FTP服务器端所使用的熟知端口是21（控制端口）和20（数据端口），其中端口21负责建立连接与传输指令，端口20用于主动模式下的数据传输。所有FTP服务都默认监听这两个端口，超出这个范围则属于自定义配置或被动模式下的临时端口。
FTP端口21和20的区别：控制与数据通道
FTP在传输文件时，会同时使用两条独立的连接：控制连接和数据连接，控制连接始终使用端口21，数据连接根据传输模式不同，端口使用方式也不同。
控制连接：端口21的职责
端口21是FTP服务器的“总机”，负责接收客户端的登录请求、身份验证以及所有文件操作指令，比如列出目录、删除文件、重命名等，控制连接在整个会话期间保持开启，直到客户端主动断开或超时。
数据连接：主动模式下的端口20
当FTP工作在主动模式时，服务器会主动从端口20向客户端的监听端口发起数据连接，端口20只在数据传输时打开，传输完成后立即关闭，这种模式下，服务器端必须保证端口20能够对外发起连接，这意味着客户端防火墙需要允许来自服务器端口20的入站连接。
被动模式下的数据端口：随机高端口号
被动模式下，服务器不再强制使用端口20，而是随机开放一个高位端口（通常范围在1024-65535之间），并告知客户端来连接，客户端主动向服务器的高位端口发起数据传输，这种模式更适合客户端在防火墙或NAT环境下的使用，因为所有连接都是由客户端发起的。
FTP服务器端口设置：主动与被动模式配置
不同FTP服务器软件配置端口的方式略有差异，但核心思路一致：控制端口固定为21，数据端口模式决定了端口20是否被使用，以及被动模式端口范围如何定义。
Windows下FileZilla Server端口设置
在FileZilla Server界面中，通过“Edit”菜单下的“Settings”进入配置，在“General Settings”中，可以设置监听端口（默认21），在“Passive mode settings”中，需要指定被动模式端口范围（例如50000-50100），并确保防火墙开放这些端口，主动模式默认使用端口20，无需额外配置，但需保证服务器端能对外发起连接。
Linux下vsftpd端口配置
vsftpd的配置文件位于/etc/vsftpd.conf，控制端口通过listen_port变量设置（默认21），主动模式数据端口通过connect_from_port_20=YES启用，被动模式端口范围通过pasv_min_port和pasv_max_port指定，
– pasv_min_port=40000
– pasv_max_port=40010
配置完成后重启vsftpd服务，并更新防火墙规则，放行21端口以及被动模式端口范围。
防火墙规则与端口开放
无论是主动还是被动模式，端口21必须开放入站连接，主动模式还需要允许服务器通过端口20对外发起连接（出站方向），被动模式则需要开放指定的被动端口范围，以下是常见防火墙工具的操作要点：
– Windows防火墙：在“高级设置”中创建入站规则，允许TCP端口21；若使用被动模式，额外开放配置的端口范围。
– iptables：添加规则允许TCP 21，以及被动模式端口范围。
iptables -A INPUT -p tcp –dport 21 -j ACCEPT
iptables -A INPUT -p tcp –dport 40000:40010 -j ACCEPT
FTP端口被占用怎么办？排查与解决
端口21被占用是常见问题，通常由其他FTP服务器、Web服务器或系统服务占用导致，遇到时，可以按以下步骤排查。
检查端口占用情况
– Windows：在命令提示符中输入`netstat -ano | findstr :21`，查看该端口是否被占用，并记录PID，然后通过任务管理器找到对应进程并结束。
– Linux：使用`lsof -i :21`或`netstat -tuln | grep :21`，查看哪个进程占用了21端口，确认后可以通过`kill`命令终止或修改该进程的配置。
修改FTP服务器监听端口
如果21端口无法释放，可以将FTP服务器监听端口改为其他非标准端口，例如2121，需注意，修改后客户端连接时需指定端口号，如`ftp://example.com:2121`，防火墙规则也要相应调整。
