ftp服务器默认使用tcp协议的什么端口，FTP端口是多少

FTP服务器默认使用TCP协议的21端口用于控制连接，数据传输则根据模式使用20端口或随机高端口。这是几乎所有FTP服务端软件和网络防火墙配置的基础常识，但很多人配置FTP时总遇到连不上、传不了文件的问题，根源往往在于只放行了21端口，忽略了数据连接端口，本文直接拆解端口机制、主动被动模式区别，以及实际配置中的常见坑。

FTP端口机制：21端口控制，20端口数据，但没那么简单

FTP协议从诞生之初就设计为双通道结构,这也是它区别于HTTP（默认80端口）和SSH（默认22端口）的最大特点，控制连接负责发送指令（登录、切换目录、删除文件），数据连接负责传输文件内容。

控制连接永远走21端口

无论主动模式还是被动模式,客户端首先连接的永远是服务器21端口，这个端口用于交换命令和响应，比如输入用户名密码、执行LIST命令列目录，业内专家指出，21端口是FTP服务的基础，防火墙必须放行TCP入站连接，否则客户端连服务器地址都敲不开。

主动模式下的20端口

主动模式（PORT模式）下，服务器主动从20端口发起数据连接，流程如下：

• 客户端向服务器21端口发送PORT命令,告知自己监听的随机端口
• 服务器用20端口主动连接客户端那个随机端口
• 防火墙需要放行服务器20端口的出站连接

这里有个关键点：主动模式要求客户端没有防火墙拦截入站连接，一旦客户端处于NAT网关后面，或者本地防火墙禁止外部主动连接，主动模式就会卡死，所以现在公网环境下主动模式很少用了。

被动模式改用随机端口，但21串联始终不变

被动模式（PASV模式）把主动权交给客户端：

• 客户端先连21端口
• 服务器返回一个随机端口（通常范围在1024-65535）
• 客户端再次向这个随机端口发起数据连接

这意味着服务器端需要开放一段连续的端口范围，而不仅仅是21和20，大多数FTP服务软件允许管理员配置被动端口范围，比如

vsftpd的pasv_min_port和pasv_max_port参数。

ftp默认端口21还是20：这个问题背后的实际场景

很多人经常混用”FTP端口”和”FTP数据端口”这两个概念，其实它们各自承担不同任务，从协议规范看，21端口是FTP服务的”门牌号”，20端口只是主动模式下的”出货口”。

为什么防火墙只放行21端口会出问题

典型故障场景：用户用FileZilla连接服务器，输入地址和密码后，列表能刷出来，但下载几百兆的文件就卡死或报错，原因很简单：

• 21端口控制连接畅通
• 被动模式下数据端口被防火墙拦截
• 数据通道建立失败

行业共识认为,排查这类问题必须同时抓好三处配置：服务器被动端口范围、操作系统防火墙出入站规则、云服务商安全组策略。三者缺一不可。

FTP端口设置常见问题：不同模式的选择策略

如果你在局域网里传文件,比如公司内部备份，主动模式配合20端口完全够用，但如果是跨公网传输，被动模式是更稳妥的选择，下面是两种模式的对比表格：

FTP服务器端口配置实操：从Windows到Linux

不同操作系统和服务软件,配置方式差异很大，这里直接给可执行的步骤和命令。

Windows上的IIS FTP与FileZilla Server

Windows的IIS FTP默认也使用21端口，数据端口同样受被动模式配置影响，设置路径为：

控制面板 > 程序和功能 > 启用或关闭Windows功能 > Internet Information Services > FTP服务器。

启用后,在IIS管理器中右键FTP站点，选择”FTP防火墙支持”，设置数据通道端口范围，比如5000-6000，然后在Windows防火墙高级设置里新建入站规则，放行TCP端口21以及5000-6000。

FileZilla Server更直观：安装后在设置面板里找到”被动模式设置”，勾选”使用自定义端口范围”，填入起始和结束端口，同时定位到”被动模式IP”，如果服务器有公网IP，直接填写；如果是NAT环境，填写路由器映射后的公网IP。

Linux下vsftpd的端口参数详解

vsftpd是最常见的Linux FTP服务，它的配置文件位于/etc/vsftpd/vsftpd.conf，核心参数如下：

listen_port=21
connect_from_port_20=YES  # 启用主动模式20端口
pasv_enable=YES           # 启用被动模式
pasv_min_port=5000
pasv_max_port=6000
pasv_address=公网IP或域名 # 服务器有NAT时必填

修改后执行systemctl restart vsftpd重启服务，同时用防火墙命令放行：

firewall-cmd --permanent --add-port=21/tcp
firewall-cmd --permanent --add-port=5000-6000/tcp
firewall-cmd --reload

云服务器安全组如何放行FTP端口

云环境比物理服务器多一道安全组门槛,以简米云为例，入方向规则需添加：

• 授权对象：0.0.0.0/0
• 端口范围：21/21
• 授权对象：0.0.0.0/0
• 端口范围：5000-6000/5000-6000

如果使用安全软件（如宝塔面板），还需要在软件防火墙里手动放行同样端口，很多用户反映”端口明明开了但还是连不上”，一查就是安全组和系统防火墙叠加拦截，两层都要放行。

FTP端口选择与网络安全：别忽视这些细节

FTP本身的明文传输特性在安全层面有天然短板,端口配置不当会放大风险。

修改默认21端口的必要性和副作用

虽然21端口是FTP服务器默认使用TCP协议的端口,但公网环境暴露默认端口可能招致扫描器暴力破解，把监听端口改为2121之类的高位端口，能降低一部分自动扫描风险，副作用是客户端连接时需要显式指定端口，比如

ftp://192.168.1.100:2121，普通用户容易忘记。

被动端口范围设置多大合适

范围太小,并发传输容易耗尽端口；范围太大，防火墙策略会变得难以管理，经验值是每个并发用户至少占用一个数据端口，结合日常最大并发量，设置50-200个端口区间足够，例如并发上限10人，用pasv_min_port=5000到pasv_max_port=5050刚够。

用FTPS或SFTP代替裸FTP更安全

如果你对端口机制已经头疼,不如考虑换协议，FTPS（FTP over SSL）保留21端口和主动/被动模式逻辑，但数据流加密，SFTP（SSH File Transfer Protocol）完全不同，它走22端口，单通道设计不存在数据端口混乱的问题。多数情况下，SFTP是更省心的替代方案，尤其适合对安全性要求较高的场景。

Q&A：关于FTP端口你必须知道的几个关键点

为什么我telnet 21端口通了，但FTP文件传输还是失败？

telnet通只代表控制连接正常,文件传输失败通常是被动模式的数据端口被防火墙拦截，或主动模式下客户端无法接收服务器回调，检查服务器被动端口范围是否在防火墙白名单内，同时确认客户端网络环境是否允许入站连接。

FTP服务器默认使用TCP协议的什么端口可以修改吗？

完全可以,21端口只是IANA分配的默认端口，几乎所有FTP服务都支持自定义监听端口，修改后需同步调整防火墙、安全组、客户端配置，注意某些FTP服务软件还会要求单独设置主动模式数据端口，不一定固定20。

主动模式改成被动模式后，连接速度慢是什么原因？

被动模式有时会因服务器返回的IP地址不对（特别是NAT场景）导致客户端先连接错误地址，超时后重试才成功，表现为明显卡顿，解决方法是确保pasv_address参数指向客户端能访问的公网IP，或者在内网环境使用FTP内网IP直连，另一个常见原因是被动端口范围过小，高并发下端口分派延迟，适当扩大端口区间即可缓解。