FTP通信原理图核心揭示了客户端与服务器通过两条独立连接（控制连接以21端口建立，数据连接以20端口或随机端口建立）协同完成文件传输的机制，掌握主动模式与被动模式的区别是理解FTP通信的关键。参考2
FTP通信模型：控制连接与数据连接
FTP协议的设计理念是“分而治之”，将指令和文件传输分离，在FTP通信原理图中，你会看到两台设备之间建立了两个并行的连接，控制连接负责传递命令和响应，比如用户登录、文件列表、删除操作等；数据连接则专门负责传输文件内容，这种分离带来一个好处：当文件正在传输时，你仍然可以发送其他指令，互不干扰。
控制连接：指令的专用通道
控制连接由客户端主动发起,目标端口通常是服务器端的21端口，连接建立后，整个会话期间控制连接保持打开，直到客户端发送QUIT命令，所有FTP命令（USER、PASS、LIST、RETR、STOR等）以及对应的响应码（如230登录成功、550文件不存在）都通过这条通道传递，控制连接采用类似Telnet的文本协议，人眼可读，便于调试。
数据连接：文件的实际载体
数据连接用于传输实际的数据,包括上传文件、下载文件以及目录列表的返回，数据连接的生命周期很短暂，每次传输任务完成后就会关闭，它的建立方式取决于FTP的工作模式（主动或被动），这也是整张原理图里最需要理清的部分。
FTP主动模式与被动模式区别详解
行业中常说的“端口问题”、“防火墙导致FTP连接失败”，根源大多在于主动模式和被动模式的工作差异，FTP通信原理图通常会用两种子图来分别展示这两种模式的数据连接建立过程。
主动模式（PORT模式）工作原理
在主动模式下,客户端通过控制连接告诉服务器：“我开着某个端口等你来连”，具体步骤是：客户端在本地随机选择一个大于1024的端口（比如1025），然后通过PORT命令将IP和端口号发给服务器，服务器收到后，主动从自己的20端口连接客户端的那个端口，从而建立数据连接，这里的关键点是：参考2
数据连接是从服务器主动发起的。
适用场景：主动模式允许服务器控制数据连接，适合服务器能直接访问客户端的网络环境，但在今天，客户端往往处于防火墙或NAT之后，无法被外部直接连接，因此主动模式极易导致数据连接失败。
被动模式（PASV模式）工作原理
被动模式把主动权交给了客户端,客户端通过控制连接发送PASV命令，服务器收到后，打开一个临时端口（通常大于1023），然后告诉客户端：“我在这等你来连”，客户端主动连接服务器的那个临时端口，建立数据连接。关键点：数据连接由客户端发起。
适用场景：被动模式能很好地穿透客户端防火墙，因为数据连接是客户端主动发起的，防火墙通常允许出站连接，大多数互联网环境下的FTP客户端都默认使用被动模式。
两种模式对比
| 对比项 | 主动模式 | 被动模式 |
|---|---|---|
| 数据连接发起方 | 服务器 | 客户端 |
| 服务器端口 | 20端口（固定） | 临时端口（动态） |
| 客户端端口 | 随机端口（需开放接收） | 随机端口（发起连接，无需开放） |
| 防火墙友好度 | 低（客户端需开放入站端口） | 高（客户端只需出站） |
| 典型失败原因 | 客户端防火墙阻止服务器入站连接 | 服务器防火墙限制临时端口范围 |
FTP协议端口号21和20的作用
在FTP通信原理图中,端口号是标注最醒目的元素，搞清楚端口号的作用，才能理解为什么FTP的防火墙设置比HTTP复杂。
21端口：控制连接常驻
21端口是FTP服务的默认监听端口,用于控制连接，无论主动还是被动模式，客户端首先连接的就是服务器21端口，完成身份验证和命令交互，如果服务器没有开放21端口，客户端根本无法建立FTP会话，多数情况下，21端口固定不变，但管理员可以修改，只需客户端配置对应端口即可。
20端口与动态端口：数据连接的灵活性
20端口仅在主动模式下作为数据连接的源端口,这个端口是服务器主动发起的，客户端接收时通常需要开放相关端口才能接收，而在被动模式下，服务器不会使用20端口，而是使用一段动态端口范围（如1024-65535），具体范围由服务器配置决定，行业共识认为，被动模式对防火墙更友好，但需要管理员在防火墙上打开一段动态端口映射，否则传输也会失败。参考2
