在Linux系统运维管理中,准确掌握FTP服务端口状态是保障文件传输服务稳定性的基础。FTP服务默认使用21号端口作为控制连接端口，用于传输指令和响应，而数据传输端口则根据工作模式不同，可能是20号端口（主动模式）或随机高位端口（被动模式），要全面查看和确认FTP端口状态，管理员不仅需要熟练使用netstat、ss等网络状态查询命令，还需要深入理解服务配置文件中关于端口范围的定义，以便在防火墙配置中做出精准策略。
FTP端口工作原理与核心机制
理解FTP协议的端口机制是进行有效排查的前提,FTP是一种双通道协议，这意味着它在传输文件时会建立两个独立的TCP连接。
命令连接（控制连接），客户端与服务端默认通过TCP 21端口建立连接，该连接在整个FTP会话期间一直保持打开状态，用于发送用户命令（如LIST、RETR）和接收服务器的响应码（如200、550），无论使用主动模式还是被动模式，21端口都是必不可少的。
数据连接，其端口分配机制较为复杂，在主动模式（Active Mode）下，服务端会主动从TCP 20端口发起连接到客户端的某个随机端口，而在被动模式（Passive Mode）下，情况则完全相反，客户端会向服务端的某个随机高位端口发起连接请求，由于现代网络环境多存在客户端侧的防火墙或NAT，被动模式已成为当前主流的FTP传输方式，在Linux系统中查看FTP端口时，除了关注21端口，确认被动模式下的随机端口范围往往是解决连接失败的关键。
使用netstat和ss命令查看端口状态
在Linux终端中,查看端口监听状态最直接的方法是使用网络工具命令。netstat作为经典工具，虽然在一些新发行版中逐渐被ss取代，但依然广泛使用。
要查看FTP服务（通常为vsftpd或pure-ftpd）是否正在监听21端口，可以使用以下命令：
netstat -tunlp | grep ftp
或者更通用的过滤方式：
netstat -antup | grep :21
该命令输出中,Proto列显示协议（tcp/tcp6），Local Address列显示监听地址（0.0.0.0:21表示监听所有网卡），State列应为LISTEN，PID/Program name列则明确显示了占用端口的进程ID和程序名称（如vsftpd），如果此处没有输出，说明FTP服务未启动或配置文件中修改了默认端口。
更推荐使用现代的ss命令，因为它直接读取内核数据，执行效率更高：
ss -tunlp | grep ftp
ss命令的参数含义与netstat基本一致：-t显示TCP套接字，-u显示UDP套接字，-n以数字形式显示端口，-l仅显示监听状态的套接字，-p显示使用该套接字的进程信息。
通过配置文件确认被动模式端口范围
单纯通过命令查看端口只能看到当前的监听状态,对于FTP被动模式，数据端口是动态分配的，如果不查看配置文件，管理员无法知晓防火墙需要开放哪些端口，这是运维中常被忽视的盲点。
以常用的vsftpd服务为例，其配置文件通常位于/etc/vsftpd/vsftpd.conf，要查看被动模式端口范围，需要检查以下关键参数：
listen_port=21：定义了控制连接的监听端口，默认为21。connect_from_port_20=YES：确认是否使用20端口进行主动模式数据传输。pasv_enable=YES：确认是否启用了被动模式。pasv_min_port=30000和pasv_max_port=31000：这两个参数定义了被动模式下服务端随机开放的端口范围。
专业的解决方案建议：在配置FTP服务器时，务必显式指定pasv_min_port和pasv_max_port，并将范围限制在合理区间（如10000个端口以内），这样，在使用iptables或firewalld配置防火墙时，就可以精确开放这些端口，既保证服务可用，又最大程度保障系统安全，如果配置文件中未定义这些参数，vsftpd可能会使用任意高位端口，导致防火墙配置极其困难。
防火墙与端口连通性排查
即使服务正确监听了端口,如果防火墙策略不当，客户端依然无法连接，在确认了21端口和被动模式端口范围后，必须验证防火墙状态。
使用firewalld的系统，可以通过以下命令查看已开放的端口：
firewall-cmd --list-ports
如果输出中不包含21/tcp或配置文件中定义的被动端口范围（如30000-31000/tcp），则需要添加规则：
firewall-cmd --permanent --add-port=21/tcp
firewall-cmd --permanent --add-port=30000-31000/tcp
firewall-cmd --reload
还可以使用nmap工具从客户端或服务器本地进行端口扫描验证：
nmap -p 21,30000-31000 localhost
如果扫描结果显示端口状态为closed或filtered，则说明存在网络层面的拦截，还应检查SELinux状态，因为SELinux的布尔值ftp_home_dir或allow_ftpd_full_access如果设置不当，也会阻断FTP的数据传输，导致端口看似开放但实际无法传输文件的情况。
相关问答
Q1：为什么FTP客户端能连接登录，但无法列出文件列表或传输文件？
A： 这是一个典型的端口问题，能登录说明21号控制端口是畅通的，无法列出文件通常是因为数据连接端口被阻断，如果客户端使用的是被动模式（默认），服务器会随机开放一个高端口通知客户端连接，如果服务器的防火墙（如firewalld或iptables）没有开放这个随机端口范围，或者配置文件中未正确设置pasv_min_port和pasv_max_port，数据连接就会建立失败，解决方法是检查服务端FTP配置文件中的被动端口范围，并在防火墙中放行该范围内的所有端口。
Q2：如何修改Linux FTP服务的默认21端口？
A： 修改默认端口可以增加一定的安全性，避免被自动扫描脚本探测，以vsftpd为例，需要编辑/etc/vsftpd/vsftpd.conf文件，添加或修改listen_port=2121（替换为你想要的端口号），修改完成后，必须重启vsftpd服务（systemctl restart vsftpd），最重要的是，务必同时更新防火墙规则，关闭原21端口，开放新的2121端口，并确保SELinux允许FTP服务绑定非标准端口（可能需要修改semanage port -a -t ftp_port_t -p tcp 2121）。
能帮助您全面了解Linux系统中FTP端口的查看与配置，如果您在具体操作中遇到端口冲突或防火墙配置难题，欢迎在下方留言，我们可以共同探讨解决方案。
