Windows 2000下IIS配置FTP与WWW服务器：虚拟目录与权限实战

简介这是一份完整的实验配置文档面向网络工程、计算机相关专业学生及需要搭建网络服务的IT初学者系统讲解在Windows 2000环境下利用IIS 5.0配置FTP服务器与WWW服务器的方法。文档以实验四为主线从服务需求规划、IIS组件安装到创建MYFTPSITE与MYWEBSITE站点、设置IP与端口、配置主目录及访问权限、建立虚拟目录、设定默认文档再到FTP上传下载操作逐步给出完整流程并辅以关键界面说明。压缩包内共1个文件PDF格式大小1.34MB便于随时查阅打印。目前已有91人浏览学习兼具实验参考与复习价值。读者可根据文档步骤独立完成服务器搭建并在实验报告思考题引导下总结问题与解决方法从而加深对FTP和Web服务原理及实际运维的理解适合课程实验、课后复习或初次接触IIS的新手自学。1. 实验四的 FTP 与 WWW 服务器配置这份文档到底能带你做什么拿到《实验四FTP服务器及WWW服务器配置分享.pdf》这份资源时我第一反应是典型的网络课程实验文档——Windows 2000 环境下用 IIS 5.0 搭 FTP 和 Web 服务。但翻完发现它其实覆盖了一条完整链路IIS 组件安装、Web 站点创建向导、FTP 站点与虚拟目录、匿名访问与权限控制最后还有用 Ethereal 验证的环节。对正在补网络实验课、或者要在老版本 Windows 上搭内部文件服务器和网页服务的从业者来说这份文档能让你把「建站」这件事从向导点击层面下沉到「IP、端口、主目录、权限、默认文档」这些真正决定服务是否可用的参数上。下面按我拆解后的步骤和踩坑记录来复现它。2. 装 IIS 5.0 之前先搞清楚 Web 与 FTP 服务的关系2.1 为什么在 Windows 2000 上用 IIS 而不是分开装两个软件FTP 服务器和 WWW 服务器虽然协议不同FTP 走 21 端口HTTP 走 80 端口但 Windows 2000 环境下它们都由同一个组件承载——IIS 5.0。IIS 不是单一程序而是一组 Internet 服务的集合其中「World Wide Web 服务器」负责 HTTP 请求响应「文件传输协议FTP服务器」负责 FTP 上传下载。很多人在这一步会犯一个认知错误以为 FTP 要单独找一个第三方软件来装其实在 Windows 2000 Server 里 IIS 装好后两个服务同时可用只是默认只启动了 Web 站点FTP 站点需要手动创建。选择 IIS 的另一个理由是它和系统账户体系天然集成。FTP 的匿名访问可以映射到系统内置的 IUSR 账户Web 站点的目录权限可以直接复用 NTFS 权限。做过 Linux 下 vsftpd 和 Apache 配置的话你会觉得这种集成方式省掉了大量账号同步的功夫代价是权限概念比 Linux 稍绕一点。2.2 安装 IIS 的完整操作路径组件向导里的两个关键勾选安装 IIS 的入口在「控制面板」→「添加/删除程序」→「添加/删除 Windows 组件」。这里打开的是 Windows 组件向导而不是常规的软件安装向导。在组件列表里找到「Internet 信息服务 (IIS)」注意这一项是树形结构双击或者点「详细信息」展开后要确保两个子项被勾选「World Wide Web 服务器」和「文件传输协议FTP服务器」。控制面板 → 添加/删除程序 → 添加/删除 Windows 组件 → 勾选 Internet 信息服务 (IIS) → 详细信息 → 勾选 World Wide Web 服务器 → 勾选 文件传输协议FTP服务器 → 确定 → 下一步 → 等待安装完成这里有个参数细节容易被忽略如果系统是 Windows 2000 ProfessionalIIS 组件里可能只有 Web 服务器而没有 FTP 服务器选项这是版本差异不是操作失误。实验要求的环境是 Windows 2000 Server所以 Professional 下找不到 FTP 子项时不要纠结换 Server 版系统即可。另外安装过程会提示插入系统光盘如果用的是精简版系统镜像IIS 文件可能被裁掉此时需要准备完整的安装源。安装完成后不需要重启但建议打开「管理工具」里的「Internet 服务管理器」确认一下 IIS 是否正常启动。正常状态下会看到一个默认 Web 站点且状态是「正在运行」。2.3 装完 IIS 先别急着建站检查默认站点和端口占用IIS 安装成功后会自动创建一个「默认 Web 站点」它监听 80 端口主目录在C:\inetpub\wwwroot。