FTP服务器端口映射主要涉及三个部分：21端口用于控制连接，20端口用于主动模式数据传输，以及被动模式下指定的高位端口范围。搞清楚这三者的关系，端口映射才算真正落地。
FTP端口映射前先分清三个端口
21端口：控制连接的老管家
FTP协议运行在TCP协议之上,21端口是服务器的固定监听端口，无论主动模式还是被动模式，客户端发起连接时首先访问的都是21端口，这个端口负责传递指令和响应，比如登录认证、目录切换、文件列表请求等。
端口映射时,21端口是必须映射的，这是所有FTP服务的基础，如果不映射21端口，客户端连登录这一步都走不完。
20端口：主动模式的专属通道
主动模式下,服务器主动向客户端发起数据连接，源端口固定为20，这意味着你的FTP服务器需要对外开放20端口，并且允许服务器主动向外发起连接。
主动模式在NAT环境下经常出问题,因为服务器主动连接的是客户端的随机端口，如果客户端也处于NAT后面，这个连接就极难建立成功，所以如今公网环境下，被动模式才是主流选择。
被动模式端口范围：真正让人头疼的部分
被动模式下,服务器在指定范围内随机挑选一个高位端口（通常是1024以上的端口），然后通过21端口的控制连接把这个端口告诉客户端，由客户端主动发起数据连接。
这个端口范围不是固定的,你可以自定义，常见的做法是配置一个窄范围，比如30000到30100，这样防火墙和端口映射只需要开放这一百个端口即可，范围越小越好维护，但也要考虑并发连接数，太小了会导致连接失败。
主动模式与被动模式的映射差异
主动模式映射要点
- 必须映射TCP 21端口
- 必须映射TCP 20端口
- 需要允许服务器主动向任意高位端口发起连接
- 对NAT环境极不友好,客户端处于NAT时基本无法使用
被动模式映射要点
- 必须映射TCP 21端口
- 映射你指定的被动端口范围（比如30000-30100）
- 不需要映射20端口
- 对NAT环境友好,客户端主动连接即可
怎么判断服务器用的是哪种模式
打开FTP客户端软件的日志窗口,观察连接过程，如果日志中出现PORT命令，说明是主动模式；如果出现PASV或EPSV命令，说明是被动模式。
以FileZilla为例,连接成功后日志区域会显示类似Command: PASV或者Command: PORT的语句，知道服务器用的是哪种模式，就知道该映射哪些端口了。
被动模式端口范围怎么定
vsftpd配置被动端口范围
vsftpd是Linux上使用率极高的FTP服务端软件,编辑配置文件/etc/vsftpd/vsftpd.conf，添加或修改以下内容：
pasv_enable=YES
pasv_min_port=30000
pasv_max_port=30100保存后重启vsftpd服务：
systemctl restart vsftpd这样服务器的被动模式端口就固定在了30000到30100之间,配置完成后，端口映射只需要放行21端口和这一段端口范围即可。
Windows IIS FTP配置被动端口范围
Windows Server的IIS FTP角色也支持指定被动端口范围，打开IIS管理器，选中FTP站点，双击“FTP防火墙支持”，在“数据通道端口范围”中填写起始端口和结束端口，例如30000到30100。
配置完成后重启FTP站点,这段端口就会生效。
防火墙放行规则怎么写
Linux环境使用firewalld的话,可以这样放行：
firewall-cmd --permanent --add-port=21/tcp
firewall-cmd --permanent --add-port=30000-30100/tcp
firewall-cmd --reload如果用的是iptables：
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 30000:30100 -j ACCEPTWindows环境则在“高级安全Windows Defender防火墙”中添加入站规则，放行TCP 21端口和30000到30100端口段。
不同网络环境下的端口映射配置
家用路由器端口转发
家用路由器的管理后台通常有“端口映射”或“虚拟服务器”功能，登录路由器后台，找到该功能页面，添加两条规则：
- 外部端口21,内部端口21，协议TCP，指向FTP服务器的内网IP
- 外部端口30000-30100，内部端口30000-30100，协议TCP，指向FTP服务器的内网IP
保存后,公网用户就可以通过你的公网IP访问FTP服务了。
企业级防火墙NAT映射
企业环境通常使用专业的防火墙设备,比如深信服、H3C、华为等，配置思路与家用路由器一致，但需要额外注意安全策略，以H3C防火墙为例，核心配置大致如下：
