FTP服务器的标准端口号是21（用于控制连接）和20（用于数据连接），但实际使用中还需根据运行模式区分。
FTP协议的核心端口：21与20
FTP之所以有两个端口,是因为它把命令和数据传输分成了两个通道，这种设计让协议更灵活，但也让不少新手在配置时犯迷糊，下面我们拆开来看每个端口的具体职责。
控制端口21的任务
当你输入FTP地址、用户名和密码时，所有指令都走21号端口，这个端口只负责传递命令，打开文件列表”“上传文件”等，不传输实际文件内容，控制连接在整个会话期间保持打开，客户端和服务器通过它沟通。
数据端口20的职责
实际文件传输用的是20号端口，但它的工作方式取决于你用的是主动模式还是被动模式，在主动模式下，服务器主动从20端口向客户端的随机端口发起连接；在被动模式下，服务器打开一个随机端口（通常大于1024），客户端去连接那个端口，20端口在主动模式下固定使用，被动模式下反而只是一个临时端口池。
端口号在主动模式和被动模式下的变化
很多人在配置防火墙时搞混,就是因为没搞清楚模式，主动模式下，除了开放21，还需开放20，并且允许服务器向外发起连接，被动模式下，服务器不需要开放20，但需要开放一个端口范围（比如30000-40000），客户端连接这个范围内的任意端口，行业共识认为，被动模式更适合现代网络环境，因为大多数客户端处于NAT或防火墙后面，主动模式容易失败。
FTP端口21和20的区别：主动模式与被动模式彻底搞懂
这两个端口的使用场景差异很大,核心区别在于数据连接由谁发起，下面用表格直接对比。
| 特性 | 主动模式 | 被动模式 |
|---|---|---|
| 控制端口 | 21 | 21 |
| 数据端口 | 20（服务器主动连客户端） | 随机端口（服务器等待客户端连） |
| 客户端要求 | 需要开放临时端口接收连接 | 只需能发起出站连接 |
| 防火墙友好度 | 低，外部服务器连入客户端 | 高，客户端主动连服务器 |
| 常见场景 | 传统内网FTP服务器 | 互联网环境、云服务器 |
主动模式如何工作
客户端通过21端口发送PORT命令,告知服务器自己的IP和一个随机端口，服务器随即从20端口向该端口发起连接，如果客户端在NAT后面，服务器无法直接连到客户端的私有IP，连接就会失败，这也是为什么主动模式在公网环境中几乎不可用。
被动模式如何工作
客户端通过21端口发送PASV命令,服务器返回一个临时端口号，客户端主动去连接这个端口，由于连接由客户端发起，NAT和防火墙通常不会拦截。绝大多数FTP客户端默认使用被动模式，比如FileZilla、CuteFTP等，如果你在公司内网访问外网FTP，被动模式基本是唯一选择。
防火墙角度下的端口选择
配置防火墙时,主动模式只需开放21和20，但必须允许服务器主动发起的连接，被动模式则需开放21和一个端口范围，并将这个范围写入FTP服务器配置。无特殊需求时，建议采用被动模式加端口范围限制，提高安全性的同时兼容性更好。
FTP服务器默认端口怎么修改？操作步骤详解
默认端口容易遭扫描,修改端口号是基础安全举措，不同操作系统和FTP软件修改方式不同，但逻辑一致：改掉21和20，或者修改被动模式端口范围。
Windows环境下的端口修改（IIS FTP）
- 打开IIS管理器,找到“FTP站点”下的目标站点。
- 右键选择“属性”或“高级设置”，找到“FTP端口号”字段。
- 将默认的21改为你想要的端口,比如2121。
- 如果需要修改数据端口,在“FTP防火墙设置”中调整“数据通道端口范围”。
- 重启FTP服务使配置生效。
- 在防火墙上开放新端口,并确保客户端连接时指定非默认端口。
Linux环境下的端口修改（vsftpd）
- 编辑vsftpd主配置文件（通常位于/etc/vsftpd/vsftpd.conf）。
- 修改或添加以下参数：
listen_port=2121（控制端口）ftp_data_port=2020（数据端口，仅主动模式有效）pasv_min_port=30000和pasv_max_port=31000（被动模式端口范围）
- 保存并重启服务：
systemctl restart vsftpd。 - 在防火墙策略中开放新的控制端口和被动端口范围。
修改后客户端连接设置
客户端连接时,在地址栏输入ftp://ip:端口号
，例如ftp://192.168.1.100:2121，如果使用被动模式，确保服务器端被动端口范围已开放且客户端能通过。修改端口不影响FTP协议本身，但会避开常见扫描器，降低被暴力破解的风险。
