FTP服务2种工作方式详解，PORT方式和PASV方式，(即主动模式和被动模式)
[ 2010-10-27 22:08:52 | 作者: admin ]
p.s. 包括我自己，经常在 PORT方式和PASV方式 问题上稀里糊涂。根据下面的2个图示，可以清晰的看到：
2种模式都是从服务器角度出发的，主动就是服务器主动连接客户机，被动就是服务器做监听，等客户机来连接
PORT主动模式：命令发送后是由client建立N+1端口监听，然后让Server的N-1端口(默认为20)来连接这个端口，所以client需要开放1024以上端口。Flashfxp可以指定port端口范围，方便设置防火墙
PASV被动模式：命令发送后是由server建立1024以上端口监听（serv-u可以指定PASV监听端口范围），client用1024以上端口来连接。整个过程server没有用到20（N-1）端口
一、ftp的port和pasv模式的工作方式
FTP使用2个TCP端口，首先是建立一个命令端口（控制端口），然后再产生一个数据端口。国内很多教科书都讲ftp使用21命令端口和20数据端口，这个应该是教书更新太慢的原因吧。实际上FTP分为主动模式和被动模式两种，ftp工作在主动模式使用tcp 21和20两个端口，而工作在被动模式会工作在大于1024随机端口。FTP最权威的参考见RFC 959，有兴趣的朋友可以仔细阅读ftp://nic.merit.edu/documents/rfc/rfc0959.txt 的文档了解FTP详细工作模式和命令。目前主流的FTP Server服务器模式都是同时支持port和pasv两种方式，但是为了方便管理安全管理防火墙和设置ACL了解FTP Server的port和pasv模式是很有必要的。
1.1 ftp port模式（主动模式）
主动方式的FTP是这样的：客户端从一个任意的非特权端口N（N>1024）连接到FTP服务器的命令端口(即tcp 21端口)。紧接着客户端开始监听端口N+1，并发送FTP命令“port N+1”到FTP服务器。最后服务器会从它自己的数据端口（20）连接到客户端指定的数据端口（N+1），这样客户端就可以和ftp服务器建立数据传输通道了。ftp port模式工作流程如下图所示：
针对FTP服务器前面的防火墙来说，必须允许以下通讯才能支持主动方式FTP：
1、客户端口>1024端口到FTP服务器的21端口 （入：客户端初始化的连接 S<-C）
2、FTP服务器的21端口到客户端>1024的端口（出：服务器响应客户端的控制端口 S->C）
3、FTP服务器的20端口到客户端>1024的端口（出:服务器端初始化数据连接到客户端的数据端口 S->C）
4、客户端>1024端口到FTP服务器的20端口（入：客户端发送ACK响应到服务器的数据端口 S<-C）
如果服务器的ip为192.168.10.1在H3C 8500的GigabitEthernet 2/1/10 上创建in acl策略允许ftp 主动模式其他禁止：
rule permit tcp source 192.168.10.1 0 source-port eq 21 destination-port gt 1024
rule permit tcp source 192.168.10.1 0 source-port eq 20 destination-port gt 1024
rele deny ip
1.2 ftp pasv模式（被动模式）
在被动方式FTP中，命令连接和数据连接都由客户端。当开启一个FTP连接时，客户端打开两个任意的非特权本地端口（N > 1024和N+1）。第一个端口连接服务器的21端口，但与主动方式的FTP不同，客户端不会提交PORT命令并允许服务器来回连它的数据端口，而是提交PASV命令。这样做的结果是服务器会开启一个任意的非特权端口（P > 1024），并发送PORT P命令给客户端。然后客户端发起从本地端口N+1到服务器的端口P的连接用来传送数据。ftp pasv模式工作流程如下图所示：
对于服务器端的防火墙来说，必须允许下面的通讯才能支持被动方式的FTP:
1、客户端>1024端口到服务器的21端口 （入：客户端初始化的连接 S<-C）
2、服务器的21端口到客户端>1024的端口 （出：服务器响应到客户端的控制端口的连接 S->C）
3、客户端>1024端口到服务器的大于1024端口 （入：客户端初始化数据连接到服务器指定的任意端口 S<-C）
4、服务器的大于1024端口到远程的大于1024的端口（出：服务器发送ACK响应和数据到客户端的数据端口 S->C）
如果服务器的ip为192.168.10.1在H3C 8500的GigabitEthernet 2/1/10 上创建in acl策略允许ftp 主动模式其他禁止：
rule permit tcp source 192.168.10.1 0 source-port eq 21 destination-port gt 1024
