什么是 FTP 端口？Port 20/21 详解 – wiki基地

深入解析FTP端口：Port 20 与 Port 21 的奥秘

互联网的基石在于各种协议，它们定义了不同计算机之间如何通信和交换信息。文件传输协议（FTP，File Transfer Protocol）就是其中一个历史悠久且至关重要的协议，用于在客户端和服务器之间传输文件。与其他大多数使用单个端口进行通信的应用层协议不同，FTP协议的独特之处在于它通常需要使用两个不同的端口来完成文件的传输过程：一个用于控制连接，另一个用于数据连接。这两个关键端口就是我们今天要深入探讨的 Port 21 和 Port 20。

理解 FTP 为什么使用双端口以及这两个端口各自扮演的角色，对于网络管理员、开发者以及任何需要配置或排查 FTP 连接问题的人来说都至关重要。本文将详细解析 FTP 协议的工作原理，重点阐述 Port 21 和 Port 20 的功能、它们在不同工作模式下的协作方式，以及相关的网络配置和安全考虑。

1. 文件传输协议（FTP）概述

FTP 是一种基于客户端-服务器模型的协议。客户端发起连接请求，服务器响应并提供文件传输服务。FTP 协议的设计初衷是为了解决不同操作系统和文件系统之间文件共享的兼容性问题。它允许用户上传、下载、删除、重命名、移动文件以及创建或删除目录。

与 HTTP（超文本传输协议）主要用于下载网页不同，FTP 更侧重于双向的文件传输，并且设计上考虑了更复杂的文件管理操作。FTP 协议的特殊性在于将命令和数据的分离处理，这正是它采用双端口架构的根本原因。

一个 FTP 会话通常包含两个独立的连接：

控制连接 (Control Connection)：用于传输 FTP 命令和服务器响应。
数据连接 (Data Connection)：用于传输实际的文件数据。

这种分离的设计带来了灵活性，但也引入了网络配置上的复杂性，特别是在防火墙和网络地址转换 (NAT) 环境下。

2. Port 21：控制连接的指挥中心

Port 21 是 FTP 协议中用于建立和维护控制连接的默认端口。

作用与功能： Port 21 是 FTP 会话的入口。客户端首先连接到服务器的 Port 21 来建立控制连接。这个连接是持久的 (persistent)，也就是说，一旦建立，它通常会在整个 FTP 会话期间保持开放，直到客户端发送 QUIT 命令或连接超时。控制连接承载着客户端发送给服务器的各种 FTP 命令（如登录、切换目录、列出文件、准备传输等），以及服务器返回的状态码和响应信息。它就像一个对话通道，客户端和服务器通过它进行协商和指挥数据传输的过程。
协议： 控制连接使用 TCP (Transmission Control Protocol) 协议。TCP 提供可靠的、有序的、错误校验的数据传输服务，这对于确保命令和响应的准确无误至关重要。即使数据连接中断或传输失败，控制连接通常仍会保持，允许客户端和服务器重新协商或处理错误。
连接发起方： 控制连接始终由 FTP 客户端向 FTP 服务器的 Port 21 发起。这是标准的客户端-服务器连接模式。
传输内容： 通过 Port 21 传输的是 ASCII 文本格式的命令和响应。例如：
- 客户端发送 USER username
- 客户端发送 PASS password
- 客户端发送 CWD /path/to/directory (Change Working Directory)
- 客户端发送 LIST (列出当前目录文件)
- 客户端发送 RETR filename (准备下载文件)
- 客户端发送 STOR filename (准备上传文件)
- 客户端发送 PORT a1,a2,a3,a4,p1,p2 或 PASV (协商数据连接方式)
- 服务器响应以三位数字状态码开头，如 220 Service ready for new user, 230 User logged in, 150 File status ok; about to open data connection, 200 Command okay, 550 Requested action not taken 等。
重要性： Port 21 是 FTP 协议的核心。没有控制连接，就无法进行身份验证、导航、命令执行或协商数据传输。即使实际的文件数据是通过另一个端口传输的，所有关于“何时传输”、“传输什么”、“传输到哪里”等指令都通过 Port 21 传递。

