FTP主动模式登录服务器，需要客户端开放随机端口等待服务器20端口回连，因此防火墙配置和端口范围设置是成功的关键。
什么是FTP主动模式
FTP主动模式（PORT模式）是FTP协议的数据传输方式之一，客户端先连接服务器21端口进行控制通信，随后通过PORT命令告知服务器自己的IP地址和临时端口，服务器从20端口主动连接该端口来传输数据，整个过程要求客户端允许服务器20端口发起的入站连接。参考1
主动模式的工作原理
- 客户端发起控制连接：连接到服务器21端口，完成身份验证。
- 客户端发送PORT命令,包含客户端IP地址和临时端口（通常为大于1024的随机端口）。
- 服务器确认后,从20端口主动连接客户端的临时端口。
- 建立数据连接,开始传输文件。
- 传输结束后,数据连接关闭。
主动模式与被动模式的区别
主动模式适合服务器能自由访问客户端的环境，被动模式适合客户端有防火墙或NAT限制的场景。
| 项目 | 主动模式 | 被动模式 |
|---|---|---|
| 数据连接发起方 | 服务器（20端口） | 客户端（随机端口） |
| 客户端防火墙要求 | 需允许入站连接（来自服务器20端口） | 一般只需出站即可 |
| 服务器防火墙要求 | 开放21入站和20出站 | 开放21入站和Passive端口范围 |
| NAT环境适用性 | 较差，需额外配置 | 较好，通用性更强 |
| 典型应用场景 | 内网环境，服务器与客户端直连 | 互联网环境，客户端有防火墙 |
选择哪种模式取决于你的网络环境,如果客户端在路由器后面且无法修改防火墙，建议优先考虑被动模式，业内专家指出，在可控网络环境中主动模式可以减少被动模式端口范围配置的复杂性，但现代互联网环境下被动模式更通用。
FTP主动模式登录服务器的具体步骤
要成功使用主动模式登录服务器,需要从客户端和服务器两端进行配置，以下步骤涵盖常见操作。
客户端配置以FileZilla为例
- 打开FileZilla,点击“文件”>“站点管理器”。
- 选择或新建站点,在“传输设置”中，将“传输模式”选为“主动”。
- 进入“设置”>“连接”>“FTP”>“主动模式”，勾选“限制本地端口范围”，并设置一个较小的范围，例如50000-50010，这样便于防火墙规则设置。
- 在Windows防火墙或第三方防火墙中,添加入站规则，允许来自服务器IP地址、源端口20、目的端口为50000-50010的TCP连接。
- 保存设置,连接服务器。
服务器端配置以vsftpd为例
在Linux服务器上,编辑vsftpd配置文件（通常位于/etc/vsftpd/vsftpd.conf）：
- 确保
port_enable=YES。 - 设置
connect_from_port_20=YES，让服务器强制使用20端口回连。 - 如果需要,可设置
ftp_data_port=20，但一般默认即可。 - 保存后重启vsftpd服务：
systemctl restart vsftpd。
FTP主动模式防火墙设置示例
服务器端：开放21端口入站，开放20端口出站。客户端：开放指定端口范围入站，并限制源IP为服务器地址，如果双方在不同网络，需检查路由器端口转发，在Windows防火墙中，你可以在“高级安全Windows Defender防火墙”中新建入站规则，选择“端口”，协议TCP，特定本地端口填入50000-50010，作用域中限定远程IP为服务器地址，允许连接，这样既满足功能又提升安全性。
验证连接
使用命令
ftp或客户端连接，查看传输日志，如果看到“227 Entering Passive Mode”但你想用主动模式，需检查客户端设置是否正确，成功时，日志会显示“PORT”命令和“150 Opening data connection”，如果出现“425 Can’t open data connection”，通常说明防火墙或端口范围有问题。参考1
主动模式登录失败的常见原因
主动模式配置比被动模式稍复杂,失败多与网络环境有关。
防火墙拦截
多数情况下,故障原因是客户端防火墙拒绝了服务器20端口发起的连接，你可以尝试暂时关闭客户端防火墙测试，如果恢复，则需调整防火墙规则，另一种常见情况是服务器端20端口被出站规则阻止，据统计，大部分主动模式登录失败案例都源于此。
客户端在NAT内部
如果客户端的内网地址通过路由器转换,PORT命令发送的是私网IP，服务器无法直接回连，需要客户端在PORT命令中发送公网IP（FileZilla可在设置中指定“被动模式”下的外部IP，但主动模式没有直接选项），这种情况下建议改用被动模式，或者使用支持FTP代理的客户端。参考2
服务器未开启主动模式
有些FTP服务器默认只开启被动模式,需检查配置，例如在vsftpd中，确保port_enable=YES，且connect_from_port_20=YES，如果服务器使用SELinux，还需要允许ftp相关端口。
端口范围设置不当
如果客户端端口范围太窄,或者防火墙未覆盖完整范围，也会导致连接失败，建议设置一个范围，并在防火墙中明确放行，避免使用系统保留端口，在FileZilla中，主动模式端口范围设置可以在“编辑”>“设置”>“连接”>“FTP”>“主动模式”中指定，这就是调整FTP主动模式端口范围的直接途径。
主动模式下的端口范围与安全
为简化安全配置,可以在客户端固定主动模式使用的
端口范围，然后在防火墙中仅放行此范围，在FileZilla中，你可以在“主动模式”设置中指定本地端口范围，例如50000-50010，在防火墙规则中，只允许来自服务器20端口、目的端口为50000-50010的入站连接，其他入站连接全部拒绝，提升安全性，这种做法在需要频繁使用主动模式的环境中非常实用。
FTP主动模式登录服务器常见问题解答
为什么我使用主动模式时，总是提示“无法打开数据连接”？
这通常是因为服务器无法回连到客户端,请检查客户端防火墙是否允许来自服务器20端口的入站连接，你可以尝试在客户端关闭防火墙测试，如果问题解决，则需要添加防火墙规则，确保客户端没有在NAT后面，或者已经配置了正确的公网IP，如果客户端通过路由器上网，主动模式往往无法正常工作，此时应改用被动模式。
主动模式需要打开哪些端口？
服务器端需要开放21端口（控制连接）和20端口（数据连接出站），客户端需要开放一个随机端口范围（如50000-50010）用于接收服务器回连，并在防火墙中允许来自服务器20端口的入站连接，建议在客户端限制端口范围，避免开放所有高位端口，在FileZilla中你可以通过主动模式设置指定这个范围，然后防火墙规则只需针对该范围配置即可。
什么情况下应该使用主动模式而不是被动模式？
主动模式更适合服务器能够直接访问客户端的环境,例如客户端在公网且无防火墙限制，或者在内网中服务器与客户端直连，如果客户端有严格防火墙或NAT，被动模式更可靠，行业共识认为，在可控网络环境中，主动模式可以减少被动模式端口范围配置的复杂性，但现代互联网环境下被动模式更通用，如果你在配置FTP主动模式登录服务器时遇到困难，优先检查网络拓扑和防火墙规则，必要时切换模式。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/ftp%e4%b8%bb%e5%8a%a8%e6%a8%a1%e5%bc%8f%e6%80%8e%e4%b9%88%e7%99%bb%e5%bd%95%ef%bc%8cftp%e4%b8%bb%e5%8a%a8%e6%a8%a1%e5%bc%8f%e8%bf%9e%e6%8e%a5%e5%a4%b1%e8%b4%a5%e6%80%8e%e4%b9%88%e5%8a%9e%ef%bc%9f/
