FTP 服务器端修改与配置主动模式指南
在 FTP 协议中，主动模式（Active Mode） 的工作原理是：客户端告知服务器一个随机端口，随后由服务器端主动发起连接请求到客户端的该端口以传输数据。
由于现代网络环境下客户端大多处于防火墙或 NAT（路由器）之后，主动模式经常会导致连接失败，如果你必须在服务器端配置或优化主动模式,请参考以下步骤。
主动模式的核心端口要求
在主动模式下,服务器端需要确保以下端口的通信畅通：
- 控制端口（Port 21）：用于接收客户端的登录指令和命令。
- 数据端口（Port 20）：服务器使用此端口作为源端口,主动连接客户端指定的端口。
服务器端防火墙配置
要使主动模式正常工作,服务器端的防火墙必须允许以下流量：
- 入站规则：允许 TCP 端口 21（接收客户端连接）。
- 出站规则：允许 TCP 端口
20
（服务器主动向外发送数据）。 - 注意：由于服务器是向客户端的随机高位端口发起连接，服务器的防火墙必须允许从端口 20 发出的所有出站流量。
常见 FTP 软件配置（以 vsftpd 为例）
如果你使用的是 Linux 下最常见的 vsftpd，可以通过修改配置文件 /etc/vsftpd.conf 来确保主动模式正常运行：
- 启用端口 20：
确保配置中包含以下项，以强制服务器使用端口 20 进行主动模式数据传输：
connect_from_port_20=YES - 禁用被动模式（可选）：
如果你希望强制用户使用主动模式，可以尝试关闭被动模式相关的端口范围配置（但通常建议两者同时开启以提高兼容性）。 - 重启服务：
修改配置后，执行systemctl restart vsftpd使其生效。
主动模式的潜在问题与解决方案
即便服务器端配置正确，主动模式仍经常失效，原因通常在
客户端：
- 客户端防火墙拦截：客户端的防火墙会拦截来自服务器端口 20 的入站连接。
- 解决方法：在客户端防火墙中允许 FTP 流量,或关闭客户端防火墙。
- NAT/路由器问题：客户端处于路由器后，服务器无法直接通过公网 IP 访问客户端的内网端口。
- 解决方法：在路由器上配置 FTP 算法（ALG） 或将端口映射至客户端。
主动模式 vs 被动模式 快速对比
| 特性 | 主动模式 (Active) | 被动模式 (Passive) |
|---|---|---|
| 控制连接 | 客户端 $rightarrow$ 服务器 (21) | 客户端 $rightarrow$ 服务器 (21) |
| 数据连接 |
服务器 $rightarrow$ 客户端 (20 $rightarrow$ 随机) | 客户端 $rightarrow$ 服务器 (随机 $rightarrow$ 随机) |
| 服务器端压力 | 较低（仅需开放 21, 20） | 较高（需开放一个端口范围） |
| 客户端压力 | 较高（需开放入站端口） | 较低（仅需出站连接） |
| 兼容性 | 差（易被客户端防火墙拦截） | 强（目前主流选择） |
总结建议：除非有特殊的安全审计要求或特定的旧系统兼容需求，否则建议优先使用 被动模式（Passive Mode），因为被动模式将连接压力转移到了服务器端,更容易通过配置服务器防火墙来解决连接问题。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/ftp%e6%9c%8d%e5%8a%a1%e5%99%a8%e6%80%8e%e4%b9%88%e6%94%b9%e4%b8%bb%e5%8a%a8%e6%a8%a1%e5%bc%8f%ef%bc%9f%ef%bc%8cftp%e4%b8%bb%e5%8a%a8%e6%a8%a1%e5%bc%8f%e8%bf%9e%e6%8e%a5%e5%a4%b1%e8%b4%a5%e6%80%8e/