Port 21 的特点总结：
* 默认端口：21
* 协议：TCP
* 连接方向：客户端 -> 服务器
* 连接类型：持久连接
* 传输内容：FTP命令和服务器响应
* 作用：协商、控制和管理数据传输会话

3. Port 20：数据连接的传输通道

Port 20 是 FTP 协议中用于数据连接的默认端口，但其作用和连接发起方式取决于 FTP 的工作模式。这是理解 FTP 双端口机制的关键和难点所在。

FTP 定义了两种基本的工作模式：主动模式 (Active Mode) 和 被动模式 (Passive Mode)。Port 20 主要在主动模式下发挥作用。

3.1 Port 20 在主动模式 (Active Mode) 下的作用

在主动模式下，数据连接的建立方式与控制连接是相反的。

控制连接建立： 客户端首先连接到服务器的 Port 21，建立控制连接。
客户端指示数据端口： 当客户端准备进行文件传输（如下载或上传）时，它会在控制连接上发送一个 PORT 命令给服务器。这个命令会告知服务器客户端将在哪个 IP 地址和哪个端口上监听来自服务器的数据连接请求。PORT 命令的参数格式通常是 PORT a1,a2,a3,a4,p1,p2，其中 a1 到 a4 是客户端的 IP 地址（点分十进制的四个字节），p1 和 p2 是客户端监听数据连接的端口号的高位和低位字节。实际的端口号是 p1 * 256 + p2。例如，PORT 192,168,1,10,4,7 表示客户端在 IP 地址 192.168.1.10 的端口 4 * 256 + 7 = 1024 + 7 = 1031 上监听。
服务器发起数据连接： 服务器收到 PORT 命令后，它会尝试从自己的 Port 20 发起一个到客户端指定 IP 地址和端口的数据连接。一旦这个连接建立成功，文件数据（下载的文件内容或待上传的文件内容）就会通过这个数据连接进行传输。
数据传输完成： 数据传输完成后，这个数据连接会被关闭。下次需要传输文件时，会通过控制连接重新协商并建立新的数据连接。

在主动模式下，Port 20 是 FTP 服务器用于发起数据连接的 源端口 (Source Port)。而数据连接的目标端口 (Destination Port) 是客户端通过 PORT 命令告知服务器的那个随机的高位端口（通常大于 1024）。

Port 20 在主动模式下的特点总结：
* 默认端口：20
* 协议：TCP
* 连接方向：服务器 -> 客户端
* 连接发起方：FTP 服务器
* 连接类型：临时连接，每次数据传输建立，完成后关闭
* 传输内容：实际的文件数据
* 作用：作为服务器发起数据连接的源端口

3.2 Port 20 在被动模式 (Passive Mode) 下的作用

被动模式的引入主要是为了解决主动模式在有防火墙和网络地址转换 (NAT) 环境下的困难。

控制连接建立： 客户端首先连接到服务器的 Port 21，建立控制连接。
客户端请求被动模式： 当客户端准备进行文件传输时，它会在控制连接上发送一个 PASV 命令给服务器。
服务器指示数据端口： 服务器收到 PASV 命令后，它会在服务器端开启一个随机的、未被使用的、通常是高位的端口（通常在 1024 到 65535 之间，有些服务器配置特定的被动端口范围）。然后，服务器会通过控制连接向客户端发送一个响应，包含服务器的 IP 地址和它刚刚开启的这个数据端口号。响应格式通常是 227 Entering Passive Mode (a1,a2,a3,a4,p1,p2)，其中 a1 到 a4 是服务器的 IP 地址，p1 和 p2 是服务器为数据连接开启的端口号的高位和低位字节。
客户端发起数据连接： 客户端收到服务器的响应后，它会从客户端的一个随机高位端口发起一个到服务器指定 IP 地址和端口的数据连接。一旦连接建立成功，文件数据就会通过这个连接传输。
数据传输完成： 数据传输完成后，这个数据连接会被关闭。

