很多人第一次碰到“21端口”这个词，端口打开是端口打开在配置FTP服务器的时候。装完FileZilla Server或者vsftpd，端口打开兴冲冲去连，端口打开结果卡在“连接超时”或者“无法建立数据连接”。端口打开一看端口，端口打开21没通。端口打开问题来了——这个端口到底怎么打开？端口打开

先说清楚，21端口是端口打开FTP协议的控制端口。它本身不是端口打开一个需要“打开”的开关，而是端口打开需要让系统防火墙和网络环境允许流量通过。Windows防火墙默认会拦截它，端口打开路由器默认不会把它映射到外网，端口打开云服务器安全组默认也不放行。端口打开所以“打开21端口”这个动作，端口打开实际上是在三个地方分别放行：操作系统防火墙、路由器（如果是家庭或办公网络）、云平台安全组（如果用云主机）。

拿Windows来说。打开“高级安全Windows Defender防火墙”，左侧点“入站规则”，右侧“新建规则”。选“端口”，下一步，TCP，特定本地端口填21。下一步，允许连接。下一步，配置文件里域、专用、公用都勾上。下一步，名称随便写，比如“FTP控制端口21”。完事。这还没完，FTP还有被动模式的数据端口，默认是一段范围，比如50000-51000。如果不把那段也放行，你能连上21，但列目录或传文件就会卡死。这是很多人踩过的坑。

Linux上更直接。iptables或者firewalld。CentOS 7之后默认用firewalld，命令是：
firewall-cmd --permanent --add-port=21/tcp
firewall-cmd --reload
如果是ufw（Ubuntu常见），就是ufw allow 21/tcp。但同样，别忘被动端口范围，比如ufw allow 50000:51000/tcp。我见过有人只开了21，然后抱怨“能登录但看不到文件”，折腾一下午。

路由器这块，家庭宽带用户要在NAT里做端口映射。登录路由器管理页，找到“虚拟服务器”或“端口转发”，外部端口21，内部端口21，内部IP填你FTP服务器的局域网地址。协议选TCP。保存。注意，有些运营商封了21端口，尤其是家宽。你映射了也白搭，外网连不上。这种情况要么换端口，比如2121，要么用VPN。我自己的经验是，电信和联通多数地区没封，移动部分区域会封。不确定的话，用手机4G网络telnet一下你的公网IP 21，通不通立刻知道。

云服务器又是另一回事。阿里云、腾讯云、AWS，都有安全组。你登进控制台，找到安全组规则，入方向添加一条：协议TCP，端口范围21/21，源0.0.0.0/0（或者限制你的IP）。同样，被动端口范围也要加。AWS的EC2还要注意，如果用的是网络ACL，默认规则可能也拦。云上最容易被忽略的是：安全组开了，但系统防火墙没开，或者反过来。两边都要查。

还有一点，FTP本身有两个模式：主动和被动。主动模式下，服务器用20端口主动连客户端，很多客户端防火墙会拦。被动模式下，服务器开一个随机端口等客户端连，所以你要在服务器防火墙和安全组里放行那段被动端口。vsftpd的配置文件里pasv_min_port和pasv_max_port就是干这个的。FileZilla Server也有类似设置。不配这个，21通了也白通。

最后说个真实案例。上周帮朋友调一个FTP，Windows Server 2019，防火墙规则加了21，路由器映射了21，外网能连上，但一列目录就超时。查了半天，被动端口范围没放行。加上50000-51000的入站规则，立刻正常。所以“打开21端口”从来不是只开21。它是一个链条：客户端到服务器21通，服务器到客户端被动端口通，中间所有防火墙和安全组都放行。缺一个，就是连不上或者连上不能用。

如果你只是内网用，那简单，关掉防火墙或者加条规则就行。如果要外网访问，老老实实把上面三层都过一遍。别指望一个命令解决所有问题。

(责任编辑：时尚)