网络技术12-FTP协议详解——传统文件传输的“老派方案“

发布时间：2026-05-20 | 阅读时间：约15分钟 | 标签：FTP协议、文件传输、网络协议

“在HTTP一统天下的今天，FTP这个1971年出生的’老古董’依然活跃在服务器管理、文件同步、网站部署的第一线。它就像一位经验丰富的老邮差——虽然装备不够时髦，但送文件这件事，它真的专业。”

一、FTP是什么？——两个电话线的故事

FTP（File Transfer Protocol，文件传输协议）诞生于1971年，比TCP/IP协议族还要早。在那个网络还是奢侈品、HTTP还没出生的年代，FTP就是互联网文件传输的"标准答案"。

但FTP有一个让初学者抓狂的特性：它用两条TCP连接来完成一次文件传输。这就像你要收快递，结果快递员给你打了两个电话：

🎯 核心比喻：FTP就像两个人打电话商量事情——控制连接是"打电话商量"（“我要发文件了”、“发完了”、“还有什么事”），数据连接是"实际送货"（真正的文件内容走这条线）。

1.1 双连接模型详解

┌─────────────────────────────────────────────────────────────┐ │ FTP 双连接模型示意图 │ ├─────────────────────────────────────────────────────────────┤ │ │ │ 客户端 服务器 │ │ ┌─────────┐ ┌─────────┐ │ │ │ 控制连接 │◄──────────────►│ 端口21 │ ← 命令通道 │ │ │ (随机端口)│ TCP连接 │ │ 始终开启 │ │ └─────────┘ └─────────┘ │ │ │ │ │ │ │ "我要下载文件" │ │ │ │ "用户名密码是啥" │ │ │ │ "下载完成" │ │ │ ▼ ▼ │ │ ┌─────────┐ ┌─────────┐ │ │ │ 数据连接 │◄──────────────►│ 端口20或 │ ← 传输通道 │ │ │ (随机端口)│ TCP连接 │ 随机端口 │ 用完即关 │ │ └─────────┘ └─────────┘ │ │ ▲ ▲ │ │ │ 实际的文件内容 │ │ │ │ 010101010101... │ │ │ │ └─────────────────────────────────────────────────────────────┘

控制连接（Control Connection）：

• 端口：服务器端固定使用21端口
• 客户端：使用随机高位端口（通常是1024-65535之间）
• 生命周期：从登录到注销，始终保持连接
• 传输内容：FTP命令和响应（纯文本，类似HTTP请求头）

数据连接（Data Connection）：

• 端口：服务器端可能是20端口（主动模式）或随机端口（被动模式）
• 客户端：使用随机高位端口
• 生命周期：每次传输就建立，传完就断开
• 传输内容：实际的文件数据、目录列表等

💡 为什么用两条连接？

这是FTP的设计哲学：把"控制"和"数据"分离。好处是控制命令不会被大数据流阻塞，服务器可以随时中断传输、查询状态。坏处嘛…就是NAT和防火墙看到FTP都头疼。

二、主动模式（PORT）——卖家送货上门

主动模式是FTP的"原始形态"。想象一下网购：你告诉卖家你的地址，卖家主动把货送到你家门口。这就是PORT模式的工作逻辑。

2.1 主动模式工作流程

┌─────────────────────────────────────────────────────────────┐ │ FTP 主动模式 (PORT) 流程图 │ ├─────────────────────────────────────────────────────────────┤ │ │ │ Step 1: 建立控制连接 │ │ ─────────────────── │ │ 客户端:50001 ─────────────► 服务器:21 │ │ "Hi，我要连接" │ │ │ │ Step 2: 客户端告诉服务器自己的数据端口 │ │ ──────────────────────────────── │ │ 客户端 ───────────────────► 服务器:21 │ │ "PORT 192,168,1,100,195,80" ← 50000 = 195*256 + 80 │ │ │ │ Step 3: 服务器主动连接客户端的数据端口 │ │ ──────────────────────────────── │ │ 服务器:20 ────────────────► 客户端:50000 ◄── 服务器主动！ │ │ "我来送货了！" │ │ │ │ Step 4: 传输数据 │ │ ─────────────────── │ │ 服务器:20 ◄══════════════► 客户端:50000 │ │ [文件内容传输中...] │ │ │ └─────────────────────────────────────────────────────────────┘