在被动模式下，FTP 服务器 不使用 Port 20 作为其发起数据连接的源端口。 数据连接的源端口是客户端的一个随机高位端口，目标端口是服务器通过 PASV 命令告知客户端的那个随机高位端口。Port 20 在被动模式下与数据传输没有直接关联。

Port 20 在被动模式下的特点总结：
* 默认端口：无直接关联
* 协议：TCP
* 连接方向：客户端 -> 服务器（与控制连接方向一致）
* 连接发起方：FTP 客户端
* 连接类型：临时连接，每次数据传输建立，完成后关闭
* 传输内容：实际的文件数据
* 作用：在数据传输过程中不使用 Port 20 作为服务器的源端口。

4. 两种工作模式详解：主动模式 vs. 被动模式

理解 Port 20 的作用，必须结合 FTP 的主动模式和被动模式来看。这两种模式在数据连接的建立方式上存在根本差异，对网络环境（尤其是防火墙和 NAT）有着截然不同的影响。

4.1 主动模式 (Active Mode) 的详细流程与挑战

流程回顾：
1. 客户端从其随机高位端口 X 连接到服务器的 Port 21 (控制连接)。
2. 客户端发送 USER 和 PASS 进行认证。
3. 客户端发送 PORT a,b,c,d,e,f 命令，通知服务器它将在客户端的端口 e*256 + f 上监听数据连接。假设客户端的 IP 是 C_IP，监听端口是 C_DATA_PORT。
4. 服务器收到 PORT 命令，准备数据传输。
5. 服务器从其 Port 20 连接到客户端的 IP (C_IP) 和端口 (C_DATA_PORT) (数据连接)。
6. 数据通过此连接传输。
7. 数据传输完成后，数据连接关闭。控制连接保持开放。

挑战与问题：

客户端防火墙问题： 在主动模式下，数据连接是由服务器发起的。这意味着服务器需要能够从外部网络（服务器端）连接到客户端随机开放的一个高位端口 (C_DATA_PORT)。如果客户端处于防火墙后，或者客户端运行了个人防火墙，这些防火墙通常会默认阻止来自外部网络的入站连接，除非显式允许。这就导致服务器无法成功建立数据连接，文件传输失败。
客户端 NAT 问题： 如果客户端位于 NAT 设备（如家庭路由器）之后，客户端通过 Port 21 发送到服务器的 PORT 命令中的 IP 地址 (a,b,c,d) 是客户端的内部局域网 IP。服务器收到这个内部 IP 后，无法直接通过互联网连接到它。服务器会尝试连接到这个内部 IP，但连接请求会路由失败。虽然一些智能的 NAT 设备（支持 FTP ALG）可以检测到 PORT 命令并修改其中的 IP 地址为 NAT 设备的外部公网 IP，但并非所有 NAT 设备都支持或正确实现了 FTP ALG。

总结： 主动模式对客户端的网络环境要求较高，客户端需要能够接收来自服务器的入站连接。这在现代网络环境中，客户端通常位于防火墙和 NAT 之后的情况下，变得非常不便和难以配置。这就是为什么主动模式现在不如被动模式常用。

4.2 被动模式 (Passive Mode) 的详细流程与优势

流程回顾：
1. 客户端从其随机高位端口 X 连接到服务器的 Port 21 (控制连接)。
2. 客户端发送 USER 和 PASS 进行认证。
3. 客户端发送 PASV 命令，请求进入被动模式。
4. 服务器收到 PASV 命令，在服务器端随机开启一个高位端口 S_DATA_PORT (通常 > 1024)。服务器告知客户端它的 IP (S_IP) 和这个随机端口 (S_DATA_PORT)，例如通过 227 Entering Passive Mode (a,b,c,d,e,f) 响应。
5. 客户端收到服务器的 IP (S_IP) 和端口 (S_DATA_PORT) 后，从客户端的一个随机高位端口 Y 连接到服务器的 S_IP:S_DATA_PORT (数据连接)。
6. 数据通过此连接传输。
7. 数据传输完成后，数据连接关闭。控制连接保持开放。

