**FTP 服务器的控制端口是 TCP 21，数据传输端口是 TCP 20。**

所以，如果题目问

`FTP 服务器的控制端口和上传文件的端口分别是多少`

按照传统教材和考试语境，答案就是

**21 和 20。**

不过，真正理解 FTP 以后会发现，第二个答案需要加一个很重要的限定。`21` 的地位非常稳定，它就是传统 FTP 的控制连接端口。而 `20` 是 FTP 服务器的默认数据端口，特别对应传统的主动模式。到了被动模式，真正传输上传文件的服务器端端口通常并不是 `20`，而是服务器临时开放的另外一个 TCP 端口。

所以考试答案可以记成

**控制连接走 TCP 21，数据连接传统上记 TCP 20。**

工程上的完整答案则应该写成

**FTP 控制连接通常连接服务器 TCP 21 端口。主动模式下，服务器的数据连接默认从 TCP 20 端口发起。被动模式下，服务器会另外开放一个动态数据端口，所以文件上传并没有一个在所有 FTP 工作模式中都固定为 20 的服务器端口。**

IANA 的端口注册表目前仍然把 `ftp-data` 对应的默认数据端口登记为 `20/tcp`，把 FTP 控制服务登记为 `21/tcp`。RFC 959 也规定 FTP 控制连接的服务器服务端口为 `21`，而服务器默认数据端口位于控制端口之前一个端口，也就是 `21 - 1 = 20`。