rule permit tcp source 192.168.10.1 0 source-port gt 1024 destination-port gt 1024
rele deny ip
二、ftp的port和pasv模式的工作方式
ftp的port和pasv模式最主要区别就是数据端口连接方式不同，ftp port模式只要开启服务器的21和20端口，而ftp pasv需要开启服务器大于1024所有tcp端口和21端口。重网络安全的角度来看的话似乎ftp port模式更安全，而ftp pasv更不安全，那么为什么RFC要在ftp port基础再制定一个ftp pasv模式呢？其实RFC制定ftp pasv模式的主要目的是为了数据传输安全角度出发的，因为ftp port使用固定20端口进行传输数据，那么作为黑客很容使用sniffer等探嗅器抓取ftp数据，这样一来通过ftp port模式传输数据很容易被黑客窃取，因此使用pasv方式来架设ftp server是最安全绝佳方案。
如果作为一个有经验的网络管理员就会发现使用ftp pasv方式会给网络安全很大隐患，那就是ftp pasv需要开启服务器tcp大于1024所有端口，这样对服务器的安全保护是非常不利的。在此我建议两种方法来完善FTP Pasv模式的端口开放问题，第一种就是使用弱洞扫描工具比如Xscan找出服务器开放的端口然后使用acl把端口deny掉，另外一种方法就是使用具有状态检测防火墙开启ftp pasv的端口。
在ftp pasv模式下是使用状态检测防火墙比acl最大的好处就是使用状态检测防火墙只要开启ftp 21端口就可以了，状态检测防火墙会检测客户端口连接ftp server的21命令端口，一但检测客户端使用ftp 21命令端口然后就会允许这个Session使用ftp服务器大于1024端口，而其他方式是无法直接访问ftp服务器大于1024端口。通过状态检测防火墙就可以保证ftp 服务器大于1024端口只对FTP Session开放了。目前像IPTable、ISA Server 2000/2004/2006、以及主流硬件防火墙都可以支持状态检测。
===================================================================
参考
http://apps.hi.baidu.com/share/detail/251462
http://hi.baidu.com/xianyang1981/blog/item/f17d6f6d8650c0f842169427.html
评论Feed: http://blog.xg98.com/feed.asp?q=comment&id=1524
2种模式都是从服务器角度出发的，主动就是服务器主动连接客户机，被动就是服务器做监听，等客户机来连接
PORT主动模式：命令发送后是由client建立N+1端口监听，然后让Server的N-1端口(默认为20)来连接这个端口，所以client需要开放1024以上端口。Flashfxp可以指定port端口范围，方便设置防火墙
PASV被动模式：命令发送后是由server建立1024以上端口监听（serv-u可以指定PASV监听端口范围），client用1024以上端口来连接。整个过程server没有用到20（N-1）端口
一、ftp的port和pasv模式的工作方式
FTP使用2个TCP端口，首先是建立一个命令端口（控制端口），然后再产生一个数据端口。国内很多教科书都讲ftp使用21命令端口和20数据端口，这个应该是教书更新太慢的原因吧。实际上FTP分为主动模式和被动模式两种，ftp工作在主动模式使用tcp 21和20两个端口，而工作在被动模式会工作在大于1024随机端口。FTP最权威的参考见RFC 959，有兴趣的朋友可以仔细阅读ftp://nic.merit.edu/documents/rfc/rfc0959.txt 的文档了解FTP详细工作模式和命令。目前主流的FTP Server服务器模式都是同时支持port和pasv两种方式，但是为了方便管理安全管理防火墙和设置ACL了解FTP Server的port和pasv模式是很有必要的。
1.1 ftp port模式（主动模式）
主动方式的FTP是这样的：客户端从一个任意的非特权端口N（N>1024）连接到FTP服务器的命令端口(即tcp 21端口)。紧接着客户端开始监听端口N+1，并发送FTP命令“port N+1”到FTP服务器。最后服务器会从它自己的数据端口（20）连接到客户端指定的数据端口（N+1），这样客户端就可以和ftp服务器建立数据传输通道了。ftp port模式工作流程如下图所示：
针对FTP服务器前面的防火墙来说，必须允许以下通讯才能支持主动方式FTP：
1、客户端口>1024端口到FTP服务器的21端口 （入：客户端初始化的连接 S<-C）
2、FTP服务器的21端口到客户端>1024的端口（出：服务器响应客户端的控制端口 S->C）
3、FTP服务器的20端口到客户端>1024的端口（出:服务器端初始化数据连接到客户端的数据端口 S->C）