2.2 PORT命令详解

PORT命令的格式看起来有点奇怪：

# 客户端发送给服务器的PORT命令示例 PORT 192,168,1,100,195,80 # 含义解析： # 192,168,1,100 → IP地址：192.168.1.100 # 195,80 → 端口计算：195 * 256 + 80 = 50000 # 所以客户端说："请连接 192.168.1.100:50000"

FTP使用这种逗号分隔的格式是因为协议设计得太早，那时候还没JSON这种东西呢！

2.3 主动模式的优缺点

⚠️ 主动模式的致命伤：在NAT环境下，客户端告诉服务器的IP是内网IP（如192.168.x.x），服务器根本连不上。就算客户端有公网IP，客户端的防火墙看到外部服务器主动连进来，通常也会直接拒绝。

三、被动模式（PASV）——买家去指定地点取货

既然主动模式在NAT和防火墙面前处处碰壁，PASV（Passive Mode，被动模式）应运而生。这次换种思路：你告诉卖家"我到你店里取货"，然后你主动去找卖家。

3.1 被动模式工作流程

┌─────────────────────────────────────────────────────────────┐ │ FTP 被动模式 (PASV) 流程图 │ ├─────────────────────────────────────────────────────────────┤ │ │ │ Step 1: 建立控制连接 │ │ ─────────────────── │ │ 客户端:50001 ─────────────► 服务器:21 │ │ "Hi，我要连接，用被动模式" │ │ │ │ Step 2: 服务器告诉客户端数据端口 │ │ ──────────────────────────────── │ │ 客户端:50001 ─────────────► 服务器:21 │ │ "PASV" │ │ │ │ 服务器 ◄──────────────────── 客户端:50001 │ │ "227 Entering Passive Mode (203,0,113,10,195,80)" │ │ ← 请连接 203.0.113.10:50000 │ │ │ │ Step 3: 客户端主动连接服务器的数据端口 │ │ ──────────────────────────────── │ │ 客户端:50002 ─────────────► 服务器:50000 ◄── 客户端主动！ │ │ "我来取货了！" │ │ │ │ Step 4: 传输数据 │ │ ─────────────────── │ │ 客户端:50002 ◄════════════► 服务器:50000 │ │ [文件内容传输中...] │ │ │ └─────────────────────────────────────────────────────────────┘

3.2 PASV命令与227响应

# 客户端发送PASV命令 PASV # 服务器响应（227状态码表示进入被动模式） 227 Entering Passive Mode (203,0,113,10,195,80) # 含义解析： # 203,0,113,10 → 服务器IP：203.0.113.10 # 195,80 → 端口计算：195 * 256 + 80 = 50000 # 所以服务器说："请连接 203.0.113.10:50000 来取数据"

3.3 被动模式的优缺点

💡 为什么PASV能解决NAT问题？

因为数据连接是由客户端发起的（出站方向），而NAT设备对出站连接非常友好——它会自动记录映射关系，让返回的数据包能找到内网的客户端。

四、两种模式的防火墙配置对比

配置FTP服务器的防火墙，就像给两条高速公路设置收费站——你得知道车从哪来、到哪去。

4.1 主动模式防火墙规则

# ========== 服务器端防火墙（iptables示例）========== # 允许入站连接：21端口（控制连接） iptables -A INPUT -p tcp --dport 21 -j ACCEPT # 允许出站连接：20端口（数据连接源端口） iptables -A OUTPUT -p tcp --sport 20 -j ACCEPT # 允许已建立连接的数据传输 iptables -A INPUT -p tcp --sport 20 -m state --state ESTABLISHED -j ACCEPT # ⚠️ 注意：服务器需要能主动连接客户端的任意高位端口！ # 这在有严格出站规则的环境中是个大麻烦