优势与挑战：

客户端防火墙友好： 在被动模式下，数据连接是由客户端发起的。客户端从内部网络向外部的服务器发起连接，这是大多数防火墙默认允许的出站连接。因此，客户端无需在防火墙上为 FTP 数据连接开放特定的入站端口，大大简化了客户端的配置。
客户端 NAT 友好： 客户端向服务器发起连接，NAT 设备可以轻松地跟踪这些连接并正确地进行地址转换，这与普通网页浏览等操作类似。
服务器端配置： 虽然被动模式解决了客户端的很多问题，但它给服务器端带来了配置上的挑战。服务器需要开启一个范围内的随机高位端口来响应客户端的 PASV 请求。服务器的防火墙必须允许来自外部网络的入站连接到这个被动端口范围。此外，如果服务器位于 NAT 之后，服务器发送给客户端的 PASV 响应中的 IP 地址 (a,b,c,d) 可能是其内部局域网 IP。为了让客户端能够正确连接，FTP 服务器软件需要能够感知其外部公网 IP，并在 PASV 响应中发送正确的外部 IP。

总结： 被动模式将数据连接的发起方从服务器转移到了客户端，这更符合现代网络防火墙和 NAT 的常见配置模式，极大地提高了 FTP 连接的成功率，特别是在客户端环境复杂的情况下。因此，被动模式成为了目前更推荐和常用的 FTP 工作模式。

5. Port 20/21 在不同模式下的协作流程图解

为了更清晰地理解，我们可以简化绘制一下两种模式下的连接流：

主动模式 (Active Mode)

+-----------+ +-----------+ | FTP Client| | FTP Server| | (随机端口)| | (Port 21) | +-----------+ +-----------+ | | 1. 控制连接 (Client -> Server:Port 21) | |------------------------------------>| (源端口:随机X, 目标端口:21) | | 2. 命令: USER, PASS, CWD, etc. | |<-----------------------------------| (响应) | | 3. 命令: PORT C_IP, C_DATA_PORT (告知服务器客户端监听端口) |------------------------------------>| | | 4. 服务器建立数据连接 (Server -> Client:C_DATA_PORT) |<-----------------------------------| (源端口:Port 20, 目标端口:C_DATA_PORT) | | 5. 数据传输 (文件下载/上传) | |<----------------------------------->| | | 6. 数据连接关闭 | |<-----------------------------------| (或客户端主动关闭) | | 7. 继续控制命令 (如 LIST) 或 QUIT 命令 | |<-----------------------------------| (响应) | | 8. 控制连接关闭 | |------------------------------------>| (QUIT命令)

被动模式 (Passive Mode)

+-----------+ +-----------+ | FTP Client| | FTP Server| | (随机端口)| | (Port 21) | +-----------+ +-----------+ | | 1. 控制连接 (Client -> Server:Port 21) | |------------------------------------>| (源端口:随机X, 目标端口:21) | | 2. 命令: USER, PASS, CWD, etc. | |<-----------------------------------| (响应) | | 3. 命令: PASV (请求进入被动模式) | |------------------------------------>| | | 4. 服务器开启随机高位端口 S_DATA_PORT | 响应: 227 Entering Passive Mode (S_IP, S_DATA_PORT) |<-----------------------------------| (告知客户端服务器数据端口) | | 5. 客户端建立数据连接 (Client -> Server:S_DATA_PORT) |------------------------------------>| (源端口:随机Y, 目标端口:S_DATA_PORT) | | 6. 数据传输 (文件下载/上传) | |<----------------------------------->| | | 7. 数据连接关闭 | |<-----------------------------------| (或客户端主动关闭) | | 8. 继续控制命令 (如 LIST) 或 QUIT 命令 | |<-----------------------------------| (响应) | | 9. 控制连接关闭 | |------------------------------------>| (QUIT命令)