从原理图看FTP传输的完整流程
结合FTP通信原理图,我们可以模拟一次典型的文件下载过程：
- 客户端发起TCP三次握手,连接服务器21端口，建立控制连接。
- 客户端发送登录信息（USER、PASS），服务器验证后返回230。
- 客户端发送PASV命令请求被动模式,服务器返回127.0.0.1,10,20（示例IP和端口号）。
- 客户端解析返回的IP和端口,发起新的TCP连接，建立数据连接。
- 客户端发送RETR命令（下载文件），服务器通过数据连接发送文件内容，传输完成后关闭数据连接。
- 控制连接继续保持,等待下一条命令，直到客户端发送QUIT关闭连接。
如果使用主动模式,第3步变为客户端发送PORT命令告知自己的IP和端口，然后服务器从20端口主动连接客户端，这一步在NAT环境下经常失败，因为客户端私有IP无法被服务器直接访问。
常见FTP通信问题排查
- 连接超时：控制连接超时，通常检查服务器21端口是否开放，以及防火墙是否放行。
telnet <服务器IP> 21可快速验证。 - 数据连接失败：最常见的是主动模式被客户端防火墙阻断，解决办法：在客户端切换为被动模式，或在服务器端开放被动模式端口范围并配置对应的防火墙规则。
- 目录列表空白：主要是数据连接失败导致，可尝试切换模式或修改客户端传输模式设置。
-
传输速度慢：检查数据连接是否经过MTU限制或QoS策略，必要时调整FTP缓冲区大小。
FTP与SFTP、FTPS对比：安全传输方案的选择
当你在搜索“FTP原理”时，很可能也关心“FTP安全吗？”，FTP协议本身以明文传输密码和数据，在互联网环境下极为不安全，出现了FTPS（FTP over SSL/TLS）和SFTP（SSH File Transfer Protocol），FTPS在FTP基础上增加加密层，端口变为990（控制连接）；SFTP则完全基于SSH，使用22端口，非FTP协议，业内专家指出，如果对安全性要求较高，建议直接使用SFTP，因为它不仅加密传输，还便于穿透防火墙（只需一个端口），但自建FTP服务器成本较低，且配置简单，仍是内部局域网文件共享的常用方案。
FTP通信原理图的核心价值在于直观展示控制连接与数据连接的双通道设计,以及主动模式与被动模式在数据连接建立方式上的本质区别，无论是排查连接故障还是选择传输方案，理解这张图都能帮你快速定位问题，控制连接固定使用21端口，数据连接的模式决定防火墙策略，被动模式是当前互联网环境下的首选。
FTP通信原理常见问题
问：FTP控制连接和数据连接有什么区别？
简单说,控制连接传指令，数据连接传文件，控制连接贯穿整个会话，使用21端口；数据连接只在传输文件时临时建立，端口和模式相关，即使数据连接断开，控制连接仍可继续使用。
问：如何判断FTP连接失败是模式问题？
如果登录成功但目录列表或文件传输卡住,通常是数据连接失败，尝试在客户端切换主动/被动模式，或检查服务器是否配置了被动模式端口范围，也可用抓包工具（如Wireshark）观察控制连接中的PORT/PASV命令和响应，判断数据连接是否被中间设备阻断。
问：FTP端口号21和20可以更改吗？
可以,FTP服务器允许修改监听端口，但客户端需同步配置，修改后需在防火墙放行新端口，20端口仅在主动模式作为数据连接源端口，若服务器固定使用被动模式，20端口可以不用开放。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/ftp%e9%80%9a%e4%bf%a1%e5%8e%9f%e7%90%86%e5%9b%be%e7%9a%84%e5%b7%a5%e4%bd%9c%e5%8e%9f%e7%90%86%e6%98%af%e4%bb%80%e4%b9%88%ef%bc%9f%ef%bc%8c%e5%a6%82%e4%bd%95%e5%ae%9e%e7%8e%b0%ef%bc%9f/
