ftp服务器端口21和20有什么不同，ftp端口21和20的区别是什么

FTP服务器的21端口负责“发号施令”，20端口负责“搬运货物”，两者分工完全不同，搞清楚这点能解决大半FTP连接故障。

很多人在折腾FTP服务器时,都会遇到“能登录但列不出目录”“下载文件卡死”这类问题，翻遍教程，答案往往都指向端口设置，但21和20到底谁管什么，多数文章含糊其辞，今天就用大白话把它们之间的那点事掰扯清楚。

控制连接与数据连接：FTP双通道的底层逻辑

要理解21和20的区别,得先明白FTP协议跟普通HTTP协议最大的不同：HTTP只用一个通道，而FTP天生就是双通道架构。

行业共识认为,FTP从诞生起就设计成了两个独立的连接：控制连接和数据连接，控制连接用于传输指令，比如输入用户名、密码，或者敲入LIST、RETR这些命令；数据连接才真正干体力活，比如列出文件列表、上传下载文件。

21端口：全程监听的“指挥官”

21端口是控制连接的默认监听端口,服务器启动FTP服务后，会一直守候在21端口，等待客户端来打招呼，客户端连接时，第一步就是建立到21端口的TCP连接。

这条控制连接有个特点：整个会话期间都保持开启，从登录到退出，不管中间有没有传文件，这条通道始终存在，它就像一个指挥官，不下场干活，只负责发口令、收战报，你敲的每一个命令、服务器返回的每一个状态码，都走这条通道。

20端口：主动模式下的“搬运工”

20端口是主动模式下数据连接的默认源端口，这里需要划个重点：20端口不是永远都必须存在的，只有在主动模式下，服务器才会使用20端口主动向客户端发起数据连接。

主动模式的工作流程大致如下：客户端告诉服务器“我开放了一个端口等你来连”，于是服务器就从自己的20端口发起一条新的TCP连接，去连客户端的那个端口，这条连接建立后，文件数据才开始传输。

主动模式（PORT）与被动模式（PASV）的端口差异

这里有个坑,90%的初学者都会踩进去：以为FTP永远只用21和20两个端口。只有主动模式才用到20端口，被动模式根本不碰20端口。

两种模式的工作机制对比：

• 主动模式（PORT）：客户端连接服务器21端口，服务器再主动从20端口连回客户端指定的随机端口，问题在于，客户端通常在内网（NAT后面），服务器根本连不进去，这导致主动模式在现在的网络环境下经常失败。



• 被动模式（PASV）：客户端连接服务器21端口，服务器随机开放一个高位端口（比如30000-40000），然后告诉客户端“来连我这个端口”，数据连接由客户端发起，绕开了防火墙限制，所以现在的FTP客户端默认都用被动模式。

为了更直观地理解,我整理了一个对比表：

为什么ping通21端口却无法传文件：数据连接被拦的典型场景

理解了上面的逻辑,再来看实际运维中最常见的问题：服务器21端口明明可以登录，但一列目录或传文件就卡住，这个现象背后的原因，往往是数据连接没建立起来。

防火墙规则只放行了21端口

很多人在云服务器安全组或本地防火墙里只放行了21端口,结果主动模式下服务器用20端口发起数据连接时直接被防火墙拦死，解决办法是同时放行20端口，并且开启FTP状态跟踪模块，以Linux上常用的firewalld为例，可以这样操作：

firewall-cmd --permanent --add-service=ftp
firewall-cmd --reload

--add-service=ftp会自动放行21端口，同时加载nf_conntrack_ftp模块来识别FTP数据连接，这样被动模式的随机端口也能正常穿越防火墙。

主动模式还是被动模式：客户端里怎么选

如果你在FileZilla这类客户端里连接服务器,协议设置里默认是“使用主动的FTP”或者“被动（推荐）”，公网服务器通常推荐被动模式，而内网直连场景下主动模式可能更顺手。

关键点在于：客户端的模式选择必须和服务器端的防火墙配置匹配，服务器只开放了20端口和21端口，那就选主动模式；服务器开放了21端口加一段被动端口范围，那就选被动模式。