## 为什么 FTP 偏偏需要两个连接

理解 `20` 和 `21` 最好的办法，不是死记端口表，而是理解 FTP 的协议设计。

HTTP 的很多操作可以在一条 TCP 连接里面完成，而传统 FTP 从设计之初就把通信拆成了两类。

一类负责说话。

另一类负责搬东西。

负责说话的连接叫做控制连接，也就是 `control connection`。

负责真正传输目录列表、上传文件和下载文件的连接叫做数据连接，也就是 `data connection`。

这两个连接承担的工作完全不同。

客户端连接服务器的 TCP 21 端口以后，并不会立刻把文件字节源源不断地塞进这条连接。控制连接主要传递 FTP 命令和服务器响应。

例如客户端可能发送

```text
USER
PASS
PWD
CWD
TYPE
PORT
PASV
LIST
RETR
STOR
QUIT
```

其中 `USER` 和 `PASS` 与登录有关。

`PWD` 用来查询服务器当前工作目录。

`CWD` 用来切换目录。

`LIST` 请求目录列表。

`RETR` 用于下载文件。

`STOR` 用于上传文件。

`PORT` 与主动模式建立数据连接有关。

`PASV` 与被动模式建立数据连接有关。

`QUIT` 用于结束 FTP 会话。

这些命令基本都走控制连接，也就是服务器的 TCP 21 端口。

真正执行 `STOR` 上传文件的时候，文件内容不会直接混在这些 FTP 命令中传过去，而是建立另外一条数据连接。

这种设计可以想成一家大型仓库。

TCP 21 类似仓库办公室。

办公室负责接受申请，确认身份，告诉仓库工作人员准备收货或者发货。

TCP 20 以及被动模式中的动态数据端口，更像仓库的装卸通道。

办公室不会把几十 GB 的货物堆在办公桌上。

FTP 也是相同思路。

控制信息和文件数据分离。

这正是很多考试喜欢考 `20` 与 `21` 的原因。

## 为什么很多教材写上传端口是 20

这里很容易形成一个概念误区。

传统教材经常写

`FTP 控制端口 21`

`FTP 数据端口 20`

这句话作为入门记忆没有问题，但如果进一步写成

`FTP 上传永远使用服务器 20 端口`

就不准确了。

关键差别就在 FTP 的主动模式与被动模式。

传统 FTP 最经典的工作方式是主动模式，也经常称为 `Active FTP`。

客户端先主动连接 FTP 服务器的 TCP 21 端口。

于是出现控制连接。

大致可以表示成

```text
客户端随机端口  --->  FTP 服务器 21
```

此时双方可以发送 `USER`、`PASS`、`PWD`、`CWD` 等命令。

等到真正需要上传或者下载文件的时候，还要建立第二条 TCP 连接。

在传统主动模式中，服务器主动向客户端建立数据连接。

服务器这一侧默认使用 TCP 20。

于是可以粗略画成

```text
控制连接

客户端随机端口  --->  服务器 21


数据连接

服务器 20  --->  客户端指定端口
```

这里有一个很容易被考试题隐藏掉的知识点。

`20` 是服务器这一侧默认使用的数据端口。

它并不是说数据连接两端都必须使用 `20`。

TCP 连接永远由两个端点组成。

完整的 TCP 会话需要考虑

```text
源 IP
源端口
目的 IP
目的端口
```

传统主动 FTP 中，服务器可能从

```text
192.168.1.10:20
```

连接客户端

```text
192.168.1.100:50001
```

因此真正的数据 TCP 连接可能是

```text
192.168.1.10:20  --->  192.168.1.100:50001
```

这里服务器使用了 `20`，客户端使用的是 `50001`。

所以在严格网络术语下，说 `FTP 数据端口是 20` 是一种简化表达，更完整的说法是 FTP 服务器默认数据连接端口是 TCP 20。

RFC 959 对这种机制有非常清晰的规定，FTP 服务器控制服务端口 `L` 为 `21`，服务器默认数据端口是 `L - 1`，因此就是 `20`。后来的 RFC 1579 在讨论防火墙与 FTP 时，也明确描述传统主动模式下服务器从端口 `20` 发起数据连接。

