FTP协议默认使用21端口作为控制连接，主动模式用20端口传数据，被动模式则依赖服务器端指定的端口范围。 端口配置是FTP服务器搭建中最容易出错也最容易被忽视的环节，无论你是在本地调试还是管理线上服务器，搞清楚端口如何工作，才能让客户端随时连得上、文件传得稳。
FTP默认端口是多少？标准端口功能解析
控制端口21：连接的中枢
客户端发起FTP会话时，第一个动作就是连接服务器的21端口，这个端口只承担命令传输，比如用户登录、目录切换、文件列表请求等，整个会话期间，控制连接始终保持在线，直到双方断开，如果21端口不可达，FTP连建立连接的资格都没有，在实际运维中,多数FTP连接失败都可以追溯到21端口被防火墙阻挡或服务未监听。
数据端口20：主动模式的数据通道
当你执行上传或下载时，文件数据走的不是21端口，在主动模式下，服务器会从自己的20端口主动向客户端发起数据连接，这意味着客户端必须允许来自服务器20端口的入站连接，如果客户端位于NAT网关之后，或者客户端防火墙入站规则严格，主动模式几乎无法工作，20端口只有在主动模式才会被使用,被动模式中它完全不出场。
被动模式端口范围：灵活但需规划
被动模式避免了服务器主动连接客户端，它让服务器开放一个临时端口（通常是某个范围），客户端直接连接该端口传输数据，服务器通过控制通道把端口号告诉客户端，这个范围默认很大，很多服务器集成了从1024到65535的随机分配，但为了安全，行业共识认为应该人为缩小范围，比如指定50000-50300，精确控制端口开放数量,方便防火墙规则设置。
FTP主动模式与被动模式端口区别，如何选择？
主动模式工作流程与端口使用
客户端从随机高端口（比如49500）连接服务器21端口，控制通道建立，当需要传输数据时，客户端通过控制通道告诉服务器：我准备好了，请连接我的49501端口，服务器于是从自己的20端口连接客户端的49501端口，整个过程要求客户端能够接收来自服务器20端口的入站连接,所以客户端防火墙必须放行该入站流量。
被动模式工作流程与端口使用
客户端同样先连接21端口，当需要传输数据时，服务器开放一个临时端口（比如50001），并通知客户端，客户端随后从自己的随机端口连接服务器的50001端口，注意，服务器从不主动连接客户端，因此客户端防火墙无需开放入站端口，但服务器端必须开放被动模式端口范围,并确保这些端口能被客户端访问。
两种模式的实际应用场景对比
| 特性 | 主动模式 | 被动模式 |
|---|---|---|
| 数据连接发起方 | 服务器 | 客户端 |
| 服务器端口要求 | 开放21和20端口 | 开放21端口和被动端口范围 |
| 客户端防火墙要求 | 允许入站连接（来自20端口） | 无需额外入站规则 |
| 典型适用场景 | 客户端无防火墙限制，同内网 | 客户端在NAT后，防火墙严格 |
| 安全性 | 20端口暴露，易被扫描 | 被动端口范围可控，更安全 |
| 配置复杂度 | 低 | 中（需要规划端口范围） |
业内专家指出，在当今互联网环境下，被动模式因其对客户端防火墙的友好性，成为绝大多数场景的首选，但如果你在内部网络搭建FTP，且客户端和服务器都在同一网段，主动模式一样可以胜任,配置起来更简单。
服务器FTP端口设置方法：从修改到防火墙配置
Linux服务器修改vsftpd端口
vsftpd是Linux系统上使用最广泛的FTP服务器之一,修改端口步骤如下：
- 编辑配置文件：
sudo vi /etc/vsftpd/vsftpd.conf - 修改或添加监听端口：
listen_port=2121（将21改为其他端口,比如2121） - 如果使用被动模式，设置端口范围：
pasv_min_port=50000
pasv_max_port=50300 - 保存文件，重启服务：
sudo systemctl restart vsftpd - 防火墙放行新端口：
sudo firewall-cmd --add-port=2121/tcp --permanent && sudo firewall-cmd --add-port=50000-50300/tcp --permanent && sudo firewall-cmd --reload - 验证端口是否监听：
