FTP服务器的20端口是什么，FTP 20端口是什么端口？

FTP服务器的20端口，是主动模式下服务端主动建立数据连接时的源端口，也是防火墙放行FTP数据流的关键开关，被动模式下完全不使用该端口。它和21端口各司其职，一个管指令，一个管文件内容，很多FTP连接失败和上传下载卡死,都源于把20端口的角色搞混。

FTP的20端口和21端口有什么分工

FTP协议和HTTP、SSH的最大区别在于，它天生就是“双通道”设计，普通协议一条连接走到底，FTP却要把控制信息和数据信息拆开,各走各的门。

控制连接：21端口的职责

21端口负责的是“对话”，登录账号、输入密码、切换目录、删除文件、发出上传或下载指令，这些纯文本指令全部通过21端口传递，你可以把它理解成前台接待，全程只动嘴，不碰实际文件，这条连接是整个FTP会话的骨架，一旦断开，哪怕数据通道还活着,会话也会立刻失效。

数据连接：20端口的职责

20端口负责的是“搬货”，当用户在客户端点击下载、上传或者列出目录时，服务器才临时打开一个数据连接，通过20端口（主动模式下）把真正的文件内容传输出去，这个端口不是一直开着的，它只在每次数据传输的瞬间被激活，传完就关闭,下一次传输再重新建立。

主动模式下20端口的完整工作流程

• 客户端随机选一个本地端口（比如5000），主动连接服务器的21端口,完成登录认证。
• 客户端发送PORT 192,168,1,100,19,136指令，告诉服务器“我在192.168.1.100的5000端口等你传数据”。
• 服务器收到后,用自己的20端口向客户端的5000端口发起一条全新的TCP连接。
• 数据传输开始,文件通过这条20端口建立的通道完成传送。

这里有行业共识需要明确：20端口永远是从服务器往外“主动连出去”的那一方，它不会被动等待客户端来连，而是服务器主动拨号,这个特性直接决定了后续所有防火墙配置的难点。

为什么ftp主动模式20端口经常不通

不少用户遇到过这样的场景：FTP能正常登录，目录列表也刷得出来，但只要一传输文件，进度条就卡在0%，最后报错“数据连接超时”,问题几乎都出在20端口上。

客户端防火墙拦截了服务器的主动连接

前面提到，主动模式下是服务器的20端口去连客户端的高位端口，很多客户端电脑的Windows防火墙或企业安全软件默认拦截外部发起的入站连接，服务器连不进来，数据传输自然失败，这种故障现象很有迷惑性，因为控制连接完全正常，登录也没报错，看起来像是服务器挂了,实际上是你自己这边的墙把20端口挡了。

家用路由器和NAT环境没有端口映射

如果客户端办公网络使用了路由器共享上网，服务器20端口发来的数据包到达路由器外网口时，路由器不知道该转发给内网哪台电脑，直接丢弃，要想主动模式跑通，需要在路由器上给客户端的本地端口做端口映射,或者干脆改用被动模式。

云服务器安全组未放行20端口

主流云厂商在“安全组”或“防火墙”策略里默认只放行少数常用端口，20端口常常不在其中，很多用户在服务器内部开启了iptables、firewalld，却忽略了云平台控制台里还有一层更前置的安全组规则,导致20端口被云平台默默掐断。

ftp主动模式20端口不通怎么排查

按照下面顺序操作,多数问题都能定位到具体环节：

• 在服务器上执行netstat -anp | grep :20，确认传输指令发出后是否有TCP连接状态为LISTEN或ESTABLISHED的20端口记录。
• 客户端关闭Windows防火墙，做一次排除性测试，如果关闭后传输正常，说明是防火墙拦截,再逐条添加入站规则。
• 检查云服务商控制台安全组，确认入站方向是否放行了TCP端口20,以及出站方向是否有针对20端口的限制。
• 尝试切换为被动模式，如果被动模式一切正常,那基本坐实了主动模式20端口链路不通。

ftp服务器20端口怎么开放才稳妥

开放20端口不是简单地在防火墙里加一条“允许TCP 20”就完事,还要考虑协议栈的被动回应和NAT穿透。

服务器端防火墙规则推荐

以Linux服务器为例，开放FTP 21和20端口的完整iptables配置思路如下：

• 放行入站TCP 21端口,允许客户端建立控制连接。
• 放行入站TCP 20端口，允许客户端反过来连接服务器数据端口（部分FTP客户端软件会向服务器20端口发起主动连接）。
• 如果使用vsftpd，还需在