## 上传和下载其实没有分别固定一个端口

另外一个很常见的误解，是认为 FTP 可能存在这样的对应关系

```text
21 负责控制
20 负责上传
另一个端口负责下载
```

FTP 并不是这样设计的。

上传和下载都使用数据连接。

决定数据究竟往哪个方向流动的，是 FTP 命令，而不是通过给上传和下载分别安排两个固定端口来区分。

上传常见命令是

```text
STOR
```

可以理解为要求服务器存储客户端发送过来的文件。

下载常见命令是

```text
RETR
```

可以理解为要求服务器把文件发送给客户端。

如果执行

```text
STOR report.zip
```

建立数据连接之后，数据方向主要是

```text
客户端  --->  服务器
```

如果执行

```text
RETR report.zip
```

数据方向主要是

```text
服务器  --->  客户端
```

但两种操作都属于 FTP 数据传输。

所以 `20` 更准确的名称是

`FTP default data port`

而不是专门的 `FTP upload port`。

IANA 对 TCP 20 的正式服务名称就是 `ftp-data`，描述为 FTP 默认数据传输服务，而 TCP 21 对应 `ftp` 控制服务。

这也是解题时非常重要的一个判断方法。

如果试卷问

`FTP 的控制端口与数据端口分别是什么`

直接回答

```text
21，20
```

如果试卷使用比较口语化的表达

`FTP 的控制端口与上传文件的端口分别是什么`

多数传统考试仍然期待

```text
21，20
```

但从真正的协议实现来看，应理解为控制连接默认使用服务器 TCP 21，文件数据在传统主动模式下涉及服务器 TCP 20。

## 被动模式出现以后，20 就不再是每次传文件必经的服务器端口

FTP 最有意思的地方也恰好在这里。

现实网络中大量环境位于 NAT、防火墙、企业出口、安全设备之后。

传统主动模式有一个比较麻烦的问题。

服务器居然主动反向连接客户端。

设想客户端在公司局域网里

```text
客户端

192.168.10.100
```

FTP 服务器位于互联网

```text
203.0.113.20
```

客户端主动访问服务器 TCP 21 很自然。

```text
客户端  --->  Internet  --->  FTP 服务器 21
```

但主动模式传文件时，却要求服务器再反过来连接客户端。

```text
FTP 服务器 20  --->  Internet  --->  客户端某端口
```

现代防火墙看到这种从互联网主动进入企业内部的连接，往往会非常警惕。

NAT 也会产生麻烦。

服务器看到的可能只是 NAT 网关公网地址，而不是客户端真正的 `192.168.10.100`。

FTP 因而发展出了非常常见的被动模式，也就是 `Passive FTP`。

客户端在控制连接上发送

```text
PASV
```

服务器收到以后，不再从 TCP 20 主动连接客户端，而是在服务器一侧另外开放一个端口等待客户端连接。

假定服务器选择了 TCP 50000。

于是控制连接仍然是

```text
客户端随机端口  --->  服务器 21
```

数据连接则变成

```text
客户端随机端口  --->  服务器 50000
```

这时真正上传文件的数据根本没有经过服务器 TCP 20。

服务器可能开放的是

```text
40000
```

也可能是

```text
45001
```

或者管理员配置的某个被动端口范围。

因此在工程现场看到一台 FTP 服务器，防火墙只开放 TCP 20 和 TCP 21，并不能保证被动 FTP 可以正常工作。

服务器如果配置了类似

```text
50000 - 51000
```

作为被动数据端口范围，那么边界防火墙还需要允许相应的 TCP 流量。

RFC 959 本身已经定义了 `PASV`，客户端可以要求服务器使用一个非默认服务器数据端口。RFC 3027 在讨论 NAT 与 FTP 时也明确指出，默认数据会话可以涉及服务器 TCP 20，但实际数据端口能够通过 `PORT` 与 `PASV` 等 FTP 控制信息改变。