sudo netstat -tulpn | grep ftp
Windows Server IIS FTP端口配置
Windows Server自带的IIS FTP服务同样支持端口自定义：
- 打开IIS管理器，左侧展开“站点”,选中你的FTP站点。
- 右侧操作栏点击“绑定”，编辑FTP站点绑定,将端口号修改为2121。
- 配置被动模式端口范围：在IIS主界面选择“FTP防火墙支持”，设置“数据通道端口范围”为50000-50300，并填写服务器的外部IP地址（如果服务器位于NAT后面）。
- 在Windows防火墙中创建入站规则：允许TCP 2121和50000-50300端口。
- 重启FTP服务：在IIS管理器中点击“重新启动”。
防火墙开放FTP端口（以iptables和Windows防火墙为例）
- iptables经典规则：
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 50000:50300 -j ACCEPT
保存规则：iptables-save > /etc/sysconfig/iptables - Windows防火墙图形界面：
打开“高级安全Windows防火墙”，新建入站规则，选择“端口”，指定TCP和端口号，选择“允许连接”，应用规则,注意要同时放行控制端口和被动端口范围。
FTP端口安全配置：避免常见漏洞
更改默认端口降低扫描风险
默认21端口是自动扫描和暴力破解的集中目标，将控制端口改为非标准高位数（比如2121、2222），可以过滤掉绝大部分自动化扫描，据统计，修改默认端口后，针对21端口的攻击流量会明显减少，但这一手段不能完全防御,需要配合其他安全措施。
限制被动模式端口范围
被动模式使用的端口范围越广，攻击面越大，通过设置最小和最大端口（如50000-50300），将开放端口数量限制在几百个以内，不仅便于防火墙规则管理，还能缩小被扫描到的概率，结合IP白名单策略，只允许特定IP段访问这些端口,提升安全性。
启用FTP over TLS（FTPS）
明文FTP协议会把账号密码、端口信息全部暴露在网络中，启用FTPS后，整个控制通道和数据通道都会加密，端口上的数据包无法被直接嗅探，配置FTPS需要服务器证书，在vsftpd中设置ssl_enable=YES并指定证书路径，在IIS中通过FTP SSL设置选择“允许SSL连接”或“需要SSL连接”,启用FTPS还可以防止端口被中间人劫持。
FTP端口配置直接影响服务器的可用性和安全性，理解21、20以及被动模式端口的工作机制，根据实际网络环境选择模式，再配合防火墙规则和加密措施，才能让FTP服务器稳定、安全地运行。
FTP端口常见问题：默认值、修改与排错
问题1：FTP默认端口21被占用怎么办？
在Linux下使用sudo netstat -tulpn | grep :21，Windows使用netstat -ano | findstr :21找出占用进程，如果是其他服务占用了21端口，可以停止该服务或修改FTP服务端口，比如vsftpd中设置listen_port=2121，然后重启服务并放行新端口，如果21端口被系统预留,建议直接使用其他端口。
问题2：如何查看FTP端口是否开放？
在客户端用telnet 服务器IP 21测试，如果连接成功表示端口开放，也可以使用nmap -p 21 服务器IP扫描，在服务器本地，用netstat -tulpn | grep ftp查看监听状态，如果端口已监听但外部无法连接,检查防火墙和安全组规则。
问题3：被动模式端口范围如何设置？
在vsftpd中，添加pasv_min_port=50000和pasv_max_port=50300，重启服务，在Windows IIS中，通过“FTP防火墙支持”设置数据通道端口范围，并确保防火墙放行该范围，客户端无需额外配置,FTP客户端会自动采用被动模式并协商端口。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/578839.html