4、客户端>1024端口到FTP服务器的20端口（入：客户端发送ACK响应到服务器的数据端口 S<-C）
如果服务器的ip为192.168.10.1在H3C 8500的GigabitEthernet 2/1/10 上创建in acl策略允许ftp 主动模式其他禁止：
rule permit tcp source 192.168.10.1 0 source-port eq 21 destination-port gt 1024
rule permit tcp source 192.168.10.1 0 source-port eq 20 destination-port gt 1024
rele deny ip
1.2 ftp pasv模式（被动模式）
在被动方式FTP中，命令连接和数据连接都由客户端。当开启一个FTP连接时，客户端打开两个任意的非特权本地端口（N > 1024和N+1）。第一个端口连接服务器的21端口，但与主动方式的FTP不同，客户端不会提交PORT命令并允许服务器来回连它的数据端口，而是提交PASV命令。这样做的结果是服务器会开启一个任意的非特权端口（P > 1024），并发送PORT P命令给客户端。然后客户端发起从本地端口N+1到服务器的端口P的连接用来传送数据。ftp pasv模式工作流程如下图所示：
对于服务器端的防火墙来说，必须允许下面的通讯才能支持被动方式的FTP:
1、客户端>1024端口到服务器的21端口 （入：客户端初始化的连接 S<-C）
2、服务器的21端口到客户端>1024的端口 （出：服务器响应到客户端的控制端口的连接 S->C）
3、客户端>1024端口到服务器的大于1024端口 （入：客户端初始化数据连接到服务器指定的任意端口 S<-C）
4、服务器的大于1024端口到远程的大于1024的端口（出：服务器发送ACK响应和数据到客户端的数据端口 S->C）
如果服务器的ip为192.168.10.1在H3C 8500的GigabitEthernet 2/1/10 上创建in acl策略允许ftp 主动模式其他禁止：
rule permit tcp source 192.168.10.1 0 source-port eq 21 destination-port gt 1024
rule permit tcp source 192.168.10.1 0 source-port gt 1024 destination-port gt 1024
rele deny ip
二、ftp的port和pasv模式的工作方式
ftp的port和pasv模式最主要区别就是数据端口连接方式不同，ftp port模式只要开启服务器的21和20端口，而ftp pasv需要开启服务器大于1024所有tcp端口和21端口。重网络安全的角度来看的话似乎ftp port模式更安全，而ftp pasv更不安全，那么为什么RFC要在ftp port基础再制定一个ftp pasv模式呢？其实RFC制定ftp pasv模式的主要目的是为了数据传输安全角度出发的，因为ftp port使用固定20端口进行传输数据，那么作为黑客很容使用sniffer等探嗅器抓取ftp数据，这样一来通过ftp port模式传输数据很容易被黑客窃取，因此使用pasv方式来架设ftp server是最安全绝佳方案。
如果作为一个有经验的网络管理员就会发现使用ftp pasv方式会给网络安全很大隐患，那就是ftp pasv需要开启服务器tcp大于1024所有端口，这样对服务器的安全保护是非常不利的。在此我建议两种方法来完善FTP Pasv模式的端口开放问题，第一种就是使用弱洞扫描工具比如Xscan找出服务器开放的端口然后使用acl把端口deny掉，另外一种方法就是使用具有状态检测防火墙开启ftp pasv的端口。
在ftp pasv模式下是使用状态检测防火墙比acl最大的好处就是使用状态检测防火墙只要开启ftp 21端口就可以了，状态检测防火墙会检测客户端口连接ftp server的21命令端口，一但检测客户端使用ftp 21命令端口然后就会允许这个Session使用ftp服务器大于1024端口，而其他方式是无法直接访问ftp服务器大于1024端口。通过状态检测防火墙就可以保证ftp 服务器大于1024端口只对FTP Session开放了。目前像IPTable、ISA Server 2000/2004/2006、以及主流硬件防火墙都可以支持状态检测。
===================================================================
参考
http://apps.hi.baidu.com/share/detail/251462
http://hi.baidu.com/xianyang1981/blog/item/f17d6f6d8650c0f842169427.html
引用
1.FTP协议有两种工作方式：PORT方式和PASV方式，(为主动式和被动式)
2.主动：客户端向服务器的FTP端口（默认是21）发送连接请求，服务器接受连接，建立一条命令链路。
