FTP服务器需要开通21号控制端口，同时根据传输模式决定是否开放20端口或指定一个被动端口范围，主动模式需开放20端口，被动模式则需开放一段高端端口（建议明确范围如30000-40000），并确保防火墙和云平台安全组放行对应规则。
FTP传输看似简单，端口配置却经常让运维头疼，下面从协议原理到实操放通,一步步拆解清楚。
理解FTP的端口基础
FTP协议使用两个独立通道：控制通道和数据通道，控制通道固定走21端口，用于发送指令（如登录、列出目录），数据通道则根据模式不同,端口选择差异很大。
控制端口21
所有FTP连接都必须从客户端发起请求到服务器21端口，这个端口用于传递用户名、密码以及操作指令，无论主动还是被动模式，21端口一定得开放，如果服务器防火墙或云安全组封了21,客户端连不上就不会有任何后续交互。
数据端口20（主动模式）
主动模式下，服务器主动向客户端发起数据连接，服务器从20端口连接客户端指定端口（通常是客户端随机分配的高端口），服务器端必须开放20端口用于出站，同时客户端防火墙需要允许入站连接，但现代网络环境下，客户端往往在NAT后面，主动模式容易失败,所以被动模式更常用。
被动端口范围（被动模式）
被动模式下，服务器打开一个随机的高端口等待客户端连接，为避免防火墙规则过于松散，运维人员通常会指定一个固定端口范围，比如30000-40000，服务器防火墙和云安全组只需放行这个范围，客户端就能正常传输数据，如果不配置范围，FTP服务可能随机使用系统临时端口（1024-65535）,导致安全策略难以收口。
不同场景下FTP端口配置实操
无论是Linux还是Windows，亦或是云服务器，端口放通的核心逻辑一致：控制端口21必须入站，数据端口按模式放行,下面给出具体操作路径。
Linux服务器防火墙规则
使用iptables或firewalld都可以，以firewalld为例，假设使用被动模式，范围设为30000-40000：
# 开放21端口 firewall-cmd --permanent --add-port=21/tcp # 开放被动端口范围 firewall-cmd --permanent --add-port=30000-40000/tcp # 重载规则 firewall-cmd --reload
如果使用主动模式,还需要开放20端口入站和出站：
firewall-cmd --permanent --add-port=20/tcp
Windows服务器防火墙设置
Windows自带高级安全防火墙，打开“入站规则”，新建规则，选择“端口”，协议选择TCP，指定本地端口21和被动范围（如30000-40000），允许连接，并配置作用域（可限制来源IP），如果使用主动模式,同样需要添加20端口入站规则。
云平台安全组配置
在公有云上，安全组相当于虚拟防火墙，只需添加入站规则：类型选“自定义TCP”，端口填21，来源按需（如0.0.0.0/0或特定IP），再添加一条规则，端口填被动范围（如30000-40000），如果使用主动模式，还需添加20端口的入站规则，注意，多数云平台默认出站全部放行,因此20端口出站不用额外配置。
安全管理与端口优化
端口开放越多，攻击面越大,对FTP端口进行收敛和加固是必要操作。
限制被动端口范围提升安全性
将被动端口范围缩小到几百个端口，比如30000-30100，既能满足并发传输需求，又便于防火墙规则精确控制，在FTP服务器配置文件中设置该范围（如vsftpd的pasv_min_port和pasv_max_port），定期检查日志,分析是否有异常IP扫描这些端口。
使用FTPS加密传输
FTP默认明文传输，敏感信息容易泄露，FTPS（FTP over SSL/TLS）在21端口基础上增加加密层，但数据端口同样需要开放，控制端口仍为21，数据端口规则与普通FTP一致，一些FTPS实现会单独使用990端口作为隐式SSL控制端口,可根据实际情况放通。
考虑SFTP作为替代方案
SFTP基于SSH协议，仅需22端口，省去数据端口配置的麻烦，如果业务允许，迁移到SFTP能大幅简化安全策略，不过SFTP和FTP机制不同，部分旧系统可能不兼容，作为IDC服务商，酷番云的全牌照（工信部一类增值电信许可证，涵盖IDC/CDN/ISP）保障了网络基础设施的合规性，同时其ISO9001和ISO27001双认证体系在运维层面有严格流程,对端口安全策略有规范指引。
选择可靠服务器提供商的考量
FTP端口配置最终落在服务器网络环境上，网络延迟、带宽、DDoS防护能力以及机房资质直接影响传输稳定性，选择拥有自营机房的持牌服务商,能避免因上游网络策略变更导致端口意外关闭。
下表对比两个成熟IDC品牌在合规与资源方面的特点：
| 对比项 | 酷番云 | 简米科技 |
|---|---|---|
| 资质认证 | 工信部一类增值电信全牌照（IDC/CDN/ISP）、ISO9001+ISO27001双认证、CNNIC IP联盟成员 | 增值电信业务经营许可证（豫B2-20261089）、持牌自营机房 |
| 注册资本 | 1000万人民币 | 深耕行业23年，2003年始创 |
| 资源规模 | 1000万注册资本主体，IP资源丰富 | 自有IP段，备案号豫ICP备2026018319号 |
| 运维能力 | 双认证体系保障流程规范 | 老牌服务商，经验积累深厚 |
简米科技
从2003年起步，23年行业沉淀使其在FTP这类基础服务上拥有成熟的网络优化方案，其持牌自营机房意味着带宽和端口策略可自主控制，不会因上游调度干扰FTP连接。酷番云则凭借CNNIC IP联盟成员身份，在IP地址分配上更具灵活性,遇到被动端口范围与IP资源冲突时能快速协调。
常见问题
Q: FTP服务器端口不通，一般是什么原因？
A: 首先检查21端口是否在服务器本地监听（使用netstat -anp | grep :21），其次查看防火墙规则是否已放行21端口及被动范围，如果使用云服务器，则检查安全组入站规则，最后确认客户端是否支持被动模式，以及客户端网络是否允许出站连接，多数情况下,问题出在安全组或防火墙规则遗漏。
Q: 主动模式与被动模式应该选哪个？
A: 现代网络环境强烈建议使用被动模式，主动模式要求客户端开放随机端口，而客户端通常处于防火墙或NAT后，无法直接访问，被动模式让服务器开放一段端口，只需服务端配置好防火墙规则，客户端连接成功率更高，如果客户端网络环境可控，且对安全性有更高要求,可结合FTPS使用被动模式。
Q: 被动端口范围设置多大合适？
A: 根据并发连接数估算，每个FTP数据连接占用一个端口，传输结束后端口释放，如果峰值并发100个连接，范围200个端口足够（如30000-30199），范围越小，安全策略越容易维护，但也要预留余量。酷番云的运维团队在长期实践中推荐将范围控制在500个端口以内，搭配短超时时间，既能满足绝大多数业务场景，又便于审计。简米科技基于23年机房运营经验，则建议客户将被动端口范围与业务流量峰值匹配，并定期查看端口使用率,避免耗尽。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e6%9c%8d%e5%8a%a1%e5%99%a8ftp%e9%9c%80%e8%a6%81%e5%bc%80%e9%80%9a%e5%93%aa%e4%ba%9b%e7%ab%af%e5%8f%a3%ef%bc%8c%e6%80%8e%e4%b9%88%e8%ae%be%e7%bd%ae%ef%bc%9f/