这个默认站点的意义在于提供一个「开箱即用」的验证入口——装完 IIS 后在本机浏览器输入http://127.0.0.1如果看到 IIS 默认欢迎页说明 IIS 核心服务没有问题。这一步检查很值因为后续建新站点如果访问失败可以先用默认站点来区分是 IIS 本身的问题还是新站点配置的问题。默认站点也会带来一个隐患它占用了 80 端口。如果本机已经装了 Apache 或者其它 Web 服务80 端口冲突会导致 IIS 默认站点无法启动现象是「服务已停止」且手动启动立即报错。实验里新建的 MYWEBSITE 站点指定端口 82部分原因也是为了规避这类端口占用。你在自己机器上复现时用netstat -an | findstr :80看一下端口占用情况能省掉不少排查时间。3. 把 WWW 服务从默认站点变成自己的站点MYWEBSITE 的完整配置过程3.1 先规划再动手站点说明、IP、端口、主目录四件事实验文档在第 1 步就强调了「规划设计」明确 Web 服务种类、应用范围、用户权限、目录结构。实际做的时候这四件事映射到向导里就是四个参数站点说明显示名称、IP 地址绑定地址、端口号TCP 监听端口、主目录文件根路径。我的建议是建站前先把这四个值写在纸上不要边点边想。端口的选择是第一个真正的技术决策点。默认 Web 站点占用 80 端口所以新建站点不能再绑 80。文档里给的方案是 82 端口这是一个干净的选择——不跟 80 冲突也不是常用服务端口21、22、23、25、110、1433、3306、3389 都不在 82 上。你如果是在自己的实验环境里做端口随意但如果以后要上生产端口规划要避开那些被安全扫描器盯上的常规端口虽然 82 也不算冷门但实验环境无伤大雅。IP 地址这里有一个常见误解向导里让选 IP 地址很多人以为要填一个本机不存在的 IP。实际上这里只能选本机网卡上已绑定的 IP如果机器只有一个网卡且没配多个 IP通常只有一个「全部未分配」或具体 IP 可选。选「全部未分配」意味着该站点响应所有本机 IP 的 82 端口请求实验里也可以这样处理。3.2 用 Web 站点创建向导建站每一步填什么、为什么这样填打开「Internet 服务管理器」在左侧树形目录里找到你的主机名形如 PC32右键 →「新建」→「Web 站点」然后进入向导。下面把每一步的填写逻辑说清楚。第一步「Web 站点说明」输入MYWEBSITE。这个说明只是显示名称用于在管理控制台里区分站点不参与 URL 寻址。你访问站点时用的是 IP 和端口不是这个名字所以填什么全凭自己喜好但建议和实验报告保持一致。第二步「IP 地址和端口设置」IP 选本机地址或「全部未分配」TCP 端口填82主机头这里实验环境可以留空。如果填了主机头比如mysite.local访问时必须带这个域名才能命中站点浏览器访问http://IP:82反而会打到默认站点上这一点是很多新手后面访问不到自己页面的原因。第三步「Web 站点主目录」输入主目录路径文档里个人主页放在这个目录下。我一般建议建站前先建好目录例如D:\MYWEBSITE然后把写好的index.htm先放进去。向导这一步有个「允许匿名访问」的勾选框默认是勾选的保持勾选否则访问时会弹认证框。第四步「访问权限」默认给了「读取」和「运行脚本」。这里不要勾「写入」除非你这个站点就是给用户提交内容用的。勾了「写入」意味着任何能访问到你站点的人都可以往服务器上扔文件在实验环境里可能无所谓但养成不勾写权限的习惯能让你以后少被入侵一次。勾「浏览」的话用户访问目录且没有默认文档时会看到文件列表实验里不需要。Internet 服务管理器 → 右键主机名 → 新建 → Web 站点 → 说明MYWEBSITE → IP全部未分配端口82 → 主目录D:\MYWEBSITE → 权限读取 运行脚本不勾写入和浏览 → 完成向导完成后新站点默认是「已停止」状态需要右键 →「启动」。然后右键 →「属性」切到「文档」选项卡勾选「启用默认文档」看一下列表里有没有index.htm没有就添加并把它的顺序调整到最上面。这一步不做的话浏览器访问http://IP:82会返回 403 目录列表拒绝而不是你的页面。3.3 默认文档与访问验证为什么 index.htm 的顺序决定成败IIS 的默认文档机制是用户访问站点根路径时IIS 按文档列表从上到下逐个查找主目录下的文件找到第一个存在的就返回它。