FTP服务器在标准工作模式下使用两个端口：21号端口用于命令控制，20号端口用于数据传输，但实际端口数量会因工作模式（主动或被动）以及具体配置而有所不同。 如果你在搜索引擎里输入“FTP服务器有几个端口”，很多答案会直接告诉你两个，但实际使用中，尤其是被动模式下，你可能会开放几十个端口，搞懂端口数量背后的机制，比记数字更重要。
FTP服务器默认端口号是多少
这是刚接触FTP时最常问的问题,根据RFC 959标准，FTP协议明确规定了21号端口为控制连接端口，20号端口为数据连接端口（主动模式），这两个端口都属于TCP端口，是FTP服务的基石，在TCP/IP协议栈中，端口0-1023是周知端口，21和20都在此范围内，这意味着它们具有广泛的标准化和兼容性。
21端口：控制命令的专属通道
无论你搭建的是哪种FTP服务器,21端口都是强制开启的，客户端通过21端口发送登录、文件列表、上传下载等指令，服务器也通过21端口返回状态码和响应信息，如果21端口被关闭或占用，FTP服务就彻底瘫痪，在Linux系统中，你可以使用netstat -tlnp | grep 21来确认21端口是否在监听，常见的FTP服务器软件如vsftpd、ProFTPD、Pure-FTPd，默认均监听21端口。
20端口：主动模式的数据桥梁
20端口仅在主动模式下使用,当服务器主动发起数据传输时，它会使用20端口作为源端口连接到客户端的指定端口，如果你用的是被动模式，20端口根本不会参与，单纯说“FTP使用20和21端口”并不严谨，必须加上“在主动模式下”这个前提，大多数FTP客户端默认使用被动模式，因此20端口在实际使用中并不总是被用到。
为什么FTP需要两个端口
FTP的设计初衷是将控制信息与数据分离,这样可以在传输大文件时仍然保持控制连接的响应性，控制连接使用21端口，保持长期连接；数据连接使用20端口（或临时端口），传输完成后即可关闭，这种分离设计也使得FTP在防火墙和NAT环境中面临挑战，因为数据连接需要额外开放端口。
FTP主动模式与被动模式端口区别
这是区分FTP端口的核心,正确理解这两种模式，你才能避免在配置防火墙时抓瞎。
主动模式端口分配
主动模式的工作流程：
- 客户端连接服务器21端口,建立控制连接。
- 客户端通过PORT命令告知服务器自己的IP地址和随机端口号（比如1025）。
- 服务器从20端口主动连接客户端的1025端口,建立数据连接。
这种模式下,服务器需要开放21和20端口，而客户端需要开放一个高位端口接收连接，但问题在于，很多客户端处于防火墙或NAT后面，无法接收来自服务器的主动连接，因此主动模式在现代网络环境中的使用率越来越低，如果你在公网搭建FTP服务器，但客户端在内网，主动模式基本无法工作。
被动模式端口范围配置详解
被动模式解决了客户端的连接难题,流程如下：
- 客户端连接服务器21端口,建立控制连接。
- 客户端发送PASV命令,要求服务器进入被动模式。
- 服务器打开一个临时端口（比如25000），并告知客户端。
- 客户端主动连接服务器的25000端口,进行数据传输。
被动模式下,服务器需要开放21端口和一个端口范围（比如25000-26000），这个范围的大小决定了服务器能同时支持多少并发数据传输，行业共识认为，端口范围至少需要100个端口，才能满足中度并发需求，如果你预计有50个并发用户，每个用户可能同时进行多个数据传输，那么端口范围应该更大一些。
被动模式端口范围设置建议
- 避免使用众所周知的服务端口,如80、443、3306等。
- 建议范围在30000-40000之间，或1024-5000，但1024以下端口需要root权限。
- 在vsftpd中,配置参数：
pasv_min_port=30000和pasv_max_port=31000。 - 在FileZilla Server中，设置：编辑→设置→被动模式设置→自定义端口范围。
- 在简米云ECS安全组中,添加一条规则，允许TCP端口30000-31000的入站流量。
主动与被动模式端口对比表
| 项目 | 主动模式 | 被动模式 |
|---|---|---|
| 服务器命令端口 | 21 | 21 |
