服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- 10 月 12 日公告针对使用 PUBLIC 端点的 SFTP 服务器，开放于所有提供该服务的 AWS 区域。
- 一台服务器最多配置 3 个端口，可用 22 或 2000–65535；CreateServer 不指定配置时仍是 22 加 SERVER_TALK_FIRST。
- 旧客户端可能等服务器先发标识；依赖 TCP piggy-back ACK 的客户端使用 CLIENT_TALK_FIRST，不确定时选 SERVER_TALK_FIRST。
- 变更后用获授权的非生产小文件核对连接与传输，并保留旧主机、端口和模式作为恢复依据；自定义端口不是安全保障。
这次改变适用于哪种 SFTP 服务器？
AWS 在 2026 年 10 月 12 日宣布，Transfer Family 公网 SFTP 服务器支持自定义端口和逐端口通信模式。SFTP 是通过 SSH 安全传输文件的协议，常用于企业与伙伴交换文件；这里的新增能力只适用于使用 PUBLIC 端点的 SFTP 服务器。
公告表示，所有提供 Transfer Family 公网 SFTP 服务器的 AWS 区域都可使用这项能力，不限于美国区域。资料没有给出准确上线时刻或本次自定义端口的单独收费说明；具体费用不能由端口数量或公告措辞推定。
当前用户指南开头仍笼统写 SFTP 使用端口 22，但同页新增的 SFTP custom ports 专节、ProtocolDetails API 条目和公告明确说明了 PUBLIC 端点的新范围。不要只凭旧开头判断只能使用 22，也不要把新范围套用到 VPC 端点。
先列出主机、端口和模式，最多保留 3 组端口配置
PUBLIC SFTP 端点最多配置 3 个端口。每个端口可以是 22，或 2000–65535 之间的整数；这不是任意端口范围。先收集伙伴的网络要求与客户端行为，再决定需要几组配置，不必为了用满额度而添加端口。
API 用 ProtocolDetails 中的 SftpPorts 列表描述配置，每项包含 SftpPort 和 CommunicationMode。前者是监听端口，后者决定连接建立时哪一端先发数据；同一服务器可以按客户端需要提供不同组合。
CreateServer 时省略这些配置，服务默认使用端口 22 和 SERVER_TALK_FIRST。记录交给每个伙伴的服务器主机名、端口与对应模式，避免客户端仍连接旧端口，却以为已经在验证新的设置。
握手停住时，先分清谁在等谁发数据
SERVER_TALK_FIRST 表示服务器先响应初始 TCP 连接。许多较旧的 SFTP 客户端会等待服务器发出标识字符串，再开始 SSH 协商；这类客户端应使用与其行为匹配的端口。
CLIENT_TALK_FIRST 表示服务器收到数据包后才响应初始连接。API 说明多数现代客户端支持先发送客户端标识；用户指南特别将此模式用于依赖 TCP piggy-back ACK 的客户端，即在 TCP 三次握手的最后一个确认包中携带数据。
选对模式可以减少某些客户端与服务器互相等待造成的握手停滞；API 还说明客户端先发模式更能应对初始 TCP 连接期间的重传。但它不是所有超时的修复方法。不确定客户端行为，或客户端不依赖这种 ACK 时，官方建议使用 SERVER_TALK_FIRST。
一个假设场景：两类伙伴不必共用同一种握手方式
以下是假设示例，没有实际执行：伙伴甲的旧客户端等服务器标识，伙伴乙的客户端明确需要先发数据。团队可以在同一 PUBLIC SFTP 服务器上，为甲保留 22 加 SERVER_TALK_FIRST，为乙安排 2222 加 CLIENT_TALK_FIRST；2222 只是合法范围内的示例，不是指定默认值。
分别把对应的主机名与端口交给伙伴，并确认其获授权网络允许连接该目标。不能仅凭客户端新旧就认定需要哪种模式，也不能让双方都改用新端口后，才发现旧客户端仍在等待服务器先发。
配置与验证分开做，失败时有旧组合可恢复
第一步，记录当前可用的主机名、端口、通信模式和对应客户端，按既有信任流程核对 SSH 主机密钥与用户认证。确定每个伙伴的真实要求及变更权限，不因换端口就重置主机密钥或放宽文件访问权限。
第二步，通过当前 AWS Transfer Family 控制台或支持这些字段的 AWS SDK 配置。新建服务器的指南将 SFTP custom ports 放在 Configure additional details 中；先选 SFTP 和 Publicly accessible 端点。现有服务器使用当前支持的配置入口并遵守自己的变更流程，本稿不提供未经核验的迁移命令。
第三步，在获授权的非生产环境，用实际要使用的客户端和不含敏感信息的小文件验证。确认连接的是记录中的主机和端口、SSH 身份核对通过、用户只有预期权限，再按许可测试上传或下载。只看到 TCP 连接建立，不能当作文件传输已经成功。
第四步，记录结果并保留原来可用的组合。新组合不通过时，按批准的变更流程恢复旧主机、端口与模式，再次验证；同时检查客户端错误和可用服务日志。这是读者的建议流程，本轮没有实际创建服务器、执行传输或验证恢复，也没有不停机切换的保证。
换端口能少一些扫描，安全与协议边界仍要保留
AWS 表示，使用 22 以外的端口可减少专门扫描 22 的自动化连接尝试。它不会把公网服务变成私有服务，也不保证没有扫描或攻击；SSH 主机身份、用户认证、最小权限和获授权的文件访问仍须保留。
用户指南明确说明，PUBLIC 端点不能用安全组限制流量。需要安全组时应评估 VPC 托管端点的独立方案，不能把 VPC 的端口或防护规则直接套到本次 PUBLIC 能力上。
SFTP 使用 SSH，与 HTTP 或 SOCKS 代理不是同一种协议。把端口改成代理常见的数字不会转换协议；客户端、端点、认证与允许的业务用途都必须匹配。
资料来源
常见问题
能把公网 SFTP 改成 443 端口吗？
本次官方支持范围是 22 或 2000–65535，443 不在其中。不要因网络只允许 HTTPS 常见端口就假定 SFTP 可用；应与有权限的网络维护人员核对允许的 SFTP 目标和合法端口。
配置两个或三个端口会额外收费吗？
这次公告和所核对的端口文档没有明确说明新增端口是否有单独费用，不能写成免费，也不能按端口数猜价格。计划变更前核对现行官方计费与自己的账户估算；本稿没有验证收费结果。
客户端没有“先发数据”的选项，该怎么配置？
CommunicationMode 是服务器每个端口的设置，不要求客户端一定有同名开关。先查客户端文档或由维护方确认其实际握手行为，再让它连接对应主机和端口；行为不明时按官方建议使用 SERVER_TALK_FIRST，而不是猜测一个隐藏选项。
模式匹配了还是连不上，下一步查什么？
分别检查目标主机与端口、获授权网络的出站限制、SSH 主机身份、用户认证与文件访问权限，并结合客户端错误和可用日志定位。握手、登录和上传下载是不同阶段；不要反复换模式、关闭身份核对或提高权限来掩盖尚未定位的问题。