从上面的图示可以清晰地看出，主动模式下数据连接是服务器发起的，源端口是 Port 20；而被动模式下数据连接是客户端发起的，源端口和目标端口都是高位的随机端口，与 Port 20 无关。

6. 防火墙与 NAT 对 Port 20/21 的影响及解决方案

由于 FTP 双端口和两种工作模式的特性，防火墙和 NAT 设备对 FTP 连接有着显著的影响。

主动模式与防火墙/NAT：
- 客户端防火墙：必须配置为允许来自服务器 IP 地址段的入站连接到高位随机端口范围。这几乎不可能做到精确控制，因为端口是随机的。
- 客户端 NAT：NAT 设备需要特殊处理 PORT 命令中的内部 IP 和端口，将其替换为外部公网 IP 和映射端口。这就是 FTP ALG (Application Layer Gateway) 的作用。如果 NAT 设备没有 FTP ALG 功能，或者 ALG 存在缺陷，主动模式就会失败。
- 服务器防火墙：必须允许来自客户端 IP 地址的入站连接到 Port 21 (控制连接) 和出站连接从 Port 20 到客户端的高位随机端口 (数据连接)。允许出站从 Port 20 通常不是问题。
被动模式与防火墙/NAT：
- 客户端防火墙/NAT：只需允许出站连接到服务器的 Port 21 (控制连接) 和服务器开启的高位随机端口 (数据连接)。这通常是默认允许的。
- 服务器防火墙：必须允许来自客户端 IP 地址的入站连接到 Port 21 (控制连接) 和入站连接到服务器配置的被动端口范围 (数据连接)。这是服务器端需要额外配置的关键点。需要开放的端口范围取决于服务器的配置，通常是 1024-65535 中的一段，例如 50000-51000。
- 服务器 NAT：如果 FTP 服务器在 NAT 后，服务器需要在 PASV 响应中告知客户端其外部公网 IP 和映射到内部数据端口的外部端口。大多数现代 FTP 服务器软件都有配置选项来指定其外部 IP 或端口范围，或者依赖于服务器端的 FTP ALG。

FTP ALG 的作用：
FTP ALG 是一种位于防火墙或 NAT 设备上的特殊功能，它能够识别 FTP 控制连接 (通常在 Port 21) 中的 PORT 或 PASV 命令，并动态地执行以下操作：
* 主动模式 (NAT/Firewall on Client Side): 检查客户端发出的 PORT 命令，将其中包含的客户端内部 IP 和端口信息替换为客户端的外部公网 IP 和 NAT 设备为数据连接分配的外部端口，并动态在防火墙上创建规则，允许来自服务器 Port 20 的入站数据连接到该外部端口，并将其转发到客户端内部的实际端口。
* 被动模式 (NAT/Firewall on Server Side): 检查服务器发出的 PASV 响应，将其中包含的服务器内部 IP 和数据端口信息替换为服务器的外部公网 IP 和 NAT 设备为该数据连接分配的外部端口，并动态在防火墙上创建规则，允许来自客户端随机端口的入站数据连接到该外部端口，并将其转发到服务器内部的实际数据端口。

