2121 是什么
FTP 的标准控制端口是 21，而 2121 被虚拟主机面板（宝塔、cPanel、Plesk 等）与共享主机普遍用作 FTP 的备用控制端口：当 21 已被系统占用、被安全策略限制，或需要在同一台机器上再起一个 FTP 实例时，就用 2121 对外服务。它是行业约定而非 IANA 或 RFC 的标准分配。FTP 本身是明文协议，口令与文件内容在网络上裸奔，能换 SFTP/FTPS 就不该继续用。
基本信息
| 服务 | FTP 控制通道（2121 为约定俗成的备用端口） |
|---|---|
| 协议 | TCP 控制连接，数据连接另配被动端口段 |
| 标准归属 | 非 IANA 标准分配，属面板与主机商惯例 |
| 对比 | 21 为默认控制口，2121 为备用控制口 |
| 典型场景 | 虚拟主机、面板建站的文件传输 |
| 权限要求 | FTP 业务用户；改端口需 root 或面板管理员 |
| 安全等级 | 建议用 FTPS 或 SFTP 替代 |
典型使用场景
- 面板环境下 21 已被占用，另起 FTP 服务改用 2121
- 同一台服务器上隔离两套 FTP 实例，服务不同站点或用户体系
- 网络出口只允许高位端口、21 被策略封锁时的替代方案
- 老式虚拟主机分配给用户的登录端口本身就是 2121
- 内网临时文件交换服务，用完即停
客户端验证与服务端改口
客户端验证与服务端改口
curl -v --user alice:secret ftp://ftp.example.com:2121/ # 命令行验证登录与列目录
lftp -u alice,secret -p 2121 ftp.example.com # 交互式客户端指定端口
sudo ss -lntp | grep -E ':(21|2121) ' # 确认监听端口与进程归属
sudo firewall-cmd --permanent --add-port=2121/tcp # 放行控制连接
sudo firewall-cmd --permanent --add-port=30000-30100/tcp # 被动数据段一并放行
sudo firewall-cmd --reload # 生效并复核
# vsftpd 侧示例：listen_port=2121，pasv_min_port/pasv_max_port 与上面放行段一致连接模式与端口关系
| 模式 | 控制连接 | 数据连接 | 防火墙要点 |
|---|---|---|---|
| 主动 PORT | 客户端到服务端 2121 | 服务端回连客户端高位口 | 客户端侧需放行入站 |
| 被动 PASV | 客户端到服务端 2121 | 客户端连服务端指定端口段 | 服务端须放行 pasv 段 |
| 显式 FTPS | 客户端到 2121 后 AUTH TLS 加密 | 同被动规则 | 证书与端口都要配好 |
2121 不是标准端口，各类客户端默认仍连 21，用非标端口必须显式指定：curl 写在 URL 里，lftp 用 -p，FileZilla 在站点管理器填端口。排障第一步是确认客户端实际连的是哪个端口。
FTP 的账号口令与文件内容都是明文传输，换成 2121 只是换了个门牌号。面板与主机场景建议直接切 FTPS（显式 AUTH TLS）或 SFTP，并把 2121 限制在管理网段。