FTP服务器的主备模式指的是主动模式（Active）和被动模式（Passive），这是FTP协议建立数据连接的两种方式，决定了服务器端发起连接还是客户端发起连接，配置时需根据网络环境选择。
FTP主动模式与被动模式的本质区别
主动模式和被动模式的核心差异在于数据连接的发起方,主动模式由服务器主动连接客户端，被动模式则由客户端主动连接服务器，这个区别直接影响防火墙策略和NAT穿透能力。
主动模式的工作原理
主动模式下,客户端先通过随机端口连接服务器21端口（控制通道），建立命令链路，当需要传输数据时，客户端通过PORT命令告知服务器自己的IP和随机端口（通常高于1024），服务器随后使用20端口主动向客户端指定的端口发起连接，这里的关键点是：服务器主动连接客户端的高位端口。
- 客户端打开控制连接,发送PORT命令指定数据端口。
- 服务器从20端口发起TCP连接至客户端指定端口。
- 如果客户端在防火墙后,防火墙可能拦截来自服务器的入站连接。
被动模式的工作原理
被动模式下,控制通道建立后，客户端发送PASV命令，服务器响应一个IP和端口（通常为1024以上），客户端主动连接该端口完成数据传输。服务器只负责监听，客户端发起数据连接。
- 客户端发送PASV命令请求被动模式。
- 服务器开启一个随机端口并告知客户端。
- 客户端主动连接服务器的这个端口进行数据传输。
端口使用对比
| 模式 | 控制连接端口 | 数据连接发起方 | 数据连接端口 |
|---|---|---|---|
| 主动模式 | 客户端随机端口 -> 服务器21 | 服务器20 -> 客户端随机端口 | 服务器20，客户端高位端口 |
| 被动模式 | 客户端随机端口 -> 服务器21 | 客户端随机端口 -> 服务器高位端口 | 服务器高位端口，客户端随机端口 |
被动模式中服务器需要开放一段端口范围供客户端连接,主动模式则要求客户端开放端口给服务器连接。实际应用中，被动模式更常见，因为客户端防火墙通常允许出站连接，而服务器防火墙容易配置端口范围。
如何根据网络环境选择FTP主备模式
选择主动模式还是被动模式,取决于你所在网络的结构，没有绝对的好坏，只有是否适合当前场景。
客户端在防火墙后
如果客户端处于内网,通过NAT访问外网，主动模式通常失败，因为客户端告知服务器的IP是内网地址，服务器无法直接连接，即使客户端支持PASV地址修正，多数情况下被动模式是唯一选择，行业共识认为，在客户端有防火墙或NAT的环境中，被动模式成功率更高。
服务器端在防火墙后
如果服务器在内网,客户端需从外网访问，情况更复杂，主动模式需要服务器20端口能访问客户端高位端口，这在企业防火墙策略下常被拦截，被动模式需要服务器防火墙开放一段端口范围，并允许客户端连接。配置被动模式时，必须指定服务器端口范围，并确保防火墙放开这些端口。
内网穿透场景
内网穿透（如使用FRP或Ngrok）时，FTP主备模式的选择直接影响穿透成功率，主动模式要求服务器能主动连接客户端，但穿透工具通常只处理入站连接，因此主动模式很难穿透，被动模式需要客户端连接服务器的内网穿透端口，配合FTP协议中的PASV地址设置，可以正常工作。内网穿透环境建议强制使用被动模式，并手动指定PASV地址为公网域名或IP
。
安全性考量
主动模式中,服务器主动连接客户端，若客户端不可信，可能被利用扫描端口，被动模式中，服务器开放大量高位端口，若未严格限制，可能增加攻击面。实际安全差异不大，关键是限制端口范围和IP来源，被动模式下，将服务器端口范围限制在1000个以内，并监听内网网卡，可以降低暴露风险。
实操配置FTP主备模式（以vsftpd为例）
vsftpd是最常用的FTP服务器软件,配置主动和被动模式的方法清晰，以下步骤基于CentOS 7 / Ubuntu 20.04。
配置主动模式
vsftpd默认即支持主动模式,但需要确保服务器20端口可用，修改/etc/vsftpd/vsftpd.conf：
connect_from_port_20=YES
pasv_enable=NOconnect_from_port_20=YES允许服务器使用20端口发起数据连接。pasv_enable=NO禁用被动模式，强制使用主动模式。
重启服务：systemctl restart vsftpd，客户端连接时，防火墙需允许服务器20端口出站访问客户端高位端口。
配置被动模式
被动模式需要配置端口范围,并指定PASV地址（如果服务器有多个IP或处于NAT环境）。
pasv_enable=YES
pasv_min_port=30000
pasv_max_port=31000
pasv_address=你的公网IP或域名pasv_enable=YES开启被动模式。pasv_min_port和pasv_max_port定义服务器开放的端口范围，建议1000个以内。pasv_address指定客户端收到的PASV响应中的IP地址，如果服务器在NAT后，此项必须设置为公网IP或域名，否则客户端无法连接。
防火墙开放端口范围：
firewall-cmd --add-port=30000-31000/tcp --permanent firewall-cmd --reload
同时支持主动和被动模式
vsftpd可以同时支持两种模式,客户端根据自身情况选择，配置中保持pasv_enable=YES，并设置connect_from_port_20=YES，即可同时启用，但需要注意，主动模式对客户端网络要求高，实际部署中多数客户端会首选被动模式。
验证配置
连接FTP服务器后,使用quote pasv命令或查看客户端日志，确认当前使用的模式，FileZilla客户端会显示“以被动模式/主动模式连接”字样，如果连接失败，检查防火墙日志和vsftpd连接日志（/var/log/vsftpd.log）。
FTP服务器主备常见问题解答
为什么我的FTP客户端在主动模式下无法连接？
主动模式失败的主要原因是客户端防火墙或NAT阻断了服务器发起的入站连接,客户端需要开放高位端口，或者配置路由器允许服务端发起的连接。解决方案是切换到被动模式，或修改客户端防火墙规则允许来自服务器20端口的入站流量。
被动模式配置了端口范围，客户端仍然无法连接？
这种情况通常是因为PASV地址设置错误,如果服务器在内网，使用公网IP访问，必须设置pasv_address为公网IP，否则客户端得到内网地址，连接失败，检查防火墙是否开放了对应的端口范围，以及服务器是否监听在这些端口上（netstat -tuln | grep 30000）。
主动模式和被动模式可以同时使用吗？
可以,vsftpd等服务器支持同时启用两种模式，客户端会根据自身网络环境自动选择，但要注意，同时启用时，服务器需同时满足两种模式的网络要求：20端口可出站，且被动端口范围可入站，对于大多数服务器，推荐只启用被动模式，运维更简单，兼容性更好。
首发原创文章，作者：王坚，如若转载，请注明出处：https://test.idctop.com/article/579695.html
