先轉幾個收集的文章:
FTP主動模式和被動模式的比較
FTP是僅基於TCP的服務，不支持UDP。與眾不同的是FTP使用2個端口，一個數據端口和一個命令端口（也可叫做控制端口）。通常來說這兩個端口是21（命令端口）和20（數據端口）。但FTP工作方式的不同，數據端口並不總是20。這就是主動與被動FTP的最大不同之處。
（一）主動FTP
主動方式的FTP是這樣的：客戶端從一個任意的非特權端口N（N>1024）連接到FTP服務器的命令端口，也就是21端口。然后客戶端開始監聽端口N+1，並發送FTP命令“port N+1”到FTP服務器。接着服務器會從它自己的數據端口（20）連接到客戶端指定的數據端口（N+1）。
針對FTP服務器前面的防火牆來說，必須允許以下通訊才能支持主動方式FTP：
1. 任何大於1024的端口到FTP服務器的21端口。（客戶端初始化的連接）
2. FTP服務器的21端口到大於1024的端口。 （服務器響應客戶端的控制端口）
3. FTP服務器的20端口到大於1024的端口。（服務器端初始化數據連接到客戶端的數據端口）
4. 大於1024端口到FTP服務器的20端口（客戶端發送ACK響應到服務器的數據端口）
（二）被動FTP
為了解決服務器發起到客戶的連接的問題，人們開發了一種不同的FTP連接方式。這就是所謂的被動方式，或者叫做PASV，當客戶端通知服務器它處於被動模式時才啟用。
在被動方式FTP中，命令連接和數據連接都由客戶端發起，這樣就可以解決從服務器到客戶端的數據端口的入方向連接被防火牆過濾掉的問題。
當開啟一個 FTP連接時，客戶端打開兩個任意的非特權本地端口（N > 1024和N+1）。第一個端口連接服務器的21端口，但與主動方式的FTP不同，客戶端不會提交PORT命令並允許服務器來回連它的數據端口，而是提交 PASV命令。這樣做的結果是服務器會開啟一個任意的非特權端口（P > 1024），並發送PORT P命令給客戶端。然后客戶端發起從本地端口N+1到服務器的端口P的連接用來傳送數據。
對於服務器端的防火牆來說，必須允許下面的通訊才能支持被動方式的FTP:
1. 從任何大於1024的端口到服務器的21端口（客戶端初始化的連接）
2. 服務器的21端口到任何大於1024的端口（服務器響應到客戶端的控制端口的連接）
3. 從任何大於1024端口到服務器的大於1024端口（客戶端初始化數據連接到服務器指定的任意端口）
4. 服務器的大於1024端口到遠程的大於1024的端口（服務器發送ACK響應和數據到客戶端的數據端口）
以上關於主動和被動FTP的解釋，可以簡單概括為以下兩點：
1、主動FTP：
命令連接：客戶端 >1024端口 -> 服務器 21端口
數據連接：客戶端 >1024端口 <- 服務器 20端口
2、被動FTP：
命令連接：客戶端 >1024端口 -> 服務器 21端口
數據連接：客戶端 >1024端口 -> 服務器 >1024端口
（三）主動與被動FTP優缺點：
主動FTP對FTP服務器的管理有利，但對客戶端的管理不利。因為FTP服務器企圖與客戶端的高位隨機端口建立連接，而這個端口很有可能被客戶端的防火牆阻塞掉。被動FTP對FTP客戶端的管理有利，但對服務器端的管理不利。因為客戶端要與服務器端建立兩個連接，其中一個連到一個高位隨機端口，而這個端口很有可能被服務器端的防火牆阻塞掉。
http://jackiechen.blog.51cto.com/196075/193883
serv-u更改端口需在防火牆開放端口及說明
serv-u 默認配置完成后，其PASV(被動)模式啟動的時候，會使用3000-3010端口號
windows的防火牆，開啟情況下，只打開了21端口。所以ftp軟件在登錄服務器的時候，會使用3000-3010端口被防火牆終斷
終端顯示 無法建立 socket 鏈接 ，無法list目錄
解決辦法：增加防火牆端口通行 3000-3010
FTP基礎知識
FTP是File Transfer Protocol(文件傳輸協議)的縮寫，用來在兩台計算機之間互相傳送文件。相比於HTTP，FTP協議要復雜得多。復雜的原因，是因為FTP協議要用到兩個TCP連接，一個是命令鏈路，用來在ftp客戶端與服務器之間傳遞命令;另一個是數據鏈路，用來上傳或下載數據。
FTP協議有兩種工作方式：PORT方式和PASV方式，中文意思為主動式和被動式。
Port模式：
ftp server:tcp 21 <------client:dynamic
ftp server:tcp 20 ------>client:dynamic
Pasv模式：
ftp server:tcp 21 <----client:dynamic