4.2 被动模式防火墙规则

# ========== 服务器端防火墙（iptables示例）========== # 允许入站连接：21端口（控制连接） iptables -A INPUT -p tcp --dport 21 -j ACCEPT # 允许入站连接：被动模式端口范围（需要预先配置） # 假设FTP服务器配置被动端口范围为 50000-50100 iptables -A INPUT -p tcp --dport 50000:50100 -j ACCEPT # 允许已建立连接的响应 iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # ========== vsftpd配置文件中设置被动端口范围 ========== # /etc/vsftpd.conf pasv_min_port=50000 pasv_max_port=50100 pasv_address=203.0.113.10 # 服务器的公网IP

4.3 防火墙配置对比表

五、NAT环境下的FTP穿透——一场猫鼠游戏

NAT（网络地址转换）是FTP的"天敌"。当FTP遇到NAT，就像两个说不同语言的人试图沟通——需要翻译。

5.1 为什么NAT会让FTP崩溃？

问题在于：FTP在控制连接中传输的是明文IP地址和端口。当NAT设备修改了IP包头部的地址信息时，它并不知道要同时修改FTP协议数据里面的地址！

┌─────────────────────────────────────────────────────────────┐ │ NAT环境下FTP的问题示意 │ ├─────────────────────────────────────────────────────────────┤ │ │ │ 主动模式在NAT下的悲剧： │ │ │ │ 内网客户端(192.168.1.100) │ │ │ │ │ │ PORT 192,168,1,100,195,80 ← 告诉服务器连内网IP！ │ │ ▼ │ │ NAT路由器(203.0.113.5) ← 公网IP │ │ │ │ │ │ [NAT只改IP包头，不改FTP数据里的地址] │ │ ▼ │ │ FTP服务器(203.0.113.10) │ │ │ │ │ │ "我要连 192.168.1.100:50000" │ │ ▼ │ │ ╳ 连接失败！192.168.1.100是内网地址，服务器连不上！ │ │ │ ├─────────────────────────────────────────────────────────────┤ │ │ │ 被动模式在NAT下的相对幸运： │ │ │ │ 内网客户端 ──► NAT ──► 服务器 │ │ │ │ │ │ │ PASV │ 227 (服务器公网IP,端口) │ │ │◄────────────────────┘ │ │ │ │ │ │ 客户端主动连接服务器公网IP ✓ │ │ ▼ │ │ 连接成功！NAT自动处理出站连接 │ │ │ └─────────────────────────────────────────────────────────────┘

5.2 FTP ALG——NAT的救星

ALG（Application Layer Gateway，应用层网关）是一种特殊的NAT处理机制。它能"读懂"FTP协议，自动修改FTP数据中的IP地址和端口信息。

# 在Linux上启用FTP ALG（通过nf_conntrack_ftp模块） modprobe nf_conntrack_ftp modprobe nf_nat_ftp # 查看是否加载成功 lsmod | grep ftp # 输出示例： # nf_nat_ftp 16384 0 # nf_conntrack_ftp 20480 1 nf_nat_ftp # nf_nat 45056 2 nf_nat_ftp,nf_nat_ipv4

5.3 企业级解决方案

对于复杂的企业网络环境，有几种更可靠的解决方案：

1. FTP代理服务器：在DMZ区部署专门的FTP代理，统一处理内外网的FTP连接
2. SFTP/FTPS：放弃传统FTP，改用基于SSH的SFTP或基于SSL的FTPS（它们只用单个连接）
3. VPN隧道：让客户端通过VPN接入内网，消除NAT问题

💡 现代建议：如果你的环境有NAT，直接放弃主动模式，使用被动模式+ALG模块。如果还不行，考虑迁移到SFTP——它只用22端口一个连接，NAT友好得多。

六、FTP传输类型——ASCII vs 二进制

FTP不是简单的"原样传输"，它提供了两种传输模式，这源于那个Windows和Unix还在打架的年代。

6.1 ASCII模式（文本模式）

ASCII模式会执行换行符转换：

# 不同系统的换行符表示 Unix/Linux: LF (\n, 0x0A) Windows: CRLF (\r\n, 0x0D 0x0A) Mac (旧): CR (\r, 0x0D) # ASCII模式会自动转换： # 从Unix下载到Windows：LF → CRLF # 从Windows上传到Unix：CRLF → LF