3.被动：客户端向服务器的FTP端口（默认是21）发送连接请求，服务器接受连接，建立一条命令链路
也就是主动被动基本情况下都是21 端口发送的 请求命令。
我凭自己的学习感觉大家可能在学习初期 对公网 和内网的 FTP的两种工作方式会容易弄混；我就蓝简单说一下重点吧。
客户端只有内网IP，没有公网IP
从上面的FTP基础知识可知，如果用PORT方式，因为客户端没有公网IP，FTP将无法连接客户端建立数据链路。因此，在这种情况下，客户端必须要用PASV方式，才能连接FTP服务器。大部分FTP站长发现自己的服务器有人能登录上，有人登录不上，典型的错误原因就是因为客户端没有公网IP，但用了IE作为FTP客户端来登录
在主动模式中，FTP的两个端口是相对固定的，如果命令端口是x的话，那数据端口就是x-1，也就是说默认情况下，命令端口是21，数据端口就是20;你把命令端口改成了600，那么数据端口就是599。这样使用防火墙就很方便了，只要开通这两个端口就可以了，但是如果客户端是共享上网的话那岂不是不能正常使用FTP了，这样还是不行，一定需要被动模式。
NAT 网关的工作方式是在TCP/IP数据包的包头里找局域网的源地址和源端口，替换成网关的地址和端口。对数据包里的内容，是不会改变的。而使用PORT方式登录FTP的时候，IP地址与端口信息是在数据包里面的，而不是在包头。因此，没有公网IP，使用PORT方式是无法从internet上的ftp服务器下载数据的。但是，极少数的NAT网关也支持PORT方式。这些NAT网关连数据包里面的内容都扫描，扫描到 PORT指令后会替换PORT方式的IP和端口。在这种NAT网关下面，用PORT方式就没问题了。不过，这些网关也只扫描21端口的数据包，如果FTP 服务器不是用默认的21端口，也无法使用PORT方式。
一下的问题你自己应该明白了吧？-------
内网可以用PORT访问其他FTP，为什么不能用PORT访问自己的TrueHost FTP？
更您补充的资料有没有关系 我就不必说了。FTP 基本协议端口、再加上两种情况（掌握我说的第一种就行了，我给你留的问题也就是第二种情况）
有时间大家一起研究，我还得谢谢你 要不是看到你的这个提问我早就忘了，重新恢复了一下。FTP 的端口设置要比http 等的复杂的多 ，用心吧。
2.主动：客户端向服务器的FTP端口（默认是21）发送连接请求，服务器接受连接，建立一条命令链路。
3.被动：客户端向服务器的FTP端口（默认是21）发送连接请求，服务器接受连接，建立一条命令链路
也就是主动被动基本情况下都是21 端口发送的 请求命令。
我凭自己的学习感觉大家可能在学习初期 对公网 和内网的 FTP的两种工作方式会容易弄混；我就蓝简单说一下重点吧。
客户端只有内网IP，没有公网IP
从上面的FTP基础知识可知，如果用PORT方式，因为客户端没有公网IP，FTP将无法连接客户端建立数据链路。因此，在这种情况下，客户端必须要用PASV方式，才能连接FTP服务器。大部分FTP站长发现自己的服务器有人能登录上，有人登录不上，典型的错误原因就是因为客户端没有公网IP，但用了IE作为FTP客户端来登录
在主动模式中，FTP的两个端口是相对固定的，如果命令端口是x的话，那数据端口就是x-1，也就是说默认情况下，命令端口是21，数据端口就是20;你把命令端口改成了600，那么数据端口就是599。这样使用防火墙就很方便了，只要开通这两个端口就可以了，但是如果客户端是共享上网的话那岂不是不能正常使用FTP了，这样还是不行，一定需要被动模式。
NAT 网关的工作方式是在TCP/IP数据包的包头里找局域网的源地址和源端口，替换成网关的地址和端口。对数据包里的内容，是不会改变的。而使用PORT方式登录FTP的时候，IP地址与端口信息是在数据包里面的，而不是在包头。因此，没有公网IP，使用PORT方式是无法从internet上的ftp服务器下载数据的。但是，极少数的NAT网关也支持PORT方式。这些NAT网关连数据包里面的内容都扫描，扫描到 PORT指令后会替换PORT方式的IP和端口。在这种NAT网关下面，用PORT方式就没问题了。不过，这些网关也只扫描21端口的数据包，如果FTP 服务器不是用默认的21端口，也无法使用PORT方式。
一下的问题你自己应该明白了吧？-------
内网可以用PORT访问其他FTP，为什么不能用PORT访问自己的TrueHost FTP？
更您补充的资料有没有关系 我就不必说了。FTP 基本协议端口、再加上两种情况（掌握我说的第一种就行了，我给你留的问题也就是第二种情况）
有时间大家一起研究，我还得谢谢你 要不是看到你的这个提问我早就忘了，重新恢复了一下。FTP 的端口设置要比http 等的复杂的多 ，用心吧。
[最后修改由 admin， 于 2010-10-28 08:51:48]
评论Feed: http://blog.xg98.com/feed.asp?q=comment&id=1524
这篇日志没有评论。
此日志不可发表评论。
