的本地账户或域账户。尝试在服务器本地用浏览器访问http://localhost:端口来排除网络问题。
6. 错误日志：IIS有详细的日志功能。默认日志路径在C:\inetpub\logs\LogFiles下，对应每个站点有一个文件夹。查看里面的日志文件，可以找到具体的错误代码（如401, 403, 404, 500），这是定位问题的金钥匙。

5.4 关于“Unexpected status 502 Bad Gateway”等热词关联问题

在提供的热词中，出现了unexpected status 502 bad gateway的错误。这个错误通常与IIS作为反向代理或负载均衡器时，后端服务器无响应有关，与我们搭建的简单文件服务器场景关联不大。但如果你的环境更复杂，比如在IIS前还有一层代理，或者应用程序池配置不当导致工作进程崩溃，也可能触发502。对于我们的文件服务器，如果遇到5xx错误，首要检查应用程序池是否正常运行（在IIS管理器左侧“应用程序池”中查看），并尝试回收或重启对应的应用程序池。