虽然 FTP ALG 理论上很方便，但它依赖于对 FTP 协议深度的解析，且不同厂商的实现可能存在兼容性问题或 bug，有时反而会导致 FTP 连接失败。

7. 安全性考量

Ports 20 和 21 作为 FTP 的默认端口，是网络扫描和攻击的常见目标。此外，FTP 协议本身存在固有的安全问题：

明文传输： 传统的 FTP 协议在 Port 21 上传输的用户名、密码以及通过数据连接（Port 20 或被动模式的高位端口）传输的文件数据都是明文的。这使得通过网络嗅探很容易截获敏感信息。
被动端口范围： 在被动模式下，服务器需要开放一个端口范围。如果这个范围过大，会增加服务器的攻击面。
拒绝服务 (DoS) 攻击： 攻击者可能通过 Port 21 频繁发起连接请求，消耗服务器资源。
FTP Bounce Attack (FTP 反弹攻击)： 这是一个较老的攻击方式，利用了 FTP 主动模式下服务器根据 PORT 命令连接任意 IP 和端口的特性。攻击者可以指示服务器连接到第三方机器的某个端口，从而将 FTP 服务器用作代理来扫描其他网络或发起攻击。现代 FTP 服务器通常已经禁用了 PORT 命令连接到与服务器不同子网的 IP 地址，但老旧或配置不当的服务器仍然存在风险。

鉴于这些安全风险，对于需要传输敏感数据的场景，强烈不推荐使用传统的 FTP。

8. 现代文件传输协议的替代方案

为了提高安全性，出现了基于 FTP 或 SSH 的更安全的替代方案：

FTPS (FTP over SSL/TLS): FTPS 在传统的 FTP 控制连接 (Port 21) 和/或数据连接上使用 SSL/TLS 加密。
- 隐式 FTPS： 通常在 Port 990 上建立一个加密的控制连接，数据连接也通过 SSL/TLS 保护（可能在 Port 990 或协商的其他端口上）。
- 显式 FTPS： 在 Port 21 上建立普通 FTP 控制连接后，客户端发送 AUTH TLS 或 AUTH SSL 命令来升级连接为 SSL/TLS 加密。数据连接的加密与控制连接类似，通过协商确定。显式 FTPS 仍然使用 Port 21 作为初始控制端口，但流量被加密。
SFTP (SSH File Transfer Protocol): SFTP 不是 FTP 协议的扩展，而是基于 SSH (Secure Shell) 协议的一个子系统。它使用 SSH 的 Port 22，并且所有数据（命令和文件数据）都在一个加密的连接中传输。SFTP 提供了比 FTPS 更好的防火墙和 NAT 兼容性，因为它只需要开放一个端口 (Port 22)，并且所有通信都是在单个连接中完成的。
SCP (Secure Copy Protocol): 也是基于 SSH 的文件传输协议，主要用于简单的文件复制，不如 SFTP 功能丰富。
WebDAV (Web Distributed Authoring and Versioning): 基于 HTTP/HTTPS 的文件管理协议，可以使用 Port 80 或 443。

在安全性要求高的环境中，通常推荐使用 SFTP 或 FTPS 替代传统 FTP。

9. 总结

FTP 协议通过分离控制连接和数据连接的设计，为文件传输提供了灵活的管理能力。Port 21 作为控制连接的默认端口，负责命令的发送和接收，是整个 FTP 会话的“指挥中心”。Port 20 则在主动模式下作为服务器发起数据连接的默认源端口，专门用于传输实际的文件数据。

由于防火墙和 NAT 的普及，FTP 的双端口设计（尤其是主动模式下服务器发起数据连接到客户端随机端口）带来了显著的网络配置复杂性。被动模式应运而生，将数据连接的发起方改为客户端，虽然解决了客户端的防火墙问题，但需要在服务器端开放被动端口范围。在被动模式下，Port 20 与数据连接的建立没有直接关系。

尽管 Port 20 和 Port 21 在 FTP 协议的历史中扮演了重要角色，但传统 FTP 协议固有的明文传输问题使其在需要安全性的场景下不再适用。现代文件传输需求更倾向于使用 SFTP (Port 22) 或 FTPS (通常 Port 21 或 990) 等更安全的替代方案，它们通过加密解决了数据安全问题，并且 SFTP 在端口使用上也更加简化。

然而，理解 Port 20 和 Port 21 的作用以及主动/被动模式的区别，仍然是理解传统网络协议设计思想和进行老旧系统维护、网络排障的基础知识。它们是 FTP 协议核心工作原理的体现，承载着文件传输的历史。