在Linux运维与服务器管理工作中,精准定位FTP端口是保障服务连通性与安全性的基础操作，核心上文归纳是：FTP服务默认使用21端口作为命令控制端口，数据传输端口则根据工作模式不同而变化（主动模式为20，被动模式为随机端口），查看端口的方法主要分为两类：一是通过查看服务配置文件（如vsftpd.conf）获取预设端口，二是通过系统网络状态命令（如ss、netstat）获取实际监听端口，掌握这两类方法，不仅能快速排查端口冲突，还能有效应对防火墙配置及安全加固需求。
深入理解FTP端口机制
在具体操作之前,必须明确FTP协议的双端口特性，这是理解后续查看逻辑的关键，FTP采用“命令连接”与“数据连接”分离的架构。
命令控制端口：主要用于发送FTP指令（如登录、列表、上传、下载），无论在何种模式下，默认端口均为21，这是FTP服务的“大门”，所有的会话建立都始于该端口。
数据传输端口：用于实际传输文件内容，该端口的数值取决于FTP的工作模式：
- 主动模式：客户端开启一个随机端口监听，服务器通过20端口主动连接客户端，在主动模式下，服务端固定使用20端口发送数据。
- 被动模式：为了解决客户端防火墙阻挡服务器主动连接的问题，客户端发送PASV命令，服务器开启一个随机高位端口（通常大于1024）监听，并通知客户端去连接该端口，这是目前互联网环境最常用的模式。
理解这一机制后,我们在查看端口时，不仅要关注21端口，更要关注被动模式下的端口范围配置，否则极易出现“能登录但无法列出目录”的经典故障。
通过配置文件查看预设端口
配置文件是查看FTP端口规划的静态源头,也是修改端口绑定的唯一入口，Linux环境下最常用的FTP服务软件是vsftpd，其次是ProFTPD和Pure-FTPd。
查看vsftpd配置
vsftpd的配置文件通常位于/etc/vsftpd/vsftpd.conf，要查看命令端口，可以使用grep命令过滤关键字：
grep -i "listen_port" /etc/vsftpd/vsftpd.conf
如果未显式配置该行，则默认使用21端口。
对于被动模式的数据端口范围,这是运维中最需要关注的参数，查看命令如下：
grep -i "pasv_min_port\|pasv_max_port" /etc/vsftpd/vsftpd.conf
通常配置为类似pasv_min_port=50000和pasv_max_port=60000的范围，这意味着服务器会在50000到60000之间随机选取端口用于数据传输。在配置防火墙或安全组策略时，必须放行这一整段端口，而不仅仅是21端口。
查看ProFTPD与Pure-FTPd配置
对于ProFTPD，配置文件通常是/etc/proftpd.conf，查看Port指令。
对于Pure-FTPd，配置较为分散，通常在/etc/pure-ftpd/pure-ftpd.conf中查找Bind指令，或者查看启动脚本中的参数配置，例如--port 21。
通过系统命令查看实时监听端口
当FTP服务启动后,配置文件中的设置会映射为系统底层的监听状态，使用系统命令可以验证服务是否正常运行，以及端口是否被正确占用。
使用ss命令（推荐）
ss是netstat的现代替代品，速度更快，输出更简洁，要查看FTP相关的监听端口，执行：
ss -antlp | grep ftp
或者直接查看21端口：
ss -antlp | grep :21
参数解释：
-a：显示所有状态-n：以数字形式显示端口（不解析服务名）-t：显示TCP连接-l：仅显示监听状态的套接字-p：显示监听端口的进程名及PID
输出分析：如果看到LISTEN状态且Local Address为21，说明命令端口正常，如果配置了被动模式，当用户连接并进行数据传输时，使用ss -antp可以看到服务器与客户端建立的高位端口连接。
使用netstat命令
虽然netstat已被逐渐废弃，但在老旧系统中依然常见，用法与ss类似：
netstat -antlp | grep :21
该命令同样能列出占用21端口的进程名称（如vsftpd或pure-ftpd），这对于排查端口被其他程序非法占用非常有帮助。
使用lsof命令
lsof（List Open Files）通过查看打开的文件描述符来列出端口信息，非常直观：
lsof -i :21
此命令能直接显示哪个用户和哪个进程正在使用21端口，如果怀疑端口被篡改，这是最快的确认手段。
故障排查与安全加固建议
在实际运维中,仅仅“看到”端口是不够的，更需要解决端口不通或端口冲突的问题。
端口冲突排查：如果执行上述命令发现21端口未被预期的FTP进程占用，而是被其他服务（如某个恶意后门或误配置的Web服务）占用，lsof -i :21会立即暴露进程PID，此时需使用kill -9 <PID>终止进程，并修改冲突服务的配置。
防火墙与SELinux设置：很多情况下，FTP服务正常运行且端口处于监听状态，但外部无法连接，这是由于防火墙拦截了21端口或被动模式的数据端口。
- 使用
firewall-cmd放行21端口：firewall-cmd --permanent --add-service=ftp --zone=public && firewallwall-cmd --reload - 对于自定义的被动端口范围（如50000-60000），必须显式添加富规则：
firewall-cmd --permanent --add-port=50000-60000/tcp --zone=public - 需检查SELinux布尔值：
getsebool ftp_home_dir，确保其为on状态，否则会导致用户无法登录或访问目录。
修改默认端口以提升安全性：为了规避自动化脚本的扫描攻击，建议修改默认的21端口，在vsftpd.conf中添加listen_port=2121，重启服务后，务必使用ss -antlp | grep :2121确认新端口已生效，并同步更新防火墙规则。
相关问答
Q1：为什么FTP客户端能连接服务器，但在列出文件目录时一直卡住或报错？
A： 这是一个典型的被动模式端口未放行问题，客户端连接21端口（命令通道）成功，但在进入被动模式传输数据时，服务器通知客户端连接某个随机高位端口（如55001），而该端口被服务器端的防火墙拦截，解决方法是在FTP服务器配置文件中限定被动模式端口范围（如50000-60000），并在防火墙或云安全组中放行该范围内的TCP端口。
Q2：如何确认服务器当前运行的是主动模式还是被动模式？
A： 服务器端通常同时支持两种模式，具体使用哪种模式由客户端决定，要确认实际使用的模式，可以在服务器端抓包分析，使用tcpdump -i any port 21命令，观察FTP控制流，如果客户端发送PASV命令，则使用的是被动模式；如果发送PORT命令并携带IP和端口信息，则使用的是主动模式，在互联网环境下，由于客户端防火墙的存在，绝大多数情况都会协商使用被动模式。
能帮助您全面掌握Linux FTP端口的查看与管理技巧，如果您在操作过程中遇到特殊的报错信息，欢迎在评论区留言，我们将共同探讨解决方案。