这也是为什么网络工程中不能机械地认为

```text
FTP = 20 + 21
```

更准确的模型是

```text
FTP = 一条控制连接 + 按需建立的数据连接
```

控制连接通常非常稳定地指向服务器 TCP 21。

数据连接的端口安排取决于主动模式还是被动模式。

## 用一次上传过程把 21 和 20 串起来

把整个过程连起来，记忆会容易很多。

设想我们的电脑使用传统主动 FTP 向服务器上传一个名为 `backup.zip` 的文件。

客户端先建立 TCP 控制连接。

```text
客户端 51888  --->  服务器 21
```

FTP 服务器返回服务就绪信息。

客户端发送用户名和密码。

```text
USER jerry
PASS ********
```

这些内容都走 TCP 21 对应的控制连接。

登录成功以后，客户端可能发送文件类型设置命令。

```text
TYPE I
```

这里的 `I` 一般表示 Image，也就是二进制传输方式。

准备上传时，主动模式客户端会告诉服务器应该连接客户端的哪个数据端口。

这与 `PORT` 命令有关。

之后客户端发送

```text
STOR backup.zip
```

`STOR` 命令本身依旧通过控制连接传输，也就是通过服务器 TCP 21。

服务器准备接收文件后，再建立数据连接。

传统主动模式下可以出现

```text
服务器 20  --->  客户端 52000
```

真正几百 MB 或几个 GB 的 `backup.zip` 字节数据走这条数据连接。

数据传输结束后，这条数据连接可以关闭。

而 TCP 21 的控制连接仍然保持。

客户端还可以继续发送

```text
PWD
LIST
RETR
STOR
```

等命令。

直到执行

```text
QUIT
```

FTP 会话才正式结束。

这样一看，`21` 与 `20` 的职责就很清晰。

`21` 像指挥链路。

`20` 在传统主动模式下像服务器的数据运输出口。

上传文件绝不是把 `backup.zip` 直接塞进 TCP 21。

## 目录列表为什么也可能建立数据连接

这也是 FTP 一个容易让初学者意外的地方。

数据连接并不只用于几百 MB 的真正文件。

传统 FTP 获取目录列表也可能通过数据连接。

例如客户端执行

```text
LIST
```

`LIST` 这个命令本身通过 TCP 21 发送。

服务器真正返回的一大段目录内容，则可以通过数据连接传输。

这说明 FTP 对控制连接与数据连接的划分，不应该简单理解成

```text
21 = 文字
20 = 文件
```

更准确的理解是

```text
21 = FTP 协议控制命令与响应
数据连接 = 需要独立传递的数据内容
```

目录列表也是一种需要传输的数据。

文件上传也是数据。

文件下载也是数据。

因此 FTP 协议中的 `data connection` 比日常语言里的文件上传端口范围更宽。

## 为什么 TCP 20 和 TCP 21 刚好挨在一起

RFC 959 中定义控制连接服务器端口为 `L`。

FTP 的服务端口 `L` 被指定为 `21`。

服务器默认数据端口则定义成

```text
L - 1
```

代入以后就是

```text
21 - 1 = 20
```

所以经典的 FTP 端口组合刚好是连续的

```text
20
21
```

这个设计也给考试记忆提供了一个很好用的规律。

数字较大的 `21` 管控制。

前一个数字 `20` 管传统数据传输。

可以把它理解为

```text
21 负责指挥
20 负责搬运
```

当然这只是一种记忆方法，并不是 FTP 标准里的正式术语。

## FTP 为什么使用 TCP，而不是 UDP

既然讨论端口，还要把传输层协议一起记住。

FTP 传统工作模型建立在 TCP 之上。

文件传输最关心的事情之一，就是可靠性。

假设我们正在上传一个 `2 GB` 的数据库备份文件，其中某几个 IP 数据包在网络中丢失。如果应用层完全依靠不可靠数据报而又没有补偿机制，最终得到的文件很可能损坏。

TCP 会提供可靠传输所需的一整套机制，包括序号、确认、重传、流量控制与拥塞控制等。

因此传统 FTP 的核心连接通常理解为

```text
TCP 21
TCP 20
```

而不能在考试中写成

```text
UDP 20
UDP 21
```

IANA 注册表里虽然能够看到服务名在多个传输协议名下的历史注册信息，但经典 RFC 959 FTP 的控制连接和数据连接机制是以 TCP 连接为核心描述的。考试讨论 FTP 时，应按 TCP 协议模型回答。

## FTP、SFTP 和 TFTP 不能混成一套端口

端口题里还有一个非常高频的陷阱。

看到文件传输，不代表都是 FTP。

FTP、SFTP、TFTP 虽然名字都和文件传输有关，但协议完全不同。

传统 FTP 最典型的端口是

```text
TCP 21    控制连接
TCP 20    默认数据连接端口
```

现代服务器经常使用被动数据端口，所以还可能需要额外的 TCP 端口范围。

SFTP 则完全是另一回事。

现代语境中的 SFTP 一般指 `SSH File Transfer Protocol`，它运行在 SSH 之上，典型服务器端口是

```text
TCP 22
```

因此 SFTP 并不是给 FTP 加一个 `S`。

它的协议体系与传统 FTP 不同。

TFTP 又是另一套轻量协议。

传统 TFTP 使用

```text
UDP 69
```

它没有 FTP 那套长期控制连接加独立数据连接的完整工作方式。

所以考试中如果看到

```text
FTP
SFTP
TFTP
```

不能因为三个名字里都有 `FTP` 就把端口混在一起。

非常实用的一组记忆是

```text
FTP     20 / 21
SSH     22
SFTP    通常依赖 SSH 22
TFTP    UDP 69
HTTP    TCP 80
HTTPS   TCP 443
```

