服务器FTP端口默认是21，但为了安全，建议根据实际场景修改默认端口并配置防火墙和被动端口范围。
FTP端口为什么默认是21？
FTP协议在RFC 959中定义，控制连接使用端口21，数据连接在主动模式下使用端口20，被动模式下使用随机高端口，这个设计沿用了几十年，但默认端口也意味着公开化，任何攻击者都会优先扫描21，了解这个背景,才能理解为什么修改端口是安全第一步。参考2
ftp端口怎么修改？
修改FTP端口需要区分操作系统和FTP软件，但核心思路一致：改配置、重启服务、放行防火墙。
Linux系统修改vsftpd端口
- 编辑配置文件：
vi /etc/vsftpd/vsftpd.conf - 添加或修改：
listen_port=2121 - 保存后重启：
systemctl restart vsftpd - 放行防火墙：
- firewalld：
firewall-cmd --permanent --add-port=2121/tcp && firewall-cmd --reload - iptables：
iptables -A INPUT -p tcp --dport 2121 -j ACCEPT
- firewalld：
Windows IIS修改FTP端口
- 打开IIS管理器，点击FTP站点
- 右键”编辑绑定”，选择ftp类型，修改端口号（如2121）
- 确定后重启FTP服务
- 在Windows防火墙中添加入站规则，允许新端口
修改后客户端必须指定端口
FTP客户端连接时，在主机名后加和端口号，例如
ftp.example.com:2121，如果使用被动模式,还需要确保服务器端被动端口范围与客户端规则一致。
服务器ftp端口21的安全隐患
默认端口暴露风险
- 自动化扫描工具将21端口作为重点目标
- 弱密码爆破攻击大部分针对默认端口
- 未授权访问尝试频率高，日志压力大
如何通过端口跳跃提升安全性
修改端口后，配合密钥认证或限制源IP连接，能显著降低被扫描概率，业内专家指出，修改默认端口可避免绝大多数自动化攻击,但无法防御定向攻击。
被动模式端口范围如何设置
被动模式下，服务器在指定端口范围内监听数据连接，如果范围未设置或防火墙未放行,客户端会连接超时。参考2
为什么需要设置被动端口范围
vsftpd默认随机分配高端口，但防火墙通常只开放了控制端口，设置范围后可以精准放行,减少连接失败。
vsftpd配置被动端口
- 编辑
/etc/vsftpd/vsftpd.conf - 添加：
pasv_enable=YES pasv_min_port=50000 pasv_max_port=50010 - 重启服务
防火墙放行端口范围
- firewalld：
firewall-cmd --permanent --add-port=50000-50010/tcp - 云服务商安全组同样需要添加该范围
ftp端口被占用怎么办
启动FTP服务时提示端口占用，常见原因是其他进程已使用该端口,或上次服务未正常关闭。参考2
查找占用端口的进程
- Linux：
netstat -tlnp | grep 21或lsof -i :21 - Windows：
netstat -ano | findstr :21，查看PID后通过任务管理器定位程序
解决端口冲突
- 如果占用程序不重要，可停止该服务：
systemctl stop <服务名> - 或者修改FTP端口到其他未占用值，按前文步骤操作
客户端配置调整
修改端口后，客户端连接时务必指定新端口,否则默认仍连接21。
不同场景下的ftp端口选择
国内服务器ftp端口配置
国内服务器通常需要备案，部分机房会对默认端口做限制，建议将FTP端口改为1024以上，避免使用80、443等常见服务端口，配置被动端口范围时，注意云服务商安全组规则,同时确保备案信息与业务一致。
海外服务器ftp端口灵活设置
海外服务器对端口限制较少，但同样建议修改默认端口，如果使用CDN或代理，需要确保端口映射正确,避免被动模式下的地址转换问题。
对比主动与被动模式端口差异
| 模式 | 控制端口 | 数据端口 | 防火墙要求 |
|---|---|---|---|
| 主动模式 | 21（可改） | 20（服务器主动连接客户端） | 客户端需开放20端口，NAT环境下易失败 |
| 被动模式 | 21（可改） | 随机高端口（可指定范围） | 服务器开放指定范围，配置更简单 |
主动模式在现代网络环境下容易受阻,行业共识认为被动模式更适用于大多数场景。
Q&A：服务器ftp端口常见问题解答
Q1: 修改FTP端口后连接不上，提示”连接超时”
A: 先确认服务是否已监听新端口，执行netstat -tlnp | grep 2121，然后检查防火墙是否放行该端口，云服务器还需检查安全组规则，如果配置了被动模式,确保端口范围也放行了。
Q2: 被动模式端口范围应该设多大
A: 取决于并发连接数，个人使用10-20个端口即可，企业环境建议100个以上，例如50000-50100，范围越大越能支持高并发,但防火墙规则也需要同步开放。
Q3: 为什么FTP端口21被占用，但不知道是哪个程序
A: 使用lsof -i :21（Linux）或netstat -ano | findstr :21（Windows）查看PID，然后通过ps或任务管理器定位程序，如果确认是遗留进程,可以强制结束并重启服务。
管理服务器FTP端口的核心是：修改默认端口，配置被动范围，严格防火墙规则。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e6%9c%8d%e5%8a%a1%e5%99%a8ftp%e7%ab%af%e5%8f%a3%e9%bb%98%e8%ae%a4%e7%ab%af%e5%8f%a3%e6%98%af%e5%a4%9a%e5%b0%91%ef%bc%9f%ef%bc%8c%e6%80%8e%e4%b9%88%e8%ae%be%e7%bd%ae%ef%bc%9f/
