ASPF协助FTP实现数据正常转发

---

一、回顾TCP的数据传输过程

知识点：

• FTP是一个多通道协议，在使用时会先建立控制连接（TCP三次握手以及用户名密码的确认，模式的协商），然后再建立数据连接；
• 数据连接有两种模式：主动模式，被动模式；

具体建立过程

控制连接：

客户端向服务器发起TCP连接并发送用户名密码，
服务器确认后，开始数据连接的建立。

数据连接：
主动模式：

1、客户端向服务器发送port命令，并告诉自己的活跃端口 y
2、服务器用本端20端口向客户端发起TCP连接

简单理解：
客户端：我想要用y端口，待会你用y端口作为目的端口发给我数据
服务器：好的，我用我自己的20端口作为源端口向你发起连接
…服务器向客户端发起连接中…

被动模式：
1、客户端向服务器发送PASV命令，协商端口
2、客户端向服务器发起TCP连接
简单理解：
客户端：服务器，你想要用哪个端口连接
服务器：我想要用y端口，待会你用y端口作为源端口向我发起连接就好了
…客户端用本段活跃端口Z向服务器发起连接中…

二、思考：应该如何配置正确安全策略呢？

	主动模式	被动模式
数据流向	服务器向客户端发起连接20.1.1.1:：21–>10.1.1.1：Y	客户端向服务器发起连接10.1.1.1：Z–>20.1.1.1：Y
遇到的阻碍	防火墙没有放通相关安全策略，那么应该怎么正确配置好安全策略呢？	防火墙没有放通相关安全策略，那么应该怎么正确配置好安全策略呢？
假设的方法	放通服务器到客户端目的端口为Y的流量，那么问题来了，这个Y端口可以是任意一个端口，难道我需要每建立一个连接就添加一个端口吗？ 那下次这个端口不用了我是不是还要去删除？	同理，在被动模式下，客户端也无法确定服务器到底Y端口是不是一直在用。操作起来十分麻烦。

多通道协议ASPF就可以完美解决此问题

三、ASPF完美解决

以下是本人的理解过程
------------
注意：
防火墙虽然要安全策略允许才可以通过进行流量转发，但ASPF产生的server-map表项直接跳过安全策略影响流量

---

参考：《华为防火墙技术漫谈》