适用场景：纯文本文件（.txt, .html, .css, .js, .py等）

⚠️ 千万不要用ASCII模式传二进制文件！

如果你用ASCII模式传输图片、ZIP压缩包、可执行文件，FTP会"好心"地把文件中的0x0A字节转换成0x0D 0x0A，结果文件就毁了。这是新手最常犯的FTP错误之一。

6.2 二进制模式（Image模式）

二进制模式是逐字节原样传输，不做任何转换。

适用场景：所有非文本文件（图片、视频、压缩包、可执行文件、PDF等）

6.3 如何切换传输模式

# 在FTP命令行中切换模式 ftp> ascii # 切换到ASCII模式 200 Type set to A ftp> binary # 切换到二进制模式（简写：bin） 200 Type set to I ftp> type # 查看当前模式 Using binary mode to transfer files.

6.4 现代FTP客户端的自动识别

大多数现代FTP客户端（如FileZilla、WinSCP）会根据文件扩展名自动选择传输模式：

# FileZilla的默认ASCII文件扩展名列表 .txt, .htm, .html, .php, .css, .js, .json, .xml .ini, .conf, .sh, .bat, .cmd, .py, .pl, .cgi

但自动识别不是100%可靠，关键文件建议手动确认传输模式。

七、FTP命令详解——和服务器"对话"的语法

FTP协议定义了一套完整的命令集。即使你用图形化客户端，了解这些命令也能帮你排查问题。

7.1 连接与认证命令

7.2 目录操作命令

7.3 文件传输命令

7.4 传输模式命令

7.5 实战：完整的FTP会话示例

# 使用telnet模拟FTP控制连接（端口21） $ telnet ftp.example.com 21 Trying 203.0.113.10... Connected to ftp.example.com. 220 Welcome to Example FTP Server # 认证 USER alice 331 Please specify the password. PASS secret123 230 Login successful. # 查看当前目录 PWD 257 "/home/alice" is the current directory # 切换到被动模式并列出文件 PASV 227 Entering Passive Mode (203,0,113,10,195,80) # 计算端口：195*256+80=50000，现在连接203.0.113.10:50000 LIST 150 Here comes the directory listing. # [在另一个连接上接收目录数据] 226 Directory send OK. # 下载文件 TYPE I 200 Switching to Binary mode. PASV 227 Entering Passive Mode (203,0,113,10,195,81) RETR document.pdf 150 Opening BINARY mode data connection for document.pdf (1024000 bytes). # [在数据连接上接收文件内容] 226 Transfer complete. # 退出 QUIT 221 Goodbye.

八、用Python实现一个简单的FTP客户端

理论讲完了，来点实战代码。Python的ftplib模块提供了完整的FTP客户端功能。

from ftplib import FTP import os class SimpleFTPClient: def __init__(self, host, username, password, port=21): self.ftp = FTP() self.host = host self.port = port self.username = username self.password = password def connect(self): """建立连接并登录""" print(f"Connecting to {self.host}:{self.port}...") self.ftp.connect(self.host, self.port) self.ftp.login(self.username, self.password) print(f"Server response: {self.ftp.getwelcome()}") # 设置为被动模式（推荐） self.ftp.set_pasv(True) print("Passive mode enabled") def list_files(self, path='.'): """列出目录内容""" print(f"\nListing directory: {path}") print("-" * 50) files = [] self.ftp.dir(path, files.append) for f in files: print(f) return files def download(self, remote_file, local_file=None): """下载文件（二进制模式）""" if local_file is None: local_file = os.path.basename(remote_file) print(f"\nDownloading: {remote_file} -> {local_file}") with open(local_file, 'wb') as f: self.ftp.retrbinary(f'RETR {remote_file}', f.write) print(f"Download complete: {local_file}") def upload(self, local_file, remote_file=None): """上传文件（二进制模式）""" if remote_file is None: remote_file = os.path.basename(local_file) print(f"\nUploading: {local_file} -> {remote_file}") with open(local_file, 'rb') as f: self.ftp.storbinary(f'STOR {remote_file}', f) print(f"Upload complete: {remote_file}") def disconnect(self): """断开连接""" self.ftp.quit() print("\nDisconnected from server") # ========== 使用示例 ========== if __name__ == "__main__": # 配置FTP服务器信息 FTP_HOST = "ftp.example.com" FTP_USER = "your_username" FTP_PASS = "your_password" client = SimpleFTPClient(FTP_HOST, FTP_USER, FTP_PASS) try: client.connect() client.list_files() # client.download("remote_file.txt") # client.upload("local_file.txt") except Exception as e: print(f"Error: {e}") finally: client.disconnect()

