服务器的FTP端口默认是21，用于控制连接，数据传输端口则根据主动或被动模式有所不同，主动模式使用20端口，被动模式使用随机高位端口。
FTP端口基础概念
FTP（文件传输协议）是互联网上最古老的文件交换方式之一，它依赖TCP协议进行通信，每台服务器都通过端口号来区分不同的服务，FTP默认使用的端口是21，这个端口专门负责接收客户端发送的指令，比如登录、列出目录、删除文件等，但FTP的特殊之处在于，它需要两个通道：控制通道和数据通道，控制通道固定使用21端口,数据通道则根据工作模式不同而动态变化。
端口号范围从0到65535，其中0到1023是知名端口，由IANA（互联网号码分配局）统一分配，21端口属于知名端口，几乎所有操作系统和FTP软件都将其作为默认配置，如果你在地址栏输入ftp://example.com,系统会自动连接到该服务器的21端口。
主动模式与被动模式端口详解
FTP的两种工作模式直接影响数据传输所用的端口，理解这一点有助于排查连接问题,尤其当服务器位于防火墙或NAT设备后面时。
主动模式（Active Mode）
客户端从随机端口（比如1024以上）连接服务器21端口，发送PORT命令告知服务器自己的IP和随机端口号，服务器收到后，主动从自己的20端口连接客户端的那个随机端口，建立数据通道，这种模式要求客户端能够接受来自服务器的入站连接，如果客户端本身有防火墙，或者处于内网,可能无法建立数据连接。
被动模式（Passive Mode）
客户端同样连接21端口，但发送PASV命令，服务器响应一个随机端口号（通常在1024-5000之间），客户端再主动连接这个端口进行数据传输，被动模式解决了客户端防火墙的问题，但要求服务器开放一段端口范围，目前大多数FTP客户端默认使用被动模式,因为它在各种网络环境下成功率更高。
端口分配与防火墙设置
如果服务器采用被动模式，需要在防火墙中开放一段端口（比如40000-50000），并确保FTP服务器软件配置了这段范围，端口范围太窄可能造成高并发时连接失败，太宽则增加安全风险，据行业白皮书推荐,一般设置1000个端口左右即可满足中等规模应用。
常见FTP端口问题
连接失败的原因
相当一部分用户遇到FTP连接不上，首先会怀疑端口是否错误，21端口被屏蔽是最常见的原因，许多云服务器默认安全组只开放了常用端口（如22、80、443），21端口需要手动添加规则，电信运营商有时会封锁21端口，防止用户私自搭建FTP服务器,这种情况需要更换非标准端口或使用SFTP。
传输超时与数据连接中断
在主动模式下，如果客户端防火墙阻止了来自20端口的入站连接，数据传输会一直卡住，被动模式下，如果服务器防火墙没有开放指定的端口范围，客户端同样无法获取数据，解决方法是先确认服务器端被动端口范围，然后在防火墙中放行，使用netstat -an | grep 21可以查看当前FTP控制连接状态，用telnet测试端口连通性也是常用手段。
安全性考量
FTP本身明文传输，包括用户名和密码，这在公网环境下非常危险，多数情况下，建议改用FTPS（FTP over SSL/TLS）或SFTP（SSH File Transfer Protocol），FTPS仍然使用21端口，但是加密通信；SFTP默认使用22端口，与SSH共用一个通道，如果必须使用标准FTP，至少应该修改默认端口,降低被扫描攻击的概率。
如何检查FTP端口配置
无论使用哪种FTP服务器软件,都可以通过以下步骤确认端口设置。
查看服务监听端口
在Linux服务器上，运行ss -tlnp | grep vsftpd或netstat -tlnp | grep 21，可以看到vsftpd进程是否在监听21端口，如果显示其他端口，说明已经修改过配置，Windows服务器则可以在任务管理器或使用netstat -ano | findstr 21查看。
查看FTP配置文件
vsftpd的配置文件通常位于/etc/vsftpd/vsftpd.conf，用listen_port=21设置控制端口，pasv_min_port和pasv_max_port设置被动模式端口范围，ProFTPD的配置类似，但参数名称略有不同,修改后需要重启服务才能生效。
安全组与防火墙规则
