21端口是端口FTP（File Transfer Protocol，文件传输协议）的什服控制端口。别急着关页面，端口我知道这个定义听起来像从教科书上撕下来的什服，但咱们今天聊点实际的端口。

你往服务器传文件，什服或者从网上下载东西时，端口只要用的什服是FTP，就绕不开这个端口。端口控制端口和数据端口是什服两回事——21端口只管“发号施令”，比如你输入用户名、端口密码、什服切换目录，端口这些指令都走21；真正传文件内容的什服是20端口。这有点像餐厅的端口前台和后厨：21是前台，负责点菜；20是后厨，负责上菜。你要是只堵住21，前台没了，后厨再忙也白搭。

我见过不少刚入行的运维，排查FTP连不上时，第一反应就是盯21端口。通了，可文件还是传不了。折腾半天才发现，防火墙把20端口给拦了。这种情况在主动模式下尤其常见——服务器主动去连客户端的随机端口，很多家用路由器或云安全组默认就禁止这种“反向”连接。所以后来才有了被动模式，服务器只监听一个固定范围的高端口，客户端主动来连。但被动模式下，21端口依然要负责协商这些高端口的范围。

安全方面，21端口是个老靶子。FTP默认不加密，用户名和密码都是明文传输，抓包就能看到。你想想，在咖啡厅连个公共WiFi，用FTP传文件，等于把账号密码写在明信片上寄出去。现在很多FTP服务都改成FTPS（FTP over SSL）或SFTP（SSH File Transfer Protocol），前者还是用21端口，但加了层加密；后者干脆走22端口，和SSH共用。可即便这样，还是有人图省事，开个老式FTP，密码设成“123456”。我前阵子帮朋友查一台被黑的服务器，日志里全是自动化脚本在尝试破解21端口的登录，一天几万次尝试。你说这端口招谁惹谁了？

还有个容易忽略的细节：21端口经常被用来做端口扫描的跳板。因为很多防火墙会放行FTP流量，攻击者就利用FTP的Bounce攻击（反弹攻击），通过你的FTP服务器去扫描内网其他机器。老版本的FTP服务器软件对此几乎没有防护，现在大部分都修复了，但如果你还在跑十年前的系统，那21端口对你来说就是个定时炸弹。

你要是自己搭过FTP，肯定遇到过“连接成功，但列不出目录”的怪毛病。问题多半出在21端口协商的数据连接上——客户端说“我用被动模式”，服务器回“好的，数据端口是50000”，可防火墙只开了21。这时候你抓包看，会发现FTP控制通道一切正常，但数据通道的SYN包石沉大海。解决起来也简单，要么把被动模式的端口范围也加到防火墙白名单里，要么干脆用SFTP替代。

说到底，21端口就是个尽职尽责的调度员，但它管不了数据怎么走。理解这层关系，你排查问题时就能少走弯路。下次再遇到FTP连不上，先别急着重启服务——用netstat看一眼21端口是不是在监听，再用telnet测一下通不通，最后确认数据端口是否开放。三步下来，八成问题都能定位。

这端口虽然老，但短时间不会消失。毕竟很多遗留系统还在用它，银行、政府机构里头的旧文件交换流程，改起来成本太高。你只需要记住：21端口是命令通道，不是数据通道。这句话值你少踩三个坑。