FTP服务器端口号是服务器上用于接收FTP文件传输指令和数据的数字门牌，默认情况下，控制连接使用21端口，数据连接使用20端口。搞懂FTP端口，本质上是搞懂客户端和服务器之间那两条“对话通道”是怎么建立的，以及如何在路由器、防火墙和云服务器安全组里为这两条通道放行。
FTP端口号背后藏着两条连接通道
FTP与HTTP这类“一把梭”的协议不同，它天生就需要两个端口协同工作，行业共识认为，FTP协议从一开始设计时就为了区分“说话”和“搬货”这两个动作,所以拆成了控制连接和数据连接。
- 控制连接（默认21端口）：客户端输入用户名、密码、执行
ls、cd、delete等指令，走的都是这条通道，它负责传递命令，传输量极小,连接存活时间贯穿整个FTP会话。 - 数据连接（默认20端口或动态端口）：真正上传、下载文件内容的通道，这条连接是“按需建立”的，每次传输文件时临时打开,传完就关闭。
这种设计导致了一个经典现象：即便你成功登录了FTP（21端口通了），也可能在列目录或者下载文件时卡死，原因就是数据连接建立失败,而这涉及主动模式和被动模式的端口差异。
主动模式与被动模式的端口选择逻辑
主动模式：服务器主动“敲门”
主动模式下，客户端在21端口发指令时，会顺带告诉服务器“我用临时端口A等你来连”，服务器收到指令后,使用自己的20端口主动去连接客户端的端口A。
- 端口使用：服务器固定用20端口作为源端口。
- 瓶颈：客户端局域网内几乎无法直接接收服务器的主动连接，因为客户端防火墙会拦截这个“不明来路的陌生连接”，除非客户端有公网IP,否则主动模式在当今互联网环境下很容易失败。
被动模式：服务器“报门牌号”，客户端来敲门
被动模式就是为了解决主动模式连不上而生的，客户端先通过21端口发
PASV指令，服务器收到后回应“我用某个高端口（例如1025到65535之间）等你来连”,然后客户端主动去连那个高端口。
- 端口使用：服务器不再固定用20端口，而是开一个动态端口范围，主流FTP服务器软件默认范围通常在1024-65535之间。
- 配置要点：如果服务器有防火墙，必须把21端口和这个动态端口范围一并放行，只放行21端口,被动模式大概率失败。
下表是两者的核心差异对比：
| 对比项 | 主动模式（Active） | 被动模式（Passive） |
|---|---|---|
| 命令连接端口 | 客户端随机端口 → 服务器21 | 客户端随机端口 → 服务器21 |
| 数据连接发起方 | 服务器20 → 客户端随机端口 | 客户端随机端口 → 服务器随机高端口 |
| 服务器防火墙配置 | 放行20、21 | 放行21 及动态端口区间 |
| 客户端防火墙影响 | 易被阻断 | 通常无影响 |
| 适用场景 | 服务器与客户端均在同一内网 | 绝大多数公网访问场景 |
ftp服务器端口号怎么设置：从软件到防火墙的实操步骤
默认的21端口极易被扫描攻击，修改端口是加固FTP服务器的常用手段,具体需要改三个地方。
第一步：修改FTP软件监听端口
以Linux下常见的vsftpd为例，修改配置文件/etc/vsftpd/vsftpd.conf，将listen_port=21改为listen_port=2121，保存后重启服务，Windows环境下的Serv-U或FileZilla Server，需要在“域”设置里的“FTP端口”选项中修改，通常是一个数字输入框,改成五位数即可。
第二步：放行新端口
修改端口后,服务器防火墙必须同步调整。
- CentOS/RHEL系统：
firewall-cmd --permanent --add-port=2121/tcp，然后firewall-cmd --reload。 -
Ubuntu/Debian系统
：ufw allow 2121/tcp。 - Windows防火墙：进入“高级安全Windows Defender防火墙”，新建入站规则，选择端口,输入自定义的2121端口号。
第三步：处理云服务器安全组和路由器端口映射
云服务器的安全组（如简米云、酷番云、华为云）是独立于系统防火墙之外的另一道关卡，登录云控制台，在安全组配置项中添加入方向规则，协议选TCP,端口填自定义的2121。
如果FTP服务器在内网，路由器上还需要设置端口映射，将外部2121端口映射到内网服务器的192.168.x.x这个内网地址上。
FTP端口号被占用和连不上的排查思路
启动FTP服务提示端口被占用
这表示已经有其他程序占用了21端口，在Windows下用netstat -ano | findstr :21查看占用程序的PID，再到任务管理器里找到对应进程，Linux下使用lsof -i:21或ss -tlnp | grep 21，解决办法通常是修改占用的程序端口,或者修改FTP服务的监听端口。
能登录但目录列表为空或传输超时
这是被动模式端口范围未放行导致，需要在FTP软件中划定固定的被动端口区间，比如50000-50100，然后在防火墙和安全组中放行这个区间，多数情况下，问题出在只放行了21端口,忽略了数据连接的高端口区间。
内网穿透与IPv6环境下的端口特殊处理
现在家庭宽带有相当一部分用户拿不到公网IPv4地址，搭建FTP服务器面临“局域网通、外网连不上”的局面。
- IPv6环境：如果宽带有IPv6地址，路由器开启IPv6后，服务器配置IPv6地址监听，客户端若也具备IPv6即可直接访问,依然遵循21端口和被动端口的规则。
- 内网穿透：使用frp、花生壳等工具时，穿透服务的公网端口通常不是21，例如frpc配置中，
remote_port=2121映射本地21端口，客户端连接时填公网IP和2121端口，需要注意，被动模式的数据端口在穿透场景中配置较为繁琐，如果FTP客户端提示列表错误，通常是指定穿透服务商提供的“被动端口范围”和本地FTP软件的被动端口范围保持一致。
深度理解：数据连接端口为何不是固定的
很多人会问，既然20端口是数据端口，为什么改了21端口，数据端口还是20？主动模式下数据连接确实使用20端口作为源端口，但被动模式下服务器端数据端口是从配置的区间里随机挑的，这个设计逻辑在于，一个FTP会话可能包含多次文件传输，如果每次都固定用一个端口,容易被第三方预测并劫持。
出于安全考量，建议将被动端口范围限制在100个端口以内（例如50000-50100，能开50000个左右的并发连接），在防火墙里放行这段TCP端口，比放行整个1024-65535范围安全得多。
Q&A：关于FTP服务器端口号的常见问题
FTP服务器端口号怎么改才能彻底断开默认的21端口连接尝试？
修改FTP服务配置文件中的listen_port参数后，重启服务，验证是否生效：在服务器本地执行netstat -tlnp | grep ftp，看到监听端口从21变为新端口即成功，注意，如果FTP客户端软件里有“强制使用默认端口21”的选项,客户端连接时需要手动填写新端口号。
FTP服务器端口21和20有什么区别？
21端口是控制端口，负责传递登录凭证和操作指令，20端口是主动模式下的数据端口，负责传输文件内容，简单理解，21端口是“话务员”，20端口是“快递员”，在被动模式中，“快递员”不再固定使用20端口,而是改用服务器随机开放的端口。
服务器端口开放了TCP 21，为何外网还是不能访问FTP？
逐一排查云服务商安全组入方向规则、服务器系统防火墙入站规则、路由器端口映射三条链路，若三者均已正确配置，且客户端使用的是被动模式，请确认数据端口范围是否已放行，如果只是登录后无法列出目录，最直接的验证方法是在客户端切换传输模式为主动或被动，观察错误变化,以此判断是哪条通道被拦截。