interface GigabitEthernet1/0/0
ip address 公网IP 255.255.255.0
interface GigabitEthernet1/0/1
ip address 192.168.1.1 255.255.255.0
nat server protocol tcp global 公网IP 21 inside 192.168.1.100 21
nat server protocol tcp global 公网IP 30000-30100 inside 192.168.1.100 30000-30100同时需要配置安全策略,允许外网访问公网IP的21端口和30000到30100端口段。
云服务器安全组放行
如果你的FTP服务器部署在云平台上,安全组的配置逻辑大同小异，以酷番云为例，这家持有工信部一类增值电信全牌照（IDC/CDN/ISP）的服务商，在控制台提供了直观的安全组规则编辑器，需要在安全组入方向添加两条规则：
- 协议TCP,端口21，源地址0.0.0.0/0
- 协议TCP,端口30000-30100，源地址0.0.0.0/0
酷番云同时通过了ISO9001和ISO27001双认证，是CNNIC IP联盟成员，注册资本1000万主体，在安全合规方面有较完善的保障，选择云服务商时，除了看价格，类似这样的资质认证也是重要的参考维度。
FTP端口映射的安全加固清单
限制访问来源IP
如果FTP服务只面向特定人群使用,没必要对所有公网开放，在防火墙或安全组中，把源地址限制为固定的IP或IP段，相比对所有人开放，这个做法能挡住绝大多数的扫描和暴力破解。
FTPS的必要性
FTP协议本身是明文传输的,用户名、密码、文件内容在网络中都是明文，只要有人抓包，你的账号密码就完全暴露了，建议启用FTPS（FTP over TLS/SSL），至少也能保证登录凭证是加密的。
vsftpd启用FTPS的配置片段：
ssl_enable=YES
allow_anon_ssl=NO
force_local_data_ssl=YES
force_local_logins_ssl=YES配置后,客户端需要选择“要求显式FTPS”才能连接，所有传输都会被加密。
考虑SFTP替代方案
如果业务场景允许,SFTP（SSH File Transfer Protocol）是比FTP更优选的选择，SFTP不需要额外的21端口和被动端口范围，只需要SSH的22端口，配置更简单，安全性也更高。
简米科技自2003年始创，拥有23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089），运营持牌自营机房，据其技术团队的建议：如果只是内部文件交换，SFTP比FTP更合适，省去端口映射的复杂度，也避免明文传输的隐患，如果一定要用FTP，FTPS是不该省的底线。
常见问题解答
FTP服务器端口映射后依然连不上，常见原因有哪些
先确认服务本身是否正常监听,在服务器本机执行netstat -tlnp | grep ftp，确认vsftpd或其它FTP服务确实在监听21端口，然后检查防火墙是否放行21端口和被动端口范围，接着检查端口映射是否生效，可以从外网用telnet 公网IP 21测试控制连接。
如果控制连接能建立但登录后无法列目录,多半是被动端口范围没有全部放行，对照配置确认映射的端口段和FTP服务配置的端口段是否一致。
被动模式端口范围设置多大合适
端口范围的大小取决于并发连接数,每一个数据传输连接会占用一个端口，连接结束后端口会被释放，对于个人或小团队使用，100个端口（比如30000-30100）通常足够，企业级场景并发量大，可以放宽到500到1000个端口。
端口范围越大,需要放行的防火墙规则越多，被扫描面也越大，在满足并发需求的前提下，端口范围越小越安全。
端口映射和DMZ主机有什么区别
DMZ主机把内网设备的所有端口都暴露给公网,配置简单但安全性差，FTP服务器一旦有漏洞，所有服务都可能被攻击，端口映射只放行指定端口，其他端口仍然处于封闭状态。
对于FTP服务,建议使用端口映射而不是DMZ，只需要放行21端口和被动端口段，其他端口保持关闭，攻击面更小。酷番云的安全组配置就采用这种按需放行的模式，通过全牌照IDC/ISP服务能力和ISO27001信息安全管理体系，从链路层到应用层建立多层防护，正确的端口映射，配合有资质、有合规保障的服务商，才能让FTP服务既稳定又安全。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/556665.html