真正解题的时候，看到题目写的是 FTP，就把注意力先放回 `20` 和 `21`。

## 主动模式和被动模式才是理解这道题的关键

如果只为了选择题得分，记住

```text
控制端口 21
数据端口 20
```

通常就已经够用了。

但从软件开发、网络抓包、防火墙配置、NAT、容器部署、云服务器安全组这些实际工程问题来看，只背这两个数字经常会出错。

主动模式的核心方向可以记成

```text
控制连接

客户端  --->  服务器 21


数据连接

服务器 20  --->  客户端
```

被动模式则更接近

```text
控制连接

客户端  --->  服务器 21


数据连接

客户端  --->  服务器动态端口
```

两者最大的区别并不是上传还是下载。

真正变化的是谁主动建立数据 TCP 连接，以及服务器数据连接使用哪个端口。

主动模式下服务器主动连接客户端，服务器默认数据端口通常是 `20`。

被动模式下客户端主动连接服务器提供的数据端口，该服务器端口通常不是固定 `20`。

现代企业网络、NAT、云平台和防火墙环境中，被动模式很常见，因为由客户端主动向外建立连接通常更容易穿越网络边界。RFC 1579 当年提出 `Firewall-Friendly FTP` 时讨论的正是这个问题。

## 再回到题目，标准答案应该怎么写

题目原文问的是

`FTP 服务器的控制端口和上传文件的端口分别是多少`

在典型计算机网络考试语境中，可以直接判断

```text
控制端口    TCP 21
上传文件的数据端口    TCP 20
```

因此标准答案是

**21 和 20。**

如果把这道题提升到工程准确度，则应该在脑中保留完整版本。

FTP 服务器的控制连接通常监听 TCP 21。传统主动模式下，服务器默认从 TCP 20 建立数据连接，上传和下载都通过数据连接完成。被动模式下，服务器会另行提供一个动态 TCP 端口，因此现实中的 FTP 文件上传端口并不保证永远是 TCP 20。

考试需要记住的是

```text
FTP 控制    21
FTP 数据    20
```

理解协议时需要记住的是

```text
21 基本固定负责控制连接

20 是传统服务器默认数据端口

上传和下载没有分别固定一个专属端口

主动模式与被动模式会改变数据连接的建立方式

被动 FTP 的服务器数据端口通常不是 20
```

把这几层关系弄清楚以后，遇到 FTP 端口题、主动与被动模式题、NAT 题、防火墙题，甚至抓包分析题，都不会再被 `20` 与 `21` 绕进去。

最适合作为考试速记的一句话仍然是

**FTP 用 TCP 21 管命令，用 TCP 20 传数据，现代被动模式的数据端口则可能动态变化。**

## 参考资料

RFC 959，File Transfer Protocol，RFC Editor。[RFC 959 官方页面](https://www.rfc-editor.org/info/rfc959/?utm_source=chatgpt.com)

RFC 1579，Firewall-Friendly FTP，RFC Editor。[RFC 1579 官方页面](https://www.rfc-editor.org/info/rfc1579/?utm_source=chatgpt.com)

IANA，Service Name and Transport Protocol Port Number Registry。[IANA 端口注册表](https://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.xhtml?utm_source=chatgpt.com)

不过，真正理解 FTP 以后会发现，第二个答案需要加一个很重要的限定。21 的地位非常稳定，它就是传统 FTP 的控制连接端口。而 20 是 FTP 服务器的默认数据端口，特别对应传统的主动模式。到了被动模式，真正传输上传文件的服务器端端口通常并不是 20，而是服务器临时开放的另外一个 TCP 端口。

FTP 控制端口是 21，文件传输常见端口是 20，但真实情况比两个数字稍微复杂

紫薇堂堂主

网络与通信

架构设计

开发工具

FTP控制端口为TCP21，传统数据端口为TCP20；但实际传输文件时，主动模式用20，被动模式用动态端口。理解FTP双连接设计是答题关键。

数据传输服务

边界防火墙

软件开发

代码解释

云服务器

文件传输

服务器

防火墙

数据库

容器

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

FTP 控制端口是 21，文件传输常见端口是 20，但真实情况比两个数字稍微复杂-腾讯云开发者社区-腾讯云

FTP 控制端口是 21，文件传输常见端口是 20，但真实情况比两个数字稍微复杂

FTP 控制端口是 21，文件传输常见端口是 20，但真实情况比两个数字稍微复杂

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