如果列表里只有Default.htm而你的文件叫index.htm且没启用「目录浏览」浏览器就会收到 403 错误。所以添加index.htm之后还要把它移到列表顶部或者删掉多余的默认文档项。验证访问的方式有两种。在本机浏览器输入http://127.0.0.1:82如果看到自己写的页面说明站点基本可用。更符合实验要求的是从「其他工作站」访问——在同一局域网内另一台机器浏览器输入http://服务器IP:82能打开页面才算真正提供服务。这里注意 Windows 2000 自带的防火墙如果有要放行 82 端口入站否则其它机器访问会超时。访问验证时有一个细节值得记录如果本机访问正常但其它工作站超时优先检查 IP 是否配置正确、网线/交换机是否通了而不是怀疑 IIS 配置。IIS 层面的问题通常会返回明确的 HTTP 错误码403、404、500而网络层问题表现为「无法连接」或超时两者在浏览器里的呈现方式完全不同。4. FTP 服务别照搬 Web 的思路MYFTPSITE 与虚拟目录、匿名机制4.1 创建 FTP 站点向导参数与 Web 站点的三个差异FTP 站点的创建入口与 Web 站点相同右键主机名 →「新建」→「FTP 站点」。但参数上有三个差异必须注意照搬 Web 站点的经验会翻车。第一个差异是端口号。FTP 默认端口是 21和 Web 的 80 不同。新建 FTP 站点时如果默认站点没占用 21那就直接用 21不需要像 Web 那样改成 82。但如果本机装过其它 FTP 软件占了 21那就要换端口比如 2121。换端口之后FTP 客户端连接时要显式指定端口命令行写法是ftp 服务器IP 2121。第二个差异是主目录的作用。FTP 主目录是用户登录后看到的根目录它决定了用户能「逛」到哪里。实验文档里要求主目录存个人站点文件用于上传下载所以主目录最好和 Web 站点主目录独立开或者干脆复用同一个目录——这样用户通过 FTP 上传的文件直接就能通过 HTTP 访问到省了搬文件的步骤。第三个差异是权限语义。FTP 站点的权限包含「读取」和「写入」两项分别对应下载和上传。如果只勾读取用户能下载不能上传只勾写入则反过来。实验里要求既能上传又能下载所以两项都勾。注意这里的权限是 IIS 站点层面的实际能不能写入还要看 NTFS 目录权限两层都要放行才行这是一个常见的双重权限坑。Internet 服务管理器 → 右键主机名 → 新建 → FTP 站点 → 说明MYFTPSITE → IP全部未分配端口21 → 主目录D:\MYWEBSITE → 权限读取 写入 → 完成 → 启动4.2 安全帐号选项卡匿名访问、操作员、密码策略一次说清FTP 站点创建完后右键 →「属性」切到「安全帐号」选项卡。这里有三个关键设置是否允许匿名连接、匿名连接的用户名密码、FTP 站点操作员。「允许匿名连接」勾选后用户可以用anonymous作为用户名登录。密码在 IIS 5.0 里默认不校验用户随便填或者填一个邮箱格式的字符串都能进去。这个「随便填」的行为其实是 FTP 协议早期的惯例但现在看来是安全隐患——如果你搭的 FTP 服务器暴露在公网匿名访问等于对全世界开放了下载权限更糟的是如果开了写入权限任何人都能往你服务器扔文件。更安全一点的做法是取消「仅允许匿名连接」下方的「允许 IIS 控制密码」相关选项IIS 5.0 里具体叫「允许匿名访问」和「匿名用户」设置把匿名账号映射到一个权限受限的系统账户上。实验文档里要求能设置「匿名连接时的用户名和密码」实操时可以把匿名访问指向一个 NTFS 权限受限的目录比如单独建一个D:\FTPPublic只放公开文件。「FTP 站点操作员」列表用来指定哪些 Windows 账户有管理该 FTP 站点的权限适合多人协作场景给负责维护的同学开一个操作员账号他能改 FTP 站点配置但不能动 Web 站点。实验环境一般用不到但报告里可以提一句你理解了它的作用。4.3 虚拟目录为什么你的 FTP 主目录不够用实验文档在第 5 节里专门提到了虚拟目录的创建右键 FTP 站点 →「新建」→「虚拟目录」。虚拟目录的作用是让 FTP 用户能访问主目录之外的其它路径。举个例子FTP 主目录是D:\MYWEBSITE但你想让用户也能下载D:\SoftwareTools里的软件包那就在 FTP 站点下建一个名为tools的虚拟目录物理路径指向D:\SoftwareTools。用户登录后看到一个tools文件夹进去后看到的就是D:\SoftwareTools的内容。虚拟目录的访问权限可以独立设置。这意味着你可以让主目录只读而虚拟目录开放写入或者反过来。