ftp server:tcp dynamic <----client:dynamic
===============================
FTP socket錯誤分析及解決方法
簡朴說一下FTP的兩種模式：
1、port模式：這種模式的FTP網管人員比較輕松，但兼容性較差，比如假如客戶端在局域網內就會無法登錄ftp服務器。假如有人無法使用port模式登錄FTP的話，作為FTP治理員來說，你無論如何努力都是沒有用的。因為這時問題症結在對方客戶端的 防火牆或網關。所以對於一個FTP服務器來說，盡量要使用pasv模式。
2、pasv模式：這種模式的FTP兼容性好，但對FTP治理員來說有一定挑戰性，而且設置的情況比較復雜，以下舉例均以有防火牆的情況來說明：
(1)如果服務器在公網上：
這是最理想的情況。21端口當然要首先開放，然后再作如下設置：serv-u服務器——本地服務器——設置——高級，在"pasv端口端口范圍"中填入一段不與其它端口沖突的范圍，如3001-3020，然后在防火牆中開放3001-3020的端口。
(2)如果服務器在私網，這時又要分兩種情況：
情況一：網關的公網IP地址是固定的：
這種情況下，在serv-u服務器上除了按這段文字：
21端口當然要首先開放，然后再作如下設置：serv-u服務器——本地服務器——設置——高級，在"pasv端口端口范圍"中填入一段不與其它端口沖突的范圍，如3001-3020，然后在防火牆中開放3001-3020的端口。
作相同設置之外，還要加設如下設置：
serv-u服務器——本地服務器——域——你的域名——設置——高級，將"答應被動模式數據傳輸，使用IP"前的勾勾上，並在后面填上你的網關的公網IP地址。然后，再到網關上將21端口、3001-3020的端口范圍全部映射上serv-u服務器的內網IP地址上。
情況二：網關的IP地址是動態的：
這時必須使用花生殼之類的動態域名。假設你申請的花生殼是myftp.vicp.NET，並正常安裝了花生殼程序客戶端。這時除了按剛才引用過一次的文字中作設置以外，還要作如下設置：
serv-u服務器——本地服務器——域——你的域名，將"啟用動態 DNS"前的勾勾上，這時該頁會多出一個"動態DNS"的標簽，點擊進入該標簽，在IP名稱中填入"myftp.vicp.net"，按F5鍵刷新，這時你網關獲取的公網FTP地址會以灰字(表示不可改)出現在"IP地址"欄中。然后再檢查這里：
serv-u服務器——本地服務器——域——你的域名——設置——高級，仍舊將"答應被動模式數據傳輸，使用IP"前的勾勾上，但后面不要填任何IP，讓它空閑着。到這一步你在serv-u服務器上的設置全部完成，下面再去網關上將21端口、3001-3020端口全部映射到serv-u服務器的私網IP上。
這時，恭喜，你大功告成，你的FTP可以被地球上任何一個能上互聯網的人使用了。
Q&A
Q：我的情況與你所說不一樣呀，我不是21端口而是4500端口，怎么辦?
A：與上面所說一樣。只是將21替換成4500即可。
Q：我需要在諾頓防火牆中開放3001-3020端口嗎?
A：需要。我不知道諾頓是否支持FTP的自動識別。最好是手工指定開放這些端口以防萬一。
Q：我完全按你所說設置的，為什么還是有人能上有人不能上?
A：讓不能上的人使用pasv模式。
Q：為什么我自己不能登錄自己的FTP?
A：將出錯列表貼出來分析。
https://www.douban.com/note/361563433/
主動模式和被動模式的主要區別就是一個誰連誰的問題。
主動模式中，客戶端先告訴服務端的21端口“可以連接啦”，然后服務端的20端口“主動”去連接客戶端的端口。
被動模式中，客戶端告訴服務端的21端口“可以連接啦”，然后服務端的21端口回復客戶端說“我的XX端口可用，你連過來吧”，於是客戶端再連過去，這里，服務端就是“被動”地被連接了。需要注意的是，被動模式中，那個“XX端口”，不再是主動模式中的20端口，而是某個大於1024的端口號，並且一般不固定，是在一個區域范圍內，具體看相應的FTP軟件設定，好像一般也可配置。那么相應的，端口映射時需要將這段端口全部映射出去。
http://www.zhihu.com/question/19768434/answer/12901539
綜述:
如果是主動模式則需要同時打開20端口映射,且20端口不像21端口那樣可以修改,只能用20.
但是主動模式兼容性不好,一般推薦使用被動模式.
在serv-u服務器->本地服務器->設置->高級->pasv端口端口范圍填寫一段端口范圍,同時將這些端口映射好.
如有需要本地FTP軟件(例如FlashFXP)可以設置本地端口的打開范圍.