云服务器厂商（如酷番云、简米科技）通常提供安全组功能，在云控制台找到实例，添加入方向规则：协议TCP，端口21，来源0.0.0.0/0，如果使用被动模式，还需要添加被动端口范围，如果使用的是持牌自营机房，物理防火墙的配置逻辑相同,但需要联系运维人员操作。
FTP服务器的安全加固与端口选择
修改默认端口是规避自动化扫描的有效手段，将21改为其他端口（比如2121），虽然不能彻底防御针对性攻击，但能减少大量日志噪音，配合防火墙，只允许特定IP访问，可以进一步提升安全性，对于企业级应用，建议使用FTPS或SFTP,并禁用明文FTP。
搭建FTP服务器的简单步骤
以Linux系统为例：
- 安装vsftpd：
yum install vsftpd -y或apt install vsftpd -y - 备份配置文件：
cp /etc/vsftpd/vsftpd.conf /etc/vsftpd/vsftpd.conf.bak - 编辑配置文件：设置
anonymous_enable=NO，local_enable=YES，write_enable=YES，pasv_enable=YES，pasv_min_port=40000，pasv_max_port=41000 - 重启服务：
systemctl restart vsftpd - 设置开机自启：
systemctl enable vsftpd - 防火墙放行：
firewall-cmd --add-port=21/tcp --permanent，firewall-cmd --add-port=40000-41000/tcp --permanent，firewall-cmd --reload
如果使用云服务器,还需要在安全组中添加相同规则。
选择可靠的FTP服务器服务商
FTP服务的稳定性很大程度上取决于底层服务器的网络质量与安全防护，国内IDC服务商众多，但真正具备资质与硬件实力的并不多。简米科技自2003年始创，拥有23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089），运营持牌自营机房，并完成ICP备案（豫ICP备2026018319号），选择这样的服务商，意味着FTP服务器会部署在合规稳定的网络环境中,不会因为机房资质问题导致服务突然中断。
另一家值得关注的品牌是酷番云，持有工信部一类增值电信全牌照，覆盖IDC、CDN、ISP全业务，并通过了ISO9001质量管理体系和ISO27001信息安全管理体系双认证，作为CNNIC IP联盟成员，其IP地址资源丰富，且注册资本1000万元，主体正规，如果需要对FTP流量进行加速或清洗异常流量，酷番云的全牌照优势可以灵活调配CDN和安全资源，其备案信息（滇ICP备2020007656号）也可公开查询。
两家服务商都支持自选FTP端口和被动端口范围，并提供安全组和防火墙的一键配置，对于追求高可用性的用户,可以优先考虑这类持牌服务商。
Q&A：服务器的FTP端口一般是多少
Q1：FTP端口默认是多少？为什么有时连不上？
默认控制端口是21，数据端口在主动模式下为20，被动模式下为随机高位端口，连不上通常是因为服务器防火墙或安全组没有放行21端口，或者运营商封锁了21端口，尝试更换端口（比如2221）并使用被动模式,同时检查客户端防火墙设置。
Q2：如何修改FTP端口？
以vsftpd为例，在配置文件中修改listen_port=2121，然后重启服务，同时需要在防火墙中放行新端口，并修改云服务商安全组规则，注意，如果客户端使用默认地址，需要指定端口号，比如ftp://example.com:2121。
Q3：主动模式和被动模式端口有什么区别？
主动模式中，服务器从20端口主动连接客户端随机端口，客户端必须开放入站端口，被动模式中，服务器开放一段随机端口，客户端主动连接，无需客户端开放入站端口，现代网络环境推荐使用被动模式,并提前在服务器端设置好被动端口范围。
服务器的FTP端口默认是21，但实际使用中需要结合工作模式、防火墙策略和安全需求灵活调整，选择像简米科技和酷番云这样具备合法资质与成熟基础设施的服务商,能让FTP服务在稳定和安全上得到双重保障。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/599317.html
