在Linux环境中部署或排查FTP服务时，端口号是最基础也最容易混淆的网络概念。FTP协议从设计之初就采用了双通道机制，控制连接与数据连接分离，因此涉及的端口并不只有一个。理解这些端口的作用与分配方式，是搭建稳定文件传输服务的前提。
一、FTP默认端口号说明
FTP协议在IANA标准中定义了两个广为人知的默认端口。其一是21号端口，它被规定为FTP控制端口（FTP Control Port），所有FTP客户端在建立会话时，首先会向服务器的21端口发起TCP连接，用于发送用户认证信息、切换目录、下达传输指令等控制类命令。其二是20号端口，即FTP数据端口（FTP Data Port），在传统主动模式（Active Mode）下，服务器使用20端口向客户端回连以传输文件内容或目录列表。
需要注意的是，虽然20和21是标准定义，但在实际Linux发行版中，像vsftpd、proftpd这类服务进程通常只强制监听21端口来接收控制连接。20端口是否启用、何时启用，完全取决于当前会话采用主动还是被动模式，以及内核与ftp服务对数据通道的处理逻辑。很多初学者误以为FTP服务一直占用20和21两个端口，其实在被动模式下20端口根本不会被使用。
1.1 控制端口与数据端口的分工
控制端口负责“发号施令”，数据端口负责“搬运文件”。这种分离设计让协议可以独立管理命令流与二进制流，但也带来了防火墙配置的复杂性。例如企业防火墙如果只开放21端口而忽略数据端口协商结果，就会出现能登录却无法列出目录的怪现象。
从抓包层面看，客户端连接21端口后，双方通过控制通道交换PORT或PASV指令，这些指令里包含了后续数据连接该使用的IP与端口号。也就是说，真正的数据端口在很多场景下是动态协商出来的，并非固定为20。
二、主动模式与被动模式的端口差异
主动模式（PORT）中，客户端随机开启一个大于1024的本地端口N，并通过PORT命令告诉服务器“请连接我的N+1端口”。随后服务器从自己的20端口主动向客户端的N+1端口发起TCP连接传输数据。这种模式下服务器需要反向连接客户端，对处于NAT后面的客户端极不友好，很容易被客户端防火墙丢弃。
被动模式（PASV）则相反：客户端连接21端口后发送PASV指令，服务器回复一个自己开启的高位端口M（通常位于被动端口范围内），客户端再自行向该M端口发起数据连接。此时所有连接都由客户端发起，更适应现代网络环境。Linux上的vsftpd可通过pasv_min_port与pasv_max_port限定M的取值范围，方便防火墙放行。
2.1 vsftpd被动端口配置示例
下面是一段典型的vsftpd.conf配置片段，展示了如何固定被动模式端口区间，并配合防火墙策略开放对应端口：
# vsftpd 被动模式端口范围配置 pasv_enable=YES pasv_min_port=30000 pasv_max_port=31000 # 控制端口仍为默认21 listen_port=21
配置完成后，管理员需在iptables或firewalld中放行21端口以及30000到31000的TCP端口。若使用firewalld，可执行firewall-cmd --add-port=30000-31000/tcp --permanent之类命令。这样既能保证控制信道畅通，也能让被动数据端口处于可预期范围，避免随机端口被阻断。
2.2 主动模式下的端口观察
在主动模式中，虽然标准说服务器用20端口连客户端，但Linux内核态的ftp连接跟踪模块（ip_conntrack_ftp）会动态识别PORT指令中的端口，并临时放行相关回连。如果未加载该模块，即便服务监听20端口，客户端也可能收不到数据。可见端口号不仅是配置文件里的数字，还和内核连接跟踪机制紧密耦合。
三、如何查看Linux FTP端口占用
排查端口最直接的方式是使用ss或netstat命令。比如执行ss -tlnp | grep ftp可以列出当前ftp服务监听的TCP端口及进程名。若只看到21端口，说明服务正常运行但可能未触发数据端口；若看到30000到31000区间的端口处于LISTEN，则多为被动模式已就绪。
另一种常见做法是使用lsof -i :21查看具体哪个进程绑定了21端口，防止端口冲突。当系统里同时存在vsftpd和pure-ftpd时，后启动的服务往往因21被占而失败，此时就需要修改其中一个的监听端口，例如将测试实例改为listen_port=2121。
3.1 修改默认FTP端口的场景
有些运维人员出于安全考虑，会把控制端口从21改为其他数字，比如8021，以降低自动化扫描工具的命中率。修改后客户端必须显式指定端口，如ftp ipipp.com 8021。但这只是“降低可见度”，并非真正的安全加固，生产环境仍应配合TLS（FTPS）与严格账号权限管理。
3.2 防火墙与端口放行对照表
下表总结了不同模式所需放行的端口类型：
| 模式 | 控制端口 | 数据端口 | 防火墙策略要点 |
|---|---|---|---|
| 主动模式 | 21 | 服务器20连客户端高位端口 | 放通21，客户端侧需允许入站20回连 |
| 被动模式 | 21 | 服务器被动区间（如30000-31000） | 放通21及被动区间所有TCP端口 |
通过上表可以清晰看到，无论哪种模式，21端口都是不可省略的控制入口；差异主要集中在数据端口的来源与方向。只要按照对应模式在Linux防火墙中声明端口范围，FTP的连接成功率就能显著提升。
四、容器与云环境下的端口映射
在Docker中运行FTP镜像时，除了在容器内监听21和被动区间，还必须通过-p参数将宿主端口映射出来。例如docker run -p 21:21 -p 30000-31000:30000-31000 vsftpd，否则外部客户端即使能访问宿主机IP，也会在被动模式协商到容器内部端口后无法连通。云服务器安全组同样要同步放行这些端口，避免平台层拦截。
此外，若FTP服务器位于NAT之后，还需在vsftpd中设置pasv_address为公网IP，否则服务器返回给客户端的被动连接地址可能是内网IP，导致客户端连错目标。这一细节在很多Linux云主机踩坑案例中反复出现，本质仍是端口与IP协商信息不匹配。
4.1 简单连通性测试代码
可以用Python快速检测目标FTP控制端口是否开放：
import socket
def check_ftp_port(host, port=21, timeout=3):
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.settimeout(timeout)
try:
s.connect((host, port))
return True
except Exception as e:
print("连接失败:" + str(e))
return False
finally:
s.close()
# 测试示例，将ipipp.com换成实际地址
print(check_ftp_port("ipipp.com", 21))
上述脚本仅验证控制端口可达性。若返回True但客户端仍无法列目录，基本可判定是被动数据端口未放行或PASV地址配置错误，此时应回看前文被动模式端口区间与pasv_address的设置。
总体来看，Linux下FTP端口号的核心答案是：控制端口默认21，主动数据端口关联20，被动数据端口则由服务配置区间动态分配。掌握这套端口逻辑，结合防火墙、NAT与容器映射，才能把FTP服务稳定运行在各类Linux场景中。