ftp服务器需要映射什么端口映射，FTP主动被动模式端口映射详解

FTP服务器端口映射的核心就一句话：TCP 21控制端口必须映射，被动模式下还必须映射一段TCP高端口范围，通常建议50000-50100；主动模式则需要额外放行TCP 20数据端口。

外网访问ftp服务器需要映射什么端口

FTP和普通HTTP服务不一样，它走的是双通道，一条通道负责发命令，另一条通道专门传文件，很多人只映射了21端口，结果能登录、能看到目录，但一点下载就卡住,原因就在这里。

控制连接固定使用TCP 21端口，这个端口负责登录、切换目录、删除文件等指令，数据连接则分两种模式,端口完全不同。

• 主动模式：服务器从TCP 20端口主动连接客户端，客户端要提前告诉服务器自己开放了哪个随机端口，这种模式在公网访问时容易出问题，因为客户端常常在路由器后面,服务器连不进来。
• 被动模式：服务器打开一段TCP高端口，等待客户端来连，这种方式对客户端更友好,也是现在多数外网访问FTP的默认选择。

下面这张表把两种模式的端口映射需求说清楚。

行业共识认为，FTP控制端口固定为21属于协议标准，但数据端口范围必须根据实际使用的模式来配置，外网访问时，被动模式最常见,所以路由器上只做21端口映射远远不够。

路由器ftp端口映射怎么设置

不同品牌路由器界面叫法不一样，但逻辑一致，这里以普通家用路由器为例,操作路径大致如下。

• 登录路由器管理后台，一般地址是192.168.1.1或192.168.0.1。
• 找到“端口映射”“虚拟服务器”“端口转发”或“NAT映射”里的任意一个入口。
• 添加第一条映射：外部端口填21，内部端口填21，协议选TCP，内部IP填写FTP服务器内网地址，例如192.168.1.100。
• 保存后再添加被动端口范围映射，如果路由器支持端口段，外部起始端口50000、结束端口50100，内部起始端口50000、结束端口50100，协议TCP，如果不支持端口段，只能按单条添加,工作量大一些。
• 保存所有规则后重启路由或等待规则生效。

这里有个容易踩坑的地方：有些光猫路由一体机只支持单端口映射，不支持端口段，这时候要么更换为桥接模式，让主路由拨号；要么在光猫和下级路由器上做两层映射,两层端口必须一致。

ftp被动模式端口范围设置

路由器上的被动端口范围映射完成后，服务器端也必须把被动端口范围配置成同样的区间,两边对不上照样连不通。

拿FileZilla Server举例,操作步骤如下。

• 打开FileZilla Server管理界面，进入“被动模式设置”。
• 选择“使用自定义端口范围”，起始端口填50000,结束端口填50100。
• 在“公网IP”一栏填写家里或公司的公网IP，如果没有固定公网IP，可以填写域名,让服务器动态解析。
• 保存配置并重启FTP服务。

如果是Windows自带的IIS FTP服务，可以在“FTP防火墙支持”里设置数据通道端口范围，同样填50000-50100,并填写公网IP地址。

Linux下的vsftpd则通过配置文件设置,关键参数如下。

• pasv_enable=YES
• pasv_min_port=50000
• pasv_max_port=50100
• pasv_address=你的公网IP或域名

端口范围到底开多大？一般建议100到500个端口，并发连接较多时，每个数据传输会占用一个端口，范围太小会出现“425无法打开数据连接”的报错。

公司内网ftp服务器映射公网端口常见场景

北京家庭宽带环境下，很多用户拿到的是运营商大内网IP，光猫拨号后，路由器再分内网地址，形成两层NAT，这时候部署FTP服务器，需要先在光猫上把21和被动端口范围映射到下级路由器，再在路由器上映射到FTP服务器,两层缺一不可。

企业内网场景更复杂一点，核心交换机、防火墙、路由器层层隔离，运维人员除了配置端口映射，还要在防火墙策略里放行这些端口，相当一部分企业FTP故障不是映射没做，而是防火墙只放行了21,漏掉了被动端口范围。

家庭NAS用户是一个典型场景，比如群晖、威联通自带FTP服务，很多用户为了外网访问，在路由器上做了21端口映射，结果能登录但文件列表刷不出来，这种情况基本都是被动端口没有映射,或者NAS的被动端口范围与路由器不一致。

主动模式在公司内网用得相对少，原因是员工电脑大多没有公网IP，服务器主动连不上，除非所有客户端都在同一层网络，或者公司给每台电脑分配了公网IP,否则主动模式基本可以放弃。

除了路由器映射还需要做哪些放行

端口映射只是打通了路由器这一层，服务器本机防火墙、云服务器安全组、硬件防火墙都可能拦截端口。

• Windows服务器需要新建入站规则，放行TCP 21和TCP 50000-50100。
• Linux服务器如果开启firewalld，需要执行类似命令：firewall-cmd –add-port=21/tcp –permanent，以及firewall-cmd –add-port=50000-50100/tcp –permanent,然后重载。



• 云服务器需要在控制台的安全组里添加同样的TCP端口放行规则。
• 使用FTPS隐式加密时，还需要放行TCP 990和TCP 989。

改默认21端口能不能提升安全性？能降低一些自动化扫描的命中率，但也会让客户端配置更麻烦，多数情况下，更推荐用SFTP或FTPS来做加密传输,而不是单纯改端口。

ftp服务器需要映射什么端口映射的常见问题

只映射21端口为什么登录后列不出文件目录？

因为FTP登录成功后，数据连接走的是另一条通道，被动模式下，服务器会告诉客户端自己开放了某个高端口，如果这个高端口没有被映射，客户端就无法建立数据连接，所以能登录、不能列目录，基本就是被动端口范围没有在路由器上映射,或者服务器端被动端口范围与映射范围不一致。

主动模式和被动模式端口映射区别在哪里？

主动模式下服务器用TCP 20发起数据连接，路由器需要放行或映射20端口，同时客户端要能接收外部连接，被动模式下服务器开放一段TCP高端口等待客户端连接，路由器映射的是这段高端口，而不是20端口，外网访问场景中，被动模式对客户端更友好,映射配置也更集中在服务器侧。

外网访问ftp服务器能登录但传输文件总是失败是映射问题吗？

很可能还是数据端口的问题，登录走21端口，传输才走数据端口，如果被动端口范围映射正确，还要确认服务器防火墙和路由器映射的端口号完全一致，包括起始和结束端口，如果两端不一致，部分端口能通、部分不通，就会表现为传输中断或速度极慢，端口映射、服务器被动端口配置、防火墙规则三者必须对齐,这是FTP外网访问能稳定传输的基础。