FTP被动模式服务器会用到什么端口？FTP被动模式端口范围怎么设置？

FTP被动模式下，数据连接的端口由服务器端临时指定，通常落在1024以上高位端口范围内，具体由配置决定，默认情况下可能落在49152-65535之间。如果你在简米云、酷番云安全组或本地Windows防火墙里只放行了21端口，那被动模式大概率连不上数据通道被拦了，今天咱们把端口这事掰开揉碎讲清楚。

FTP被动模式服务器端口范围是怎么确定的：先搞懂谁说了算

控制连接与数据连接分家：21端口只管“说话”

FTP协议最反直觉的一点是它用两个连接来干活：一个叫控制连接，固定走21端口，用来传输用户名、密码、LIST、RETR这些命令；另一个叫数据连接，用来实际搬文件，被动模式的核心操作是：客户端先连上服务器的21端口，发送PASV命令，服务器随后返回一个IP地址和端口号（227 Entering Passive Mode (192,168,1,10,200,5)最后两位算出端口 = 200256+5=51205），然后客户端主动去连这个高位端口，所以被动模式下服务器用哪个端口，不是协议写死的，而是服务器配置里划定的那个范围。

常见默认范围在哪里：不同服务商差别挺大

行业共识认为,主流FTP服务端软件的默认被动端口范围并不统一，比如vsftpd如果不手动指定，默认会监听全部高位端口，这在实际生产环境里几乎是不可用的（防火墙没法放行），所以大家都会显式配置；ProFTPD默认范围在49152-65534；Windows IIS的FTP服务则在防火墙里默认放行1024-65535，这里的关键洞察是：你别指望默认值，直接看配置文件里划了多大一块地。

服务器被动端口具体怎么配置：三种主流场景实操

Linux下vsftpd配置被动端口范围

vsftpd是Linux上最常见的FTP服务端,打开配置文件 /etc/vsftpd/vsftpd.conf，加入或修改这两行：

pasv_enable=YES
pasv_min_port=50000
pasv_max_port=50010

保存重启（systemctl restart vsftpd），这时候服务器响应PASV命令时，只会从50000到50010这11个端口里挑。

这是最推荐的做法：端口范围越窄，防火墙和安全组越容易收口。

Windows IIS FTP被动端口设置

IIS 8.0以后的FTP服务在操作上有点隐蔽，打开IIS管理器，点选你的FTP站点，右侧找到“FTP防火墙支持”这个图标，双击进去，里面有“数据通道端口范围”设置项，填上起止端口，50000-50100，这里有个坑：填完之后，你还要在Windows防火墙里加上入站规则，专门放行这段范围，否则IIS自己放的端口仍然过不来。

NAS设备（群晖、威联通）里的对应位置

群晖的File Station背后的FTP服务，其实也是vsftpd的壳子，在控制面板→文件服务→FTP的选项卡里，有一项“被动模式端口范围”，直接填即可，多数情况下填 50000-50050 这种50个口就够用了。

防火墙放行被动端口：你最容易栽跟头的地方

简米云、酷番云安全组规则怎么配

假设你的FTP服务器部署在一台简米云ECS上,那有两层防火墙要处理，第一层是安全组，在ECS控制台→安全组→配置规则里加一条“入方向”规则，协议选TCP，端口范围填 50000/50100，授权对象填 0.0.0/0（如果你只想让特定IP访问，就填那个IP段），第二层是系统内部防火墙，在Linux上执行：

firewall-cmd --zone=public --add-port=50000-50100/tcp --permanent
firewall-cmd --reload

本地Windows防火墙放行范围

控制面板→Windows Defender防火墙→高级设置→入站规则，新建规则，选“端口”，协议TCP，特定本地端口填 50000-50100，允许连接，三兄弟全勾上（域、专用、公用），起个名字叫 FTP-PASV，如果你懒得逐条加，也可以直接在命令行里敲：

netsh advfirewall firewall add rule name="FTP-PASV" dir=in action=allow protocol=TCP localport=50000-50100