8.1 断点续传实现

def download_with_resume(self, remote_file, local_file): """支持断点续传的下载""" # 获取远程文件大小 remote_size = self.ftp.size(remote_file) # 检查本地文件已下载的大小 local_size = 0 if os.path.exists(local_file): local_size = os.path.getsize(local_file) if local_size >= remote_size: print("File already downloaded") return print(f"Resuming download from byte {local_size}/{remote_size}") # 设置续传起点 self.ftp.sendcmd(f"REST {local_size}") # 以追加模式打开本地文件 with open(local_file, 'ab') as f: self.ftp.retrbinary(f'RETR {remote_file}', f.write) print("Download complete")

九、总结——FTP的现在与未来

核心要点回顾：

• FTP使用双连接：控制连接（端口21）+ 数据连接
• 主动模式：服务器主动连客户端，NAT环境下基本不可用
• 被动模式：客户端主动连服务器，现代环境的默认选择
• 传输模式：ASCII用于文本（会转换换行符），二进制用于所有其他文件
• NAT环境下需要ALG模块或改用SFTP/FTPS

FTP虽然古老，但它并没有消失。在以下场景，FTP依然是最佳选择：

• 共享主机/虚拟主机的文件管理（cPanel等控制面板底层就是FTP）
• 批量文件同步（lftp、ncftp等工具依然高效）
• 与老旧系统的集成（很多工业设备只支持FTP）
• 匿名文件分发（公共软件镜像站）

当然，如果你从零开始设计系统，优先考虑SFTP（SSH File Transfer Protocol）或基于HTTPS的传输——它们更安全，对NAT更友好，而且只需要一个端口。

但了解FTP的工作原理依然有价值。当你遇到"能连上但传不了文件"、"目录列表出不来"这类诡异问题时，理解PORT和PASV的区别，可能就是解决问题的关键。

📦 源码获取

本文所有代码示例已整理到GitHub仓库，包含：

• 完整Python FTP客户端实现（支持断点续传、进度显示）
• iptables防火墙配置脚本
• vsftpd服务器配置模板

GitHub地址：https://github.com/yourname/ftp-protocol-demos

如果对你有帮助，欢迎点个⭐Star支持一下！

🤔 思考题

1. 为什么FTP的被动模式能解决NAT问题，而主动模式不行？试着画出数据包的流向图。
2. 如果你在企业内网部署FTP服务器，外网用户需要访问，你会选择哪种模式？需要做哪些防火墙配置？
3. 假设你用ASCII模式传输了一个PNG图片，文件会发生什么变化？为什么？
4. FTP的断点续传是如何实现的？REST命令的作用是什么？

欢迎在评论区分享你的答案和见解！

📚 系列文章预告

网络协议系列持续更新中，下一篇预告：

• 《SSH协议深度解析——安全远程登录的瑞士军刀》——从握手到隧道，彻底搞懂SSH的工作原理
• 《DNS协议实战——从递归查询到DNSSEC》——为什么刷新DNS缓存能解决90%的网络问题
• 《HTTP/3与QUIC——下一代Web传输协议》——基于UDP的HTTP，到底解决了什么问题

点击关注，第一时间获取更新通知！

本文首发于CSDN，转载请注明出处

标签：FTP协议文件传输网络协议防火墙配置服务器配置