这个粒度控制是物理主目录做不到的。建虚拟目录时有一个坑虚拟目录的名称为英文且不要带空格某些老旧的 FTP 客户端对带空格的 URL 路径解析会出错。另外虚拟目录的物理路径不要放在系统盘尤其是带权限继承的目录最好单独建。右键 MYFTPSITE → 新建 → 虚拟目录 → 别名tools → 路径D:\SoftwareTools → 权限读取视需求勾选写入 → 完成虚拟目录创建后用 FTP 客户端连上来会看到tools但它不是真实文件夹只是映射关系。这一点在实验报告里可以作为扩展知识点写进去——虚拟目录是 IIS 层实现的「逻辑映射」底层物理路径完全可以在另一个盘、另一台机器网络共享路径也可以填上。4.4 从命令行到浏览器FTP 上传下载的实操验证FTP 服务配好后验证方式最直接的是命令行。在任意工作站打开命令提示符输入ftp 服务器IP如果是默认 21 端口直接连如果改了端口用ftp命令进入后输入open 服务器IP 端口号。连接后提示输入用户名匿名就输anonymous密码直接回车或者随便输。登录成功后用dir查看目录内容用get 文件名下载用put 文件名上传。C:\ ftp 192.168.1.100 Connected to 192.168.1.100. 220 Microsoft FTP Service User (192.168.1.100:(none)): anonymous 331 Anonymous access allowed, send identity (e-mail name) as password. Password: 230 Anonymous user logged in. ftp dir 200 PORT command successful. 150 Opening ASCII mode data connection. 226 Transfer complete. ftp get index.htm 200 PORT command successful. 150 Opening ASCII mode data connection. 226 Transfer complete. ftp put newfile.txt 200 PORT command successful. 150 Opening ASCII mode data connection. 226 Transfer complete. ftp bye 221 Goodbye.注意上面dir看到的文件正是之前放在主目录里的 Web 站点文件这是典型的「搭建内部资料服务器」场景Web 负责展示FTP 负责维护内容。如果put时报错550 Access is denied别急着怀疑 FTP 站点配置先去检查 NTFS 目录权限看运行 IIS 的账户通常是 IUSR 或 NETWORK SERVICE对主目录有没有写入权限。IIS 的 FTP 写入需要两层放行IIS 站点级勾了「写入」NTFS 目录级也要给账号「写入」权限。5. 避坑Windows 2000 下配置 FTP 和 WWW 的 5 条踩坑记录5.1 端口被占了80 被默认站点占着新站点起不来现象创建好 MYWEBSITE 后点「启动」提示服务启动失败或者启动成功但外部访问不到。检查事件查看器发现「无法绑定端口 80」。原因IIS 安装时自动创建的默认 Web 站点已经绑定了 80 端口新站点如果也填 80两个站点抢同一个端口后启动的必然失败。解决把新站点的端口改成非 80实验里用的 82或者停掉默认站点再把新站点绑到 80。生产环境更推荐用主机头区分多个站点共用一个 80 端口但实验环境直接换端口最快。5.2 默认文档没生效访问 IP 返回 403 目录列表拒绝现象站点启动正常浏览器输入http://IP:82却看到「Directory Listing Denied」或者 403 错误。原因主目录下确实有index.htm文件但站点的「文档」选项卡里没有添加index.htm或者添加了但顺序在Default.htm后面而目录里没有Default.htm。解决右键站点 →「属性」→「文档」选项卡启用默认文档添加index.htm用上移箭头把它调到第一位确认后刷新浏览器。5.3 FTP 能登录但无法上传IIS 权限和 NTFS 权限双重卡关现象FTP 可以匿名登录dir能看文件列表但put一个文件时返回550 Access is denied。