FTP服务器默认使用端口21建立控制连接，数据连接在主动模式下使用端口20，在被动模式下使用随机高端口（通常1024以上）。
FTP服务器端口设置：21端口是控制通道的基石
FTP协议将控制命令与数据分离,端口21专门用于传输登录、目录操作等控制指令，这个端口需要始终开放，否则客户端无法建立会话，由于21端口是众所周知的服务端口，经常成为扫描和攻击的目标，行业共识认为，将FTP服务器端口从21改为其他数值，可以显著降低被自动化脚本扫描的风险，但需要注意，更改后客户端必须明确指定端口号，否则无法连接。
端口21被占用时的排查方法
当你启动FTP服务器提示端口21被占用,多半是其他服务或另一个FTP实例占用了该端口，你可以使用以下命令快速定位：
- Windows系统：打开命令提示符，执行
netstat -ano | findstr :21，查看PID后通过任务管理器找到对应进程。 - Linux系统：执行
sudo lsof -i :21或sudo netstat -tlnp | grep :21，直接显示占用端口的程序名称。 - macOS系统：同样使用
lsof -i :21查找。
找到占用程序后,可以选择停止该服务，或更改FTP服务器端口号，如果端口被系统服务占用，比如某些版本的IIS或SMTP服务，你可以调整服务的端口配置，或者直接将其移至其他端口。
FTP端口更改方法
修改FTP服务器监听端口并不复杂,以常见软件为例：
- vsftpd（Linux）：编辑配置文件
/etc/vsftpd.conf，添加或修改listen_port=2121，保存后重启服务。 - FileZilla Server（Windows）：在界面中“编辑” -> “设置” -> “常规设置”，修改“监听端口”数值，重启服务。
- IIS FTP（Windows）：在IIS管理器中选择FTP站点，右侧“绑定”中修改端口号，并确保防火墙规则相应更新。
- ProFTPD（Linux）：修改配置文件
/etc/proftpd/proftpd.conf，设置Port 2121，然后重启服务。
更改后,务必在防火墙放行新端口，否则客户端无法连接，需要在客户端连接时指定端口，ftp://example.com:2121，如果使用命令行，则输入 ftp example.com 2121。
FTP主动模式与被动模式端口区别，如何选择？
FTP传输模式决定数据端口的使用方式,直接影响防火墙策略，主动模式中，服务器主动连接客户端的指定端口（通常是20），因此客户端必须允许来自服务器20端口的入站连接，被动模式中，服务器开放一个随机端口（通常范围在1024-65535），客户端主动连接该端口，因此服务器端需开放大量端口或配置端口范围。
两种模式端口配置要点
- 主动模式：适用于客户端具有公网IP且防火墙规则宽松的场景，配置时需确保服务器20端口出站正常，客户端防火墙允许服务器IP的20端口入站。
- 被动模式：适用于防火墙严格、客户端位于NAT后的场景，配置时需在服务器端指定被动端口范围（如vsftpd中设置
pasv_min_port=30000和pasv_max_port=31000），并在防火墙中放行该范围端口。
多数情况下,外网文件传输推荐使用被动模式，因为客户端无需开放入站端口，配置更简单，但需注意，被动模式要求服务器开放多个端口，安全策略需相应调整。
主动与被动模式端口对比简表
| 模式 | 控制端口 | 数据端口方向 | 防火墙要求 |
|---|---|---|---|
| 主动模式 | 21（或自定义） | 服务器 -> 客户端：20 | 客户端允许入站20端口 |
| 被动模式 | 21（或自定义） | 客户端 -> 服务器：随机 | 服务器开放随机端口范围 |
FTP安全端口配置：提升服务器防护能力
除了更改默认端口,还需要结合其他安全措施，业内专家指出，FTP本身明文传输，若需高安全性，应考虑使用FTPS（FTP over SSL/TLS）或SFTP（SSH File Transfer Protocol），但若只能使用传统FTP，端口配置需注意以下几点：
使用防火墙限制FTP端口访问
- 仅允许特定IP地址访问FTP端口（21或修改后的端口）。
- 使用白名单策略,拒绝所有其他来源。
- 监控端口连接日志,及时发现异常扫描。
示例：iptables限制FTP端口访问
在Linux服务器上,使用iptables限制对FTP端口的访问：
- 允许特定IP段访问21端口：
iptables -A INPUT -p tcp --dport 21 -s 192.168.1.0/24 -j ACCEPT - 拒绝其他来源：
iptables -A INPUT -p tcp --dport 21 -j DROP - 对于被动模式端口范围：
iptables -A INPUT -p tcp --dport 30000:31000 -j ACCEPT
若你使用firewalld,可使用 firewall-cmd 添加规则，效果相同。
更改被动端口范围并限制
对于被动模式,不要使用默认的任意端口，而是指定一个较小的范围（如50000-50100），并在防火墙中仅放行该范围，这可以避免开放过多端口，降低攻击面。
结合TLSL加密
即使端口已经更改,明文传输仍可能被窃听，建议启用FTPS，在端口21或更改后的端口上直接协商加密，数据通道同样加密，这样既隐藏了端口，又保护了内容，配置FTPS时，需要上传SSL证书，并在FTP服务器设置中启用显式或隐式TLS。
FTP服务器端口常见问题解答
FTP默认端口是什么，为什么有些服务器不用21？
FTP协议默认控制端口是21,数据端口主动模式是20，但很多服务器为了安全或避免端口冲突，会修改成其他端口，比如2121、2021等，客户端连接时需指定端口号，否则会尝试连接21，使用非标准端口可以有效减少被自动扫描工具发现的概率，增加一层安全防护。
如何测试FTP端口是否开放且工作正常？
可以使用telnet命令测试端口连通性,telnet example.com 21，如果出现FTP banner（如“220 vsFTPd ready”），说明端口开放，更全面的测试是使用FTP客户端连接，并尝试登录，也可使用在线端口扫描工具检测，但注意不要对他人服务器进行未授权扫描，利用 nmap -p 21 example.com 可以快速判断端口状态。
主动模式与被动模式端口选择有哪些实际考虑？
在办公网络内部,客户端通常能直接访问外网，主动模式工作良好，但在家庭或企业网络，客户端往往在NAT后，服务器无法主动连接客户端，此时必须使用被动模式，选择时，主要看你的FTP服务器部署位置和客户端网络环境，如果服务器面向公网，多数客户端走被动模式，配置被动端口范围并放行，如果只在局域网内使用，主动模式更加简单快捷。
掌握FTP端口机制，合理设置21端口或自定义端口，并根据网络环境正确选择主动或被动模式，是保障FTP服务稳定与安全的关键，务必结合防火墙规则，并对端口进行监控，抵御潜在威胁。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/577768.html