FTP端口被占用怎么办？排查与解决
端口被占用会导致FTP服务无法启动,客户端连接超时，这种情况经常发生在服务器上同时运行了多个网络服务，或误配置了端口冲突。
查看端口占用情况
- Windows管理员权限下运行
netstat -ano | findstr :21，查看21端口是否被其他进程占用。 - Linux使用
ss -tlnp | grep :21或lsof -i :21，确认占用进程的PID。
更改FTP端口号或终止占用进程
如果占用进程不是必须的,可以终止它，例如Windows下用taskkill /PID 进程号 /F，Linux下用kill -9 PID，如果占用进程是核心服务，比如在IIS上FTP冲突，那就直接修改FTP端口为其他值，在服务配置中更改即可。
使用netstat命令快速定位
多数情况下,端口冲突是因为启动了多个FTP服务器软件，或者安全软件占用了21端口。业内专家指出，检查端口占用时先看系统日志，再结合netstat定位，能快速找到问题源头，如果被动模式端口范围也被占用，直接缩小范围或换一个范围段。
FTP服务器端口安全设置：防火墙与加密
光改端口还不够,你还需要在防火墙层面做访问控制，并结合加密协议保护传输内容。
防火墙开放端口规则
- 仅对信任IP开放21端口,拒绝所有其他来源。
- 被动模式端口范围只对特定IP段开放,或通过NFTable白名单限制。
- 在云服务器安全组中,入站规则只允许常见FTP客户端IP，出站规则根据模式灵活配置。
从FTP到FTPS或SFTP的端口变化
- FTPS（FTP over SSL）仍然使用21控制端口，但传输加密，数据端口可沿用被动模式范围。
- SFTP（SSH File Transfer Protocol）默认端口是22，与SSH共用，完全不同于FTP。
- 如果你的业务需要文件传输,但仍想保留FTP兼容性，FTPS是更好的选择；如果追求安全，直接上SFTP，端口号22更统一，防火墙配置也更简单。
端口号与安全性的平衡
修改端口、限制IP、启用加密，三者缺一不可。
统计数据表明，修改默认端口能过滤掉相当一部分自动化扫描攻击，但无法防止定向攻击，配合Fail2ban等工具，还能进一步限制暴力破解，行业共识认为，端口号本身不是安全措施，但它是整体防线的一部分。
其他FTP相关协议端口号对比
除了FTP本身的21和20,你还会遇到FTPS、SFTP、TFTP等，它们的端口号各不相同，下表帮你快速理清。
| 协议 | 默认端口 | 传输方式 | 安全特性 |
|---|---|---|---|
| FTP | 21/20 | 明文 | 无加密 |
| FTPS | 21（控制） | 加密 | 基于SSL/TLS |
| SFTP | 22 | 加密 | 基于SSH |
| TFTP | 69 | 明文 | 简单文件传输，无认证 |
TFTP常用于网络设备固件升级,端口69，不提供认证和加密，多数情况下，FTP和FTPS仍然是文件服务器的主流选择，而SFTP在Linux运维中更常见。
FTP服务器的端口号不仅仅是21和20两个数字,背后涉及主动与被动模式、修改与安全配置等多方面知识，记住核心：控制端口21，数据端口20（主动模式），被动模式则用随机端口，根据实际网络环境选择合适的模式，并做好端口安全设置，就能稳定运行FTP服务。
FTP服务器端口号是多少？相关常见问题解答
FTP端口21和20有什么区别？
21是控制端口,负责传输登录、目录操作等命令，不传输文件内容，20是数据端口，在主动模式下用于传输文件数据，被动模式下不强制使用20，而是服务器开放随机端口交给客户端连接，两者属于FTP协议的不同功能层，缺一不可。
FTP端口被占用怎么解决？
先使用netstat或ss命令找出占用端口的进程,再决定是终止该进程还是更改FTP端口号，如果占用进程是系统服务，比如Windows的IIS Admin，直接修改FTP配置中的端口为其他值（如2121），然后重启服务并开放新端口即可。
FTP服务器端口号可以修改吗？
可以,无论是Windows的IIS FTP还是Linux的vsftpd，都能在配置文件中修改控制端口和数据端口，修改后客户端连接时需要指定新的端口号，例如ftp://ip:2121，修改端口能有效减少自动化扫描攻击，但不能替代防火墙和加密措施。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/581789.html
