通过外网端口映射访问FTP

首先了解，FTP使用两个端口进行通信。一个作为控制端口（登陆用），一个作为数据传输端口。

主动模式：客户端请求21 20两个固定端口进行连接。所以如果要经过外网映射用主动模式通信的话除非把外网端口21映射为内网的21，外网的20映射为内网的20才行。

被动模式：客户端连接到服务器21端口后，服务器返回一个任意>1024的端口给客户端，客户端连接此数据端口。

情景描述：

公司内网有一台Linux系统FTP服务器。

公网地址为X.X.X.X ，现在映射公网端口 12000 到内网主机Y.Y.Y.Y的21端口。

这时通过外网的被动模式访问可以登录FTP，但不能执行ls命令或者下载文件。原因，数据端口没有做映射。在使用ftp连接的时候，可以选择被动模式然后连接12000端口，但是并不能设置数据端口

问题：

FTP可以指定端口进行连接，这个端口是控制端口。

但被动模式是返回一个任意的大于1024的端口比如8888给客户端连接。

客户端这时候连接8888，不能连接成功，因为连的是外网地址，外网地址的8888并没有映射到内网地址的8888。

然后卡在这里因为每次都不确定，这次把外网的8888映射到内网的8888，但下次通信不一定是8888啊。

思路： 要确定FTP数据端口使用固定的。

配置 /etc/vsftpd/vsftpd.conf

pasv_enable=yes （Default: YES ）  设置是否允许pasv模式
pasv_promiscuous=no （Default: NO ） 是否屏蔽对pasv进行安全检查，（当有安全隧道时可禁用）
pasv_max_port=10240  （Default: 0 (use any port) ） pasv使用的最大端口
pasv_min_port=1024  （Default: 0 (use any port) ） pasv使用的最小端口
pasv_address （Default: (none - the address is taken from the incoming connected socket) ） pasv模式中服务器传回的ip地址