主动FTP与被动FTP简介

 

前言：

     处理防火墙和其他网络连接问题时最常见的一个难题是主动FTP与被动FTP的区别以及如何完美地支持它们。幸运地是，本文能够帮助你清除在防火墙环境中如何支持FTP这个问题上的一些混乱。

基础知识：

     FTP是仅基于TCP的服务，不支持UDP。与众不同的是FTP使用2个端口，一个数据端口和一个命令端口（也可叫做控制端口）。通常来说这两个端口是21－命令端口和20－数据端口。但我们发现根据（FTP工作）方式的不同数据端口并不总是20。

主动FTP：

     主动方式的FTP是这样的：客户端从一个任意的非特权端口N（N>1024）连接到FTP服务器的命令端口，也就是21端口。然后客户端开始监听端口N+1，并发送FTP命令“port N+1”到FTP服务器。接着服务器会从它自己的数据端口（20）连接到客户端指定的数据端口（N+1）。

    针对FTP服务器前面的防火墙来说，必须允许以下通讯才能支持主动方式FTP：

1. 任何端口到FTP服务器的21端口 （客户端初始化的连接 S

2. FTP服务器的21端口到大于1024的端口（服务器响应客户端的控制端口 S->C）

3. FTP服务器的20端口到大于1024的端口（服务器端初始化数据连接到客户端的数据端口 S->C）

4. 大于1024端口到FTP服务器的20端口（客户端发送ACK响应到服务器的数据端口 S

第1步中，客户端的命令端口与FTP服务器的命令端口建立连接，并发送命令“PORT 1027”。

第2步中，FTP服务器给客户端的命令端口返回一个\"ACK\"。

第3步中，FTP服务器发起一个从它自己的数据端口（20）到客户端先前指定的数据端口（1027）的连接。

第4步中给服务器端返回一个\"ACK\"。

     主动方式FTP的主要问题实际上在于客户端。FTP的客户端并没有实际建立一个到服务器数据端口的连接，它只是简单的告诉服务器自己监听的端口号，服务器再回来连接客户端这个指定的端口。对于客户端的防火墙来说，这是从外部系统建立到内部客户端的连接，这是通常会被阻塞的。

被动FTP：

     为了解决服务器发起到客户的连接的问题，人们开发了一种不同的FTP连接方式。这就是所谓的被动方式，或者叫做PASV，当客户端通知服务器它处于被动模式时才启用。

     在被动方式FTP中，命令连接和数据连接都由客户端，这样就可以解决从服务器到客户端的数据端口的入方向连接被防火墙过滤掉的问题。当开启一个 FTP连接时，客户端打开两个任意的非特权本地端口（N > 1024和N+1）。第一个端口连接服务器的21端口，但与主动方式的FTP不同，客户端不会提交PORT命令并允许服务器来回连它的数据端口，而是提交 PASV命令。这样做的结果是服务器会开启一个任意的非特权端口（P > 1024），并发送PORT P命令给客户端。然后客户端发起从本地端口N+1到服务器的端口P的连接用来传送数据。

     对于服务器端的防火墙来说，必须允许下面的通讯才能支持被动方式的FTP:

1. 从任何端口到服务器的21端口 （客户端初始化的连接 S

2. 服务器的21端口到任何大于1024的端口 （服务器响应到客户端的控制端口的连接 S->C）

3. 从任何端口到服务器的大于1024端口 （入；客户端初始化数据连接到服务器指定的任意端口 S

4. 服务器的大于1024端口到远程的大于1024的端口（出；服务器发送ACK响应和数据到客户端的数据端口 S->C）

第1步中，客户端的命令端口与服务器的命令端口建立连接，并发送命令“PASV”。

第2步中，服务器返回命令\"PORT 2024\"，告诉客户端（服务器）用哪个端口侦听数据连接。

第3步中，客户端初始化一个从自己的数据端口到服务器端指定的数据端口的数据连接。

第4 步中给客户端的数据端口返回一个\"ACK\"响应。

     被动方式的FTP解决了客户端的许多问题，但同时给服务器端带来了更多的问题。最大的问题是需要允许从任意远程终端到服务器高位端口的连接。幸运的是，许多FTP守护程序，包括流行的WU-FTPD允许管理员指定FTP服务器使用的端口范围。

     第二个问题是客户端有的支持被动模式，有的不支持被动模式，必须考虑如何能支持这些客户端，以及为他们提供解决办法。例如，Solaris提供的FTP命令行工具就不支持被动模式，需要第三方的FTP客户端，比如ncftp。

如何限制Windows FTP在PASV模式下的端口范围：

    Windows 2000

在注册表项中增加值：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Msftpsvc\Parameters\

PassivePortRange     REG_SZ   值范围：5001-65535

    Windows 2003

要启用直接编辑元数据库）

1 . 打开 IIS Microsoft 管理控制台 (MMC)。

2 . 右击本地计算机节点。

3 . 选择 属性 。

4 请确保 启用直接编辑元数据库 复选框。

 

通过 ADSUTIL 脚本配置 PassivePortRange

1 . 单击 开始 、 运行 ， 键入 cmd, 和然后 确定 。

2 . 键入 cd Inetpub\AdminScripts， 然后按 Enter。

3 . 从命令提示符键入以下命令。

    cscript.exe adsutil.vbs set /MSFTPSVC/PassivePortRange "23000-23200"

4 重新启动 FTP 服务。

 

通过 ADSUTIL 脚本配置时您会看到以下输出：

Microsoft (R) Windows Script. Host 版本 5.6

版权所有 (C) Microsoft Corporation 1996 - 2001。保留所有权利。.

PassivePortRange (STRING) " 5500 - 5700 "：

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/4670/viewspace-310375/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/4670/viewspace-310375/