防火墙阻塞导致端口不可达
有时端口并未被占用，但防火墙规则阻止了入站连接，可以临时关闭防火墙测试，若问题解决，则需添加正确的放行规则，注意，生产环境不建议长期关闭防火墙，应精确开放需要的端口。
FTP客户端端口与服务器端端口的对应关系
理解客户端端口与服务器端端口的关系，有助于排查连接问题，客户端端口是指客户端用于发起连接的高位端口，而服务器端端口是固定的熟知端口或配置的被动端口。
客户端使用的高位端口
当客户端连接服务器端口21时，客户端操作系统会随机分配一个高位端口（例如34567）作为源端口，这个端口仅用于当前控制连接，传输数据时可能会使用另一个高位端口，这些端口通常由系统自动管理，无需用户干预。
连接时的端口协商
在主动模式下，客户端在发送PORT命令时，会告知服务器自己监听的端口（通常是某个高位端口），服务器从端口20向该客户端端口发起连接，客户端需要允许从服务器端口20的入站连接，在被动模式下，服务器返回IP和端口号（被动端口范围中的某个端口），客户端主动向该端口发起连接，这时客户端出站规则通常没有限制，但服务器端必须开放被动端口范围的入站连接。
FTP服务器端口安全与最佳实践
默认端口21和20是FTP的标志，但也是攻击者的首要目标，适当调整端口和模式，能提升安全性。
使用非标准端口减少扫描
将控制端口改为非标准端口（如2121），可以避免大量自动化扫描工具的探测，但需注意，这不会对专注攻击者产生实质防护，只是增加了一层隐匿，配合防火墙只允许特定IP段访问，效果更佳。
推荐使用FTPS或SFTP
FTP本身传输明文，端口21和20的数据包容易被截获，在必须使用FTP时，建议启动FTPS（FTP over SSL），使用990端口作为隐式SSL控制端口，或使用显式模式在21端口上协商加密，如果条件允许，直接使用SFTP（SSH File Transfer Protocol，端口22）更安全，行业共识认为，新项目应优先考虑SFTP，尤其是在需要传输敏感数据的场景。
限制被动模式端口范围
如果服务器使用被动模式，不要将端口范围设置过大（例如1024-65535），而是指定一个较窄的区间（如50000-50050），这样既便于防火墙管理，也减少了暴露面，确保这些端口只对受信任的客户端IP开放。
FTP服务器端口相关问题解答
问题1：FTP服务器端口是21吗？可以用其他端口吗？
FTP服务器默认端口是21，这是IANA指定的熟知端口，但你可以将FTP服务器监听端口改为任意未被占用的端口，例如2121，修改后，客户端连接时必须指定端口号，否则默认会尝试21，需注意，控制端口修改后，主动模式下的数据端口20不做自动关联，如果主动模式仍使用20，则需确保服务器能通过20对外连接，但20端口与21端口没有强绑定关系。
问题2：FTP端口21和20一定要同时开放吗？
不一定，端口21始终需要开放，用于控制连接，端口20只在主动模式数据传输时使用，如果服务器配置为仅使用被动模式，则不需要开放端口20，只需开放被动模式端口范围即可，大部分现代FTP客户端默认使用被动模式，因此很多服务器只开放21和一段被动端口范围，而不需要20。
问题3：FTP服务器端口怎么修改？
修改FTP服务器端口，需在服务器软件配置中更改监听端口，以FileZilla Server为例，在“General Settings”中将“Listen on port”改为目标端口号，然后重启服务，在vsftpd中，修改配置文件中的listen_port参数，修改后，必须更新防火墙规则，放行新端口，并确保客户端连接时指定了正确的端口，如果使用主动模式，还需考虑端口20是否仍然需要开放，以及防火墙对出站连接的策略。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/ftp%e6%9c%8d%e5%8a%a1%e5%99%a8%e7%ab%af%e6%89%80%e4%bd%bf%e7%94%a8%e7%9a%84%e7%86%9f%e7%9f%a5%e7%ab%af%e5%8f%a3/