PASV模式下的数据连接端口范围

被动模式不用20端口,但需要服务器开放一段连续的随机端口，以vsftpd为例，最小化配置如下：

pasv_enable=YES
pasv_min_port=30000
pasv_max_port=31000
pasv_address=你的公网IP

配置完毕后,重启vsftpd服务，同时需要在防火墙里放行30000-31000这个端口段，这一步做完，被动模式的数据连接就畅通了。

FTP端口选择的避坑指南：从连接到传输的完整排查清单

理清端口原理后,结合实操经验，整理了一套标准的排查顺序，不管你是自己搭服务器，还是帮客户排障，按下面步骤走能省不少时间。

第一步：验证21端口控制连接是否正常

• 使用telnet 服务器IP 21命令测试，如果返回220开头的欢迎信息，说明控制连接没问题。
• 如果超时,检查服务器防火墙、云安全组入方向规则是否放行21端口。
• 检查FTP服务是否启动,比如Linux下执行systemctl status vsftpd。

第二步：验证数据连接是否正常

• 客户端切换到主动模式,执行ls命令，如果卡住，重点检查服务器20端口出方向是否被防火墙拦截。
• 客户端切换到被动模式,执行ls命令，如果卡住，检查服务器是否配置了pasv_min_port和pasv_max_port，以及这些端口段是否放行。
• 在Linux服务器上用tcpdump -i eth0 port 20抓包，看有没有从20端口发出去的SYN包，有包但客户端没回应，大概率是客户端所处网络的防火墙把入站连接拦了。

第三步：排查公司网络中Web服务器端口冲突的情况

有些公司网络中,FTP服务器和Web服务器部署在同一台机器上，这时候要注意：21端口和80端口互不干扰，但Web服务器如果使用了被动模式FTP的高位端口段，可能会和某些应用端口冲突，建议规划端口段时避开常见的服务端口，比如30000-31000就比40000-41000更安全。

第四步：FTP服务器的端口设置策略建议

纯粹用21和20两个端口做主动模式,适合在完全受控的内网环境，对于公网环境，建议采用如下策略：

• 控制端口：固定使用21端口，不要修改，因为FTP客户端的默认行为就是连21。
• 数据传输：采用被动模式并指定固定端口段（比如30000-31000），方便在防火墙上精确放行。
• 安全加固：对主动模式的20端口，只允许特定源IP访问，避免被扫描。

FTP、SFTP与FTPS：端口概念容易混淆的三兄弟

讨论FTP端口时,必须提一下SFTP和FTPS，因为这三者经常被混为一谈，实际上它们连协议都不同，更不用说端口了。

• FTP：明文传输，默认21端口和20端口数据通道，密码和数据都裸奔，能被抓包直接看到。
• FTPS（FTP over SSL）：在FTP基础上加了TLS/SSL加密，默认端口还是21（控制连接），但数据连接也走加密通道，主动模式下依然使用20端口。
• SFTP（SSH File Transfer Protocol）：和FTP完全无关的另一种协议，基于SSH，默认使用22端口，它不区分控制连接和数据连接，一个端口干完所有事。

Q&A：FTP服务器端口21和20常见问题解析

为什么我改了FTP服务器端口后，客户端连接提示“无法解析主机名”？

修改FTP端口后,客户端必须在主机名后面加冒号和端口号，例如ftp.example.com:2121，如果用的浏览器访问，格式则是ftp://ftp.example.com:2121/，很多客户端在只填主机名时会默认连接21端口，导致连接失败，另外检查服务器端listen_port配置是否真的生效，Linux下可以执行netstat -tlnp | grep ftp确认监听端口。

客户端显示“列表错误”通常是哪里出了问题？

列表错误几乎都是数据连接建立失败,处理优先级：先确认客户端用的是主动还是被动模式，然后检查服务器防火墙是否放行对应端口，被动模式下重点看pasv_min_port和pasv_max_port是否配置、安全组端口段是否放行；主动模式下重点看服务器20端口出方向策略和客户端所在网络是否允许入站连接，以FileZilla为例，依次尝试“设置-连接-FTP-被动模式”和“主动模式”切换，即可定位是哪一端的问题。

使用主动模式时是否必须开放服务器20端口的入站方向？

不需要，主动模式下，20端口是服务器主动向客户端发起连接，使用的是出方向流量，服务器防火墙入站方向不需要开放20端口，但客户端防火墙需要允许入站，反过来，使用被动模式时，客户端不需要开放任何特定端口，因为数据连接由客户端发起，服务器只需要在入站方向放行被动端口段，实际部署中，建议在客户端和服务器两侧的防火墙均配置为只允许必要端口，并明确当前使用的模式规则。