原因FTP 站点属性里「主目录」选项卡的「写入」权限没勾或者勾了但 NTFS 目录权限不包含对 IUSR 账户的写入授权。IIS 站点级权限和 NTFS 权限是「与」的关系两者都放行才能真正写入。解决先确认站点属性里「写入」已勾选然后右键主目录文件夹 →「属性」→「安全」添加 IUSR_机器名 账户并勾选「写入」权限。改完 NTFS 权限后有时候需要重启一下 FTP 服务才生效。5.4 其它机器访问不到Windows 防火墙和 IP 配置问题现象服务器本机访问http://127.0.0.1:82正常但同一局域网内其它电脑访问http://服务器IP:82超时。原因Windows 2000 的 Internet Connection Firewall 默认拦截了入站连接82 端口或 21 端口没放行。或者服务器的 IP 地址是动态获取的和你在向导里填写的 IP 不一致。解决在网卡属性的 TCP/IP 设置里配一个固定 IP然后在防火墙的例外里放行 TCP 80、82、21 端口。实验环境如果没开防火墙优先排查 IP 是否固定、网段是否一致。5.5 虚拟目录在 FTP 客户端里看不到别名和目录浏览权限没配合现象虚拟目录创建成功但 FTP 客户端登录后看不到虚拟目录对应的文件夹。原因FTP 站点属性里「主目录」选项卡的「目录列表样式」设置为 UNIX 风格时虚拟目录有时不自动显示或者虚拟目录的「读取」权限没勾用户即使知道路径也进不去。解决在 FTP 站点属性里把目录列表样式改成 MS-DOS 风格并在虚拟目录属性里勾选「读取」。如果虚拟目录用于上传还需要同时检查虚拟目录物理路径的 NTFS 写权限。6. 用 Ethereal 验证 FTP 和 HTTP 服务抓包确认配置真实生效6.1 抓包能确认的几件事明文密码、PORT 模式、HTTP 状态码实验环境里的 Ethereal也就是 Wireshark 的前身是一个很好的验证工具。我习惯在服务全部配置完成后做一次抓包来「验收」。不是说配置完服务必须抓包但抓包能看到很多表面现象背后的真实数据。启动 Ethereal选择和服务同网段的网卡设置过滤条件。验证 FTP 时就抓 TCP 端口 21 的包验证 HTTP 就抓 TCP 端口 82 的包。FTP 抓包最有价值的一点是FTP 的控制通道是明文的用户名和密码直接在包里能看到。你输入anonymous和密码后在抓包结果里找到USER和PASS字段一眼就能确认匿名登录是否真正走通了。同理PORT命令、STOR命令、RETR命令都在控制通道明文传输上传下载的动作在包里清晰可见。HTTP 抓包关注的是状态码。当浏览器访问http://192.168.1.100:82时抓包里会出现GET / HTTP/1.1请求服务器返回HTTP/1.1 200 OK表示成功如果返回403 Forbidden说明默认文档或权限有问题返回404 Not Found说明主目录路径不对或文件不存在。这个比看浏览器提示可靠得多——浏览器有时会缓存旧页面抓包看到的永远是当前真实交互。6.2 更有用的验证组合抓包 端口状态 浏览器三路并查我一般把验证拆成三层每层对应一个工具。第一层在服务器本机用netstat -an看端口监听状态确认 82 和 21 都在LISTENING状态第二层用 Ethereal 抓包确认数据包真的进了服务器网卡并得到了响应第三层用浏览器实际访问确认页面呈现和交互正常。三层都能通过服务才算真正配置完成。netstat -an | findstr 82 21如果netstat输出里看不到 82 和 21 的 LISTENING 记录那站点多半没启动成功不用急着抓包。端口在监听但浏览器访问超时再开 Ethereal 看包是否到达服务器包到了但没响应可能是防火墙拦截。这个排查顺序能帮你把问题快速限定在某一个层面而不是乱猜。从做实验的角度抓包这个动作其实还有一层深意它把「HTTP 是基于 TCP 的请求-响应协议」「FTP 用控制连接和数据连接两条通道」这些教材上的抽象概念变成了屏幕上真实的包序列。看到USER、PASS、STOR这些命令按照教材顺序逐条出现比背十遍协议状态机都管用。从那以后我每次配置完 FTP 或 Web 服务都会强制自己走一遍「netstat 看监听 → Ethereal 看交互 → 浏览器看结果」的三层验证流程不再凭浏览器能不能打开页面来判断服务是否正常。这套习惯让后来排查生产环境里那些「页面能开但下载很慢」「FTP 能登录但传大文件就断」的怪问题时省了大量的猜测时间希望帮到你。本文还有配套的精品资源点击获取