传输类端口汇总
从防火墙放行清单的角度看，文件传输协议的端口分布并不规则。FTP 是一对端口：控制连接固定，数据连接在主动与被动模式下方向完全不同，被动模式还是服务端可配置的一段范围。SSH 家族（SCP、SFTP、基于 SSH 的同步）只有一个端口。TFTP 名义上在固定端口起步，但数据块会换到临时端口，写规则时需要留意。
端口与用途
| 端口 | 协议与用途 | 传输层 |
|---|---|---|
| 20 | FTP 主动模式数据连接，由服务端发起 | TCP |
| 21 | FTP 控制连接，含显式加密升级 | TCP |
| 989 与 990 | 隐式加密的 FTP 数据与控制 | TCP |
| 22 | SCP、SFTP 与基于 SSH 的同步 | TCP |
| 69 | TFTP 起始端口，数据随后换端口 | UDP |
| 被动数据范围 | 服务端可配置的一段端口 | TCP |
快速核对开放端口
快速核对开放端口
nmap -Pn -p 21,22,69,989,990 ftp.example.com
# 被动范围按服务端实际配置单独探测
nmap -Pn -p 50000-50100 ftp.example.com
nc -zv ftp.example.com 21 # 控制端口连通性快速确认典型使用场景
- 防火墙工单编写：按协议把控制与数据端口、方向一次写清
- 上线前连通性核对：确认客户端与目标之间各类传输方式都可用
- 迁移方案评估：把明文协议换成加密通道时同步梳理端口变化
- 排障：区分「控制连接通但数据连接不通」这一类典型故障
- 资产梳理：从开放端口反推当前启用了哪些传输服务
写防火墙工单时要把被动端口范围写成服务端实际配置的值，而不是照抄手册默认值；主动模式还需放行服务端到客户端高端口的出向连接。两者方向不同，只放行入向规则是最常见的疏漏。另外被动模式是在一段范围内随机挑选端口，范围越宽放行规则越松，安全与可用之间需要按实际并发量权衡。