FTP服务器的默认端口号是21，用于建立控制连接；数据传输默认使用20端口（主动模式），但实际场景中被动模式更常见，端口范围需额外配置。
FTP默认端口号21的由来与作用
FTP（File Transfer Protocol）诞生于上世纪70年代，由IETF在RFC 959中标准化，协议设计之初就区分了控制通道和数据通道，端口21专门负责传输指令、用户名、密码以及目录操作等控制信息。控制连接始终使用端口21，这一设定在后续所有FTP服务器实现中延续，包括vsftpd、ProFTPD、FileZilla Server以及Windows IIS的FTP服务。
控制连接建立后,真正的文件传输靠数据连接完成，数据端口的选择取决于FTP的工作模式，但无论如何，21端口是客户端连接服务器的第一道门槛，如果服务器关闭或屏蔽了21端口，任何FTP客户端都无法开始通信。
FTP端口21与20的区别
很多人以为FTP只用21端口,其实20端口在主动模式下扮演关键角色。主动模式（Active Mode）中，服务器主动从20端口向客户端发起数据连接，而客户端必须打开一个临时端口等待，这一模式在企业防火墙环境中容易受阻，因为外部服务器主动连接内部客户端通常被规则拦截。
被动模式（Passive Mode）则不同：服务器打开一个随机高位端口（通常1024以上），客户端从自己的任意端口连接该端口，此时数据连接不再使用20端口，而是由服务器配置一个端口范围，20端口仅在主动模式生效，而被动模式下的端口范围需要管理员显式设置。
下表对比两种模式端口使用情况：
| 模式 | 控制端口 | 数据端口 | 常见场景 |
|---|---|---|---|
| 主动模式 | 21 | 服务器20 → 客户端随机端口 | 内网传输，防火墙规则宽松 |
| 被动模式 | 21 | 服务器随机端口（如10000-10100） | 互联网传输，通过NAT/防火墙 |
如何确认FTP服务器默认端口号
不需要猜,验证方法很直接，在Windows上打开命令提示符，输入netstat -an | find "21"，可以看到是否有进程在监听21端口，Linux或macOS终端用sudo lsof -i :21或netstat -tuln | grep 21，如果返回类似LISTEN的状态，说明FTP服务正在使用默认端口。
在客户端连接时,如果不指定端口，大多数FTP客户端默认使用21，例如FileZilla连接地址栏直接写ftp.example.com，它会自动补全端口21，如果服务器改用了其他端口，则需要显式填入，比如ftp.example.com:2121。
ftp服务器默认端口号是多少这个问题，答案永远是21，但前提是服务未做自定义修改，多数云服务商和主机商提供的FTP服务默认端口也是21，部分托管商为安全考虑会改为非标准端口，这是例外，不是默认。
修改FTP服务器默认端口号的场景与方法
ftp服务器默认端口修改方法是运维人员的常见需求，改端口能减少被扫描器攻击的概率，但不会增加真正的安全性（加密传输才是关键），常见场景包括：同一台服务器运行多个FTP实例、端口21被其他服务占用、安全策略要求不使用知名端口。
Linux vsftpd修改步骤：
- 编辑配置文件
/etc/vsftpd/vsftpd.conf。 - 找到或添加
listen_port=2121（想改的数字）。 - 重启服务：
systemctl restart vsftpd。 - 防火墙开放新端口,并关闭21端口（如果之前有规则）。
Windows IIS FTP修改：
- 打开IIS管理器,选择FTP站点。
- 在右侧“操作”点击“绑定”。
- 修改端口号,类型选FTP（非FTP/S，除非你要SSL）。
- 确保防火墙允许新端口入站。
修改后,客户端连接时需指定端口，否则无法连接，如果用于被动模式，f tp服务器被动模式端口范围也需要相应调整，例如vsftpd中添加pasv_min_port=30000和pasv_max_port=31000，并在防火墙放行。
FTP端口21被占用怎么办
ftp 21端口被占用是常见问题，运行FTP服务时提示“bind failed: Address already in use”，说明21端口已被其他进程占用，先用netstat -ano | find "21"（Windows）或lsof -i :21（Linux）找到占用进程的PID，然后通过任务管理器或kill命令结束它，如果该进程是系统关键服务（如Windows的World Wide Web Publishing Service），需要先停止它，再启动FTP服务。
另一个方案是不解决占用,直接修改FTP服务端口，如上所述，如果是临时测试，可以用netstat -aon看到占用端口的具体进程，判断是否可以关闭，Skype早期版本喜欢占用80和443端口，很少占用21，但其他软件可能意外占用，建议先排查，再决定是否修改默认端口。
FTP主动模式与被动模式端口差异
ftp主动模式被动模式端口区别不仅在于端口号，更在于连接方向，主动模式（PORT）下，服务器从20端口连接客户端高位端口，因此客户端必须允许入站连接，这对宽带用户或NAT环境不友好，因为路由器通常阻挡外部主动连接。
被动模式（PASV）下，服务器开放一个临时端口，客户端发起连接，符合大多数防火墙的“允许出站，拒绝入站”策略。互联网环境下被动模式更为普遍，但服务器端需要配置被动端口范围，否则客户端无法连接，FileZilla Server默认启用被动模式，端口范围可在设置中自定义。
常见误区：
- 认为FTP只用21端口实际还有数据端口。
- 认为被动模式不需要开放端口服务器端需要开放端口范围。
- 认为修改端口就能完全隐藏服务扫描工具很容易发现非标准端口上的FTP。
如何安全配置FTP端口
FTP服务器端口号21在明文传输时非常脆弱，用户名和密码直接暴露在网络上，业内专家指出，FTP本身没有加密能力，早该被SFTP或FTPS替代，如果必须使用FTP，至少做到以下几点：
- 限制可连接IP（如主机防火墙白名单）。
- 使用非标准端口（如2121）降低被扫描概率。
- 开启FTPS（FTP over SSL）或切换到SFTP（SSH File Transfer Protocol）。
- 被动模式端口范围不要太大,比如只开放20个端口，并监控日志。
对于Windows IIS FTP，可以设置FTP SSL策略要求“允许SSL连接”，并选择证书，Linux vsftpd通过ssl_enable=YES开启SSL，并指定证书路径。
ftp服务器端口号设置完成后，务必用客户端测试连接，如果使用被动模式，检查防火墙是否放行了指定端口范围，很多配置问题根源是端口未放行，而非FTP服务本身。
Q&A：FTP服务器默认端口号常见问题解答
Q: FTP服务器默认端口号是多少？
A: 控制连接默认端口21，数据连接主动模式默认20，被动模式为服务器随机指定端口，需单独配置。
Q: 为什么我连接FTP服务器总是超时，21端口已经开放？
A: 常见原因包括：防火墙未放行被动模式端口范围、客户端与服务器模式不匹配（如服务器只支持主动模式而客户端在NAT后）、FTP服务未绑定正确IP，建议先在服务器端用telnet 127.0.0.1 21测试本地能否连接，再排查网络层。
Q: 如何将FTP服务器默认端口21改为其他端口？
A: 修改FTP服务器配置文件中监听端口参数（如vsftpd的listen_port），重启服务，并确保新端口在防火墙中放行，客户端连接时需在地址后加冒号和端口号，例如ftp://example.com:2121。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/513398.html
