内容摘要：昨天帮朋友排查服务器，发现他开了个FTP服务，21端口就这么裸奔在公网上。扫描器扫到这种端口，第一反应就是试试弱口令，或者干脆发起匿名登录。他那台机器上还跑着数据库，吓得我赶紧把端口关了。 关闭21端

昨天帮朋友排查服务器，端口关闭发现他开了个FTP服务，端口关闭21端口就这么裸奔在公网上。端口关闭扫描器扫到这种端口，端口关闭第一反应就是端口关闭试试弱口令，或者干脆发起匿名登录。端口关闭他那台机器上还跑着数据库，端口关闭吓得我赶紧把端口关了。端口关闭

关闭21端口，端口关闭其实就一句话的端口关闭事：把FTP服务停掉。但问题在于，端口关闭很多人压根不知道自己机器上开着这玩意儿。端口关闭Windows系统默认不装FTP，端口关闭但装了IIS或者第三方FTP软件（比如FileZilla Server）的端口关闭，端口就自动监听了。端口关闭Linux更常见，vsftpd、proftpd这些包一装，服务一启动，21端口就敞开了。

最直接的办法，停服务。Windows下打开“服务”管理器，找到“Microsoft FTP Service”或者你装的FTP服务，右键停止，然后设为禁用。Linux下用systemctl stop vsftpd然后systemctl disable vsftpd，搞定。这比任何防火墙规则都彻底——服务都没了，端口自然就不监听了。

如果你不想停服务，只想对外关闭，那就上防火墙。Windows防火墙里新建入站规则，阻止TCP 21端口。Linux用iptables或firewalld，一条命令的事：firewall-cmd --permanent --remove-port=21/tcp然后reload。但说实话，这种半吊子做法我不推荐——防火墙规则出错的时候，你以为关了，其实还开着，安全隐患更大。

还有个坑你得注意。有时候你以为关了21端口，但FTP服务可能还开着被动模式的高位端口（比如30000-40000）。这些端口也得一起封掉，否则攻击者照样能连上数据通道。我见过有人只关了21，结果被动端口全暴露，数据被拖了个干净。

检查端口是否真的关了，别用telnet，那玩意儿容易误判。用netstat -tlnp | grep :21或者ss -tlnp | grep :21看监听状态。如果没输出，说明真的关了。Windows下用netstat -ano | findstr ":21"，看到没进程监听就对了。

最后说个实在话——如果你根本不用FTP，直接卸载或者禁用服务，比关端口强一百倍。留着一个不用的服务在系统里，就像家里留着一扇不用的门，你锁上了，但锁能保证永远不被撬开吗？