FTP 服务器端口详解
FTP (File Transfer Protocol) 协议在工作时通常使用两个连接：控制连接和数据连接，为了确保 FTP 服务器能够正常运行，需要根据所使用的模式（主动模式或被动模式）开放相应的端口。
核心端口说明
- 端口 21 (TCP)：这是 FTP 的控制端口，无论是在主动模式还是被动模式下，客户端都通过此端口向服务器发送指令（如登录、列出目录、上传/下载请求），这是 FTP 服务器必须开放的端口。
- 端口 20 (TCP)：这是 FTP 主动模式 (Active Mode) 下的数据传输端口，服务器使用此端口主动连接客户端的数据端口，由于现代网络防火墙和 NAT 环境的限制，主动模式在实际应用中较少使用。
被动模式端口 (PASV)
在现代网络环境中,被动模式 (Passive Mode) 是最常用的连接方式，因为它能更好地穿透防火墙和 NAT。
- 工作原理：当客户端发起被动模式请求时，服务器会随机打开一个高位端口（通常在 1024-65535 之间），并通知客户端连接该端口进行数据传输。
- 端口范围配置：为了实现防火墙规则的精细化控制，通常会在 FTP 服务器配置文件（如 vsftpd.conf）中指定一个固定的被动端口范围。
- 建议配置：例如在配置文件中设置端口范围为
50000-50100，这样，防火墙只需要开放 21 端口和这 101 个端口即可，无需开放整个高位端口范围，从而提升安全性。
防火墙配置建议
在配置防火墙（如 iptables、ufw 或云服务器的安全组）时，请遵循以下原则：
- 必须开放：TCP 21 端口（用于建立控制连接）。
- 按需开放：如果使用被动模式，必须开放你在配置文件中指定的被动端口范围（50000-50100）。
- NAT 环境注意事项：FTP 服务器位于 NAT 之后（如云服务器），还需要在配置文件中设置
pasv_address为服务器的公网 IP 地址，否则客户端将无法成功建立数据连接。
安全性建议
FTP 协议本身是以明文方式传输数据（包括用户名和密码），存在较大的安全风险。
- 推荐使用 SFTP：SFTP 基于 SSH 协议（默认端口 22），提供加密传输，安全性更高，且防火墙配置仅需开放 22 端口，管理更简单。
- 使用 FTPS：如果必须使用 FTP，建议配置 FTPS (FTP over SSL/TLS)，通过加密保护数据传输，但这会增加额外的端口配置需求（通常涉及数据端口的加密处理）。
对于大多数现代 FTP 服务器部署，请确保开放 TCP 21 端口 以及你在配置文件中定义的被动端口范围，如果对安全性有要求，强烈建议优先考虑使用 SFTP。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/489134.html