一个典型连接失败的排查演练

你输入了FTP地址和密码,提示连接成功，但一执行

ls就超时，或者下载文件卡在0%，这时候你先别怀疑FTP软件坏了，第一步，在服务器上执行 netstat -antlp | grep vsftpd，看有没有进程监听50000以上的端口，第二步，检查服务器返回的PASV端口号和实际监听端口是否一致，多数情况下，问题出在你只开了21，忘了放行数据端口段。

FTP主动模式与被动模式端口区别：为什么被动模式依然最常用

主动模式（PORT）恰好是反着来的：服务器用20端口主动去连客户端的随机高位端口，这么干在20年前没问题，但在今天几乎处处碰壁客户端在NAT网关后面，服务器根本连不进去，被动模式把这个矛盾全部转移给了服务器端：客户端连得进来，服务器只需要保证PASV返回的端口从外面能访问到，所以即使被动模式让服务器多暴露了一大段端口，但从可用性角度考虑，它依然是穿透性最好的方案，业内专家指出，在涉及NAT的组网场景中，被动模式是唯一不需要额外做连接追踪就能稳定运行的FTP模式。

安全风险与端口收敛：别开成个大敞口

被动模式下服务器要开放一段端口,这确实增加了攻击面，但这不代表你就要把1024到65535全放出去。合理收敛端口范围是提升安全性的关键一步，比如你只有10个同事偶尔传文件，那么配置10-20个端口足够用了，同时配合以下手段：

• 在vsftpd里加 pasv_promiscuous=NO，避免服务器响应绕过IP检查
• 用iptables限制单个IP的连接速率，防暴力破解
• 开启vsfptd的fail2ban联动，连续输错5次密码就封IP一段时间

端口范围越小,这些安全工具的负担就越轻，日志排查也更省力，近几年不少企业干脆直接用SFTP（走22端口）替代FTP，彻底绕开端口范围问题，但如果你接手的是存量FTP系统，端口范围设置仍然是个绕不开的基础活。

关于FTP被动模式服务器端口范围的常见问题解答

问：设置了被动模式端口范围后，还需要放行20端口吗？

不需要，20端口只在主动模式下由服务器作为数据连接源端口使用，被动模式下，服务器发起的连接是响应客户端“请求连接某个端口”，数据连接的源端口是随机的高位端口，20端口完全用不上，你甚至可以专门把20端口关掉来减少暴露面。

问：被动模式端口范围设成多小才算合适？

最小一条业务原则：并发连接数 + 余量，每个数据连接占用一个端口，传输完毕后这个端口会被回收，但TIME_WAIT状态会让端口在短时间内不能被重用，如果你有10个员工偶尔连一次，50000-50020 完全够用，如果你是做FTP下载站的，同时在线几百人，那至少需要 50000-50100 甚至更多，处理这个问题的常用思路是：先把范围设小，运行一段时间后用 netstat 观察端口占用数量，再动态调整。

问：服务器在NAT后面，被动模式PASV返回了内网地址，怎么办？

这是最常见的坑，还有另一种情况是使用简米云这种负载均衡后端挂FTP服务器，PASV返回的IP对客户端来说不可达，标准解法是：在vsftpd配置里加两行：

pasv_address=你的公网IP或域名
pasv_addr_resolve=YES

这样服务器响应PASV时,会把配置文件里这个“假地址”发给客户端，客户端就会向这个地址发起连接，注意，这时你的安全组和防火墙仍然要放行端口范围，而且如果你的公网IP是动态的，推荐用域名来填pasv_address，如果是经过负载均衡器转发，那还需要在LB上额外开一段TCP端口透传到后端服务器的对应端口范围，这属于特殊场景，配置时要多加小心。

FTP被动模式的端口问题,说穿了就是两件事：一是服务器端明确划定并监听一段端口，二是外部防火墙放行这段端口，两头都通了，FTP连接自然就顺畅了，如果还有想不明白的，回头看一眼你服务器的vsftpd.conf和防火墙规则，答案都写在里面。