  

  /etc/vsftpd/vsftpd.conf中开启pasv_enable=YES，并指定pasv_min_port和pasv_max_port范围，例如30000-30100。

云平台安全组配置路径

在酷番云安全组或简米云安全组里,添加规则时需要注意方向区分：

• 入站规则：协议选择TCP，端口范围填写20/21，来源地址根据实际需求填0.0.0/0或指定IP段。
• 如果同时启用了被动模式，需要额外放行30000-30100这个端口段,且出站方向规则同样要允许相应的临时端口。
• 部分云平台还提供“FTP”协议模板，一键放行21端口,但20端口和被动端口段仍需手动补充。

客户端软件里的主动模式设置

FileZilla客户端操作路径如下：菜单栏“编辑”-“设置”-“连接”-“FTP”，将“主动模式”勾选为默认传输模式，下方“主动模式IP地址”留空即可，如果客户端和服务器都在同一内网，建议保持默认；跨公网传输时优先选择被动模式。

主动模式和被动模式，究竟该选哪个

这个问题的答案直接影响20端口是否参与通信,也是配置FTP时最耗时的决策点。

主动模式的适用场景

• 服务器与客户端位于同一内网，防火墙规则可控,比如企业内部文件服务器。
• 客户端拥有公网IP,或者路由器支持端口转发的NAT环境。
• 需要最大化利用已有安全策略的场景,一切以稳妥为先。
• 主动模式唯一好处是服务器只需开放20、21两个端口，安全策略看起来更简洁,但牺牲了终端用户侧的灵活性。

被动模式的适用场景

• 客户端位于复杂的NAT之后，最常见的就是家庭宽带、企业办公网和4G/5G移动网络环境。
• 云服务器对外提供FTP服务,因为云平台安全组天然适合放行一个端口范围。
• 大多数互联网FTP站点，尤其是面向C端用户开放下载的服务器,都默认采用被动模式。

下表可以帮助快速对齐两者的核心差异：

被忽略的20端口变体场景

FTP over TLS/SSL下的20端口

当FTP升级为FTPS（FTP over TLS/SSL）时，默认端口仍是21和20，但所有控制通道的数据都会经过TLS加密，主动模式下20端口的数据连接同样需要加密，这要求服务器和客户端都具备证书支持能力，不少用户以为配置了FTPS就等于加密了所有流量，实际上如果数据通道没有启用保护，文件内容的传输仍然是明文，配置时务必检查“数据连接使用显式TLS”选项。

FXP协议中的20端口角色

FXP（文件交换协议）允许两台FTP服务器直接传输文件，不需要经过本地电脑中转，此时如果发起方服务器使用主动模式，目标服务器需要开放20端口接受数据连接，一些小型虚拟主机不开放20端口入方向规则的话，FXP传输就会报错,这也是很多站长使用远程备份脚本失败的根本原因。

关于20端口的常见操作问题Q&A

FTP连接提示“服务器回应FTP over TLS的不可路由主机”是什么意思？

该提示说明服务器返回了内网IP地址或不可公网访问的地址，常见于云服务器配置了被动模式但未设置pasv_address参数，或者安全组未放行对应端口段，建议将vsftpd配置中的pasv_address设置为服务器公网IP,并检查客户端与服务器之间TCP通信是否通畅。

只开放20端口不开放21端口，FTP能正常工作吗？

不能，21端口是FTP的控制端口，所有登录指令和操作命令都依赖21端口，20端口只在数据传输阶段发挥作用，仅开放20端口意味着客户端无法与服务器建立控制连接,更谈不上传输文件。

关闭20端口后对FTP服务有什么影响？

若使用被动模式且正确放行了被动端口段，关闭20端口不会影响FTP服务和数据传输，若继续使用主动模式，关闭20端口会导致文件无法上传或下载,目录列表刷新也会失败。