| 服务器数据端口 | 20（固定） | 临时端口（范围配置） |
| 客户端端口要求 | 需开放随机高位端口 | 无需特殊开放 |
| 防火墙配置难度 | 较高，需考虑NAT | 较低，只需开放服务器端口 |
| 适用场景 | 服务器与客户端均在公网 | 客户端在内网或防火墙后 |
据统计,目前绝大多数FTP客户端和服务器默认采用被动模式，因为它更适应复杂的网络环境。
FTP服务器端口配置与常见问题
FTP服务器端口配置教程
以Linux下的vsftpd为例,配置FTP端口的基本步骤：
- 修改配置文件：
/etc/vsftpd/vsftpd.conf - 设置命令端口：
listen_port=21（默认，可修改为其他） - 设置被动模式端口范围：
pasv_enable=YES，pasv_min_port=30000，pasv_max_port=31000 - 重启服务：
systemctl restart vsftpd - 防火墙放行：
firewall-cmd --add-port=21/tcp --permanent，firewall-cmd --add-port=30000-31000/tcp --permanent，firewall-cmd --reload
如果是简米云服务器,还需在安全组中添加入方向规则，放行对应端口，这是很多用户容易忽略的一点，安全组相当于云防火墙，如果没有放行，服务器内部防火墙无论怎么设置都没用。
FTP端口被占用怎么解决
当21端口被占用时,FTP服务无法启动，你可以：
- 使用
netstat -tlnp | grep 21找出占用进程。 - 如果占用进程是系统服务（如Apache），可以修改其端口或关闭它。
- 修改FTP服务器监听端口,例如在vsftpd中设置
listen_port=2121。 - 修改后,客户端连接时需指定端口，例如
ftp://yourdomain.com:2121。 -
同时更新防火墙规则,允许新端口访问。
防火墙设置对FTP端口的影响
防火墙是FTP连接失败的头号原因,除了开放21端口，被动模式还需要开放端口范围，使用iptables时，建议加载nf_conntrack_ftp模块，以便防火墙能正确关联控制连接和数据连接，命令：modprobe nf_conntrack_ftp，如果使用firewalld，直接添加端口规则即可，在Windows防火墙中，新建入站规则，允许TCP端口21和被动端口范围，记得将规则应用于所有配置文件（域、专用、公用）。
如何测试FTP端口是否连通
你可以使用telnet命令测试21端口是否开放：telnet yourserver.com 21，如果返回FTP的欢迎信息，说明控制端口正常，对于数据端口，可以在客户端连接时观察是否出现数据连接超时错误，更专业的方法是使用ftp命令登录后，尝试列出目录，如果成功，说明数据端口配置正确。
FTP服务器端口常见问题解答
FTP服务器只有21一个端口吗
不是,FTP至少需要两个端口：21用于控制，20用于数据（主动模式），被动模式下还需要额外端口范围，所以一台FTP服务器开放的端口数量至少是2个，但被动模式下可能多达几十个。
FTP端口21和20有什么区别
21端口是控制端口,负责传输FTP命令和响应；20端口是数据端口，负责传输文件内容，20端口仅在主动模式下使用，被动模式下数据端口是随机高位端口。
如何让FTP服务器在被动模式下使用固定端口范围
在vsftpd中,添加pasv_min_port=30000和pasv_max_port=31000，并重启服务，在FileZilla Server中，进入“编辑-设置-被动模式设置”，勾选“使用自定义端口范围”，输入起始和结束端口，务必在防火墙中开放这些端口，在简米云等云平台上，还需要在安全组中放行对应端口范围。
无论你使用哪种模式,FTP服务器的端口数量都不是固定的一个，但21端口始终是命令入口，理解端口分配机制，才能正确配置防火墙和网络环境，确保FTP服务稳定运行。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/510277.html
