FTP服务器的两种模式主动模式（PORT）和被动模式（PASV）核心区别在于数据连接建立的方向，选择哪种模式取决于你的网络环境对防火墙和NAT的适应能力，主动模式适合服务器完全可控的内网，被动模式则更适合公网环境或需要穿透防火墙的场景。
FTP主动模式与被动模式区别详解
主动模式（PORT）：服务器主动敲门
主动模式下,客户端先连接服务器21端口发送控制命令，之后通过PORT命令通知服务器自己的IP和随机端口，服务器收到后从20端口主动向客户端发起数据连接。
- 控制连接：客户端→服务器21端口，由客户端发起
- 数据连接：服务器20端口→客户端指定端口，由服务器发起
这种模式在早期FTP设计中很常见,但客户端必须开放一个入站端口供服务器连接，如果客户端在防火墙后面或使用NAT，服务器可能无法连接，导致数据通道失败。
被动模式（PASV）：客户端主动敲门
被动模式流程相反：客户端连接21端口后发送PASV命令，服务器开启一个随机高位端口并告知客户端，随后客户端主动连接该端口建立数据通道。
- 控制连接：客户端→服务器21端口，由客户端发起
- 数据连接：客户端→服务器随机端口，由客户端发起
被动模式对客户端友好,因为数据连接也由客户端发起，客户端无需开放入站端口，但服务器需要开放一系列端口供客户端选择，对服务器防火墙配置要求更高。
两种模式端口配置差异
- 主动模式：服务器只需开放21和20两个端口，但客户端需允许来自服务器20端口的入站连接。
- 被动模式：服务器需要开放21端口加上一段数据端口范围（如50000-50100），客户端只需能出站到这些端口。
行业共识认为,被动模式在现代互联网环境中更为普遍，因为多数客户端位于NAT或防火墙后，被动模式能更好地适应这些限制。
FTP服务器端口设置与防火墙配置
主动模式下的防火墙策略
如果你在内部局域网搭建FTP服务器且客户端和服务器在同一网段,主动模式配置简单，但客户端必须允许入站连接：
- Windows防火墙：在客户端，创建入站规则允许TCP 20端口，或临时关闭防火墙测试。
- 路由器：如果客户端在NAT后，主动模式几乎无法工作，因为服务器无法直接路由到客户端私有IP。
被动模式下的防火墙策略
被动模式是公网FTP服务器的首选,关键在于服务器端配置：
- FileZilla Server：进入“编辑”->“设置”->“被动模式设置”，勾选“使用自定义端口范围”，设置如50000-50010，并在“被动模式IP”中填入服务器公网IP或域名。
- Windows防火墙：创建入站规则允许TCP 21和50000-50010。
- 路由器端口转发：将21端口和数据端口范围映射到内网服务器。
- Linux vsftpd：编辑
/etc/vsftpd.conf，添加pasv_enable=YES、pasv_min_port=50000、pasv_max_port=50010、pasv_address=公网IP，重启服务后放行防火墙端口。
端口范围大小与安全
数据端口范围大小取决于并发连接数,每个数据连接占用一个临时端口，传输完成后释放，如果并发数少，10个端口足够；并发高可扩展到100个，但端口越多攻击面越大，建议根据实际需求设定，并配合访问控制列表只允许FTP程序使用这些端口。
两种模式优缺点对比与选择策略
| 特性 | 主动模式 | 被动模式 |
|---|---|---|
| 数据连接发起方 | 服务器 | 客户端 |
| 服务器端口需求 | 21,20 | 21 + 随机端口范围 |
| 客户端端口需求 | 需要开放入站端口 | 仅需出站连接 |
| 防火墙友好度 | 对客户端防火墙不友好，对服务器防火墙友好 | 对客户端防火墙友好，对服务器防火墙要求高 |
|
NAT穿透能力 | 弱，服务器需直接连接客户端IP | 强，客户端只需连接服务器IP |
| 适用场景 | 内部网络，服务器与客户端无防火墙/NAT | 公网或客户端在防火墙/NAT后 |
主动模式的优势与局限
- 优势：服务器端口配置简单，只涉及21和20；日志清晰，易于监控。
- 局限：客户端必须开放端口，不适合NAT或防火墙后的客户端；如果客户端在内网，主动模式可能因无法路由而失败。
- 适用场景：服务器和客户端在同一广播域，无防火墙阻拦，或客户端可配置入站规则。
被动模式的优势与局限
- 优势：客户端无需开放入站端口，适合绝大多数现代网络环境；更易于穿透防火墙和NAT。
- 局限：服务器需要开放多个端口，增加攻击面；需要正确配置被动模式IP和端口范围，否则连接失败。
- 适用场景：客户端通过NAT上网，或服务器在公网；企业对外提供FTP服务。
业内专家指出,被动模式对防火墙穿透性更好，因此多数企业对外FTP服务默认采用被动模式。
常见故障排查：FTP连接失败原因分析
主动模式连接失败
- 现象：客户端连接后，在列出目录时超时或失败。
- 原因：客户端防火墙阻止了服务器20端口入站连接，或客户端在NAT后无法接收连接。
- 解决：尝试关闭客户端防火墙或切换到被动模式，若必须使用主动模式，配置客户端防火墙允许20端口入站，或使用路由器做端口映射（但实现复杂，不推荐）。
被动模式连接失败
- 现象：客户端收到“227 Entering Passive Mode”后，卡在“连接数据通道”状态。
- 原因：服务器被动模式端口范围未开放，或服务器返回的IP地址客户端无法访问（如内网IP）。
- 解决：检查服务器防火墙和路由器端口转发是否配置正确，确认被动模式IP设置为公网IP或域名，在FileZilla Server中，勾选“使用外部IP地址”并填入公网IP，在vsftpd中，确保
pasv_address
防火墙与路由器配置总则
- 服务器端：入站规则放行21端口和数据端口范围。
- 路由器：端口转发21端口和数据端口范围到内网服务器IP。
- 客户端：一般无需配置，但如果在主动模式下，需允许入站20端口。
FTP两种模式核心问题解答
Q1: 主动模式和被动模式哪个更安全？
没有绝对安全的模式,两者风险不同，主动模式需要客户端开放入站端口，增加客户端被攻击风险；被动模式要求服务器开放多个端口，可能扩大攻击面，在正确配置下两者均可安全使用，更高安全需求应配合FTPS（FTP over SSL/TLS）或SFTP，同时限制数据端口范围仅被FTP服务使用，并启用防火墙日志监控。
Q2: 为什么我无法在被动模式下列出目录内容？
这通常是因为服务器返回的数据端口或IP地址客户端无法访问,检查服务器是否在NAT后，被动模式IP是否设置正确，防火墙或安全组是否放行了数据端口范围，在云服务器（如简米云、酷番云）上，需要在安全组中同时开放21端口和数据端口，使用客户端日志查看返回的IP和端口，并用telnet 服务器IP 数据端口测试连通性。
Q3: 如何查看当前FTP连接使用的是哪种模式？
在FileZilla客户端,连接成功后查看日志窗口，如果看到“PASV”命令，说明使用的是被动模式；如果看到“PORT”命令，则是主动模式，在命令行FTP，输入ftp -d yourserver，控制连接中会显示发送的命令，也可以通过查看服务器端日志，确认客户端使用了哪种模式。
选择哪种模式取决于你的实际网络拓扑，被动模式是大多数现代环境的首选，但主动模式在内网特定场景下依然有效，正确配置端口与防火墙，并测试验证，是确保FTP服务稳定运行的关键。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/513322.html
