FTP主动模式和被动模式的比较

FTP是仅基于TCP的服务，不支持UDP。与众不同的是FTP使用2个端口，一个数据端口和一个命令端口（也可叫做控制端口）。通常来说这两个端口是21（命令端口）和20（数据端口）。但FTP工作方式的不同，数据端口并不总是20。这就是主动与被动FTP的最大不同之处。

一.主动FTP(PORT)

一.主动FTP(PORT) 
命令连接：客户端N端口<-->服务器 21端口         (N>1024)数据连接：服务器 20端口<-->客户端N+1端口       

针对FTP服务器前面的防火墙来说，必须允许以下通讯才能支持主动方式FTP：  1. 任何大于1024的端口到FTP服务器的21端口。（客户端初始化的连接）  
2. FTP服务器的21端口到大于1024的端口。 （服务器响应客户端的控制端口） 
3. FTP服务器的20端口到大于1024的端口。（服务器端初始化数据连接到客户端的数据端口）
4. 大于1024端口到FTP服务器的20端口（客户端发送ACK响应到服务器的数据端口）

二.被动FTP(PASV)

为了解决服务器发起到客户的连接问题，人们开发了一种不同的FTP连接方式。这就是被动方式.当客户端通知服务器它处于被动模式时才启用。在被动方式FTP中，命令连接和数据连接都由客户端发起，这就可以解决从服务器到客户端的数据端口的入方向连接被防火墙过滤掉的问题。

命令连接：客户端N端口<-->服务器 21端口         (N>1024)			数据连接：客户端N+1端口<-->服务器M端口         (M>1024)

对于服务器端的防火墙来说，必须允许下面的通讯才能支持被动方式的FTP:     1. 从任何大于1024的端口到服务器的21端口（客户端初始化的连接）  2. 服务器的21端口到任何大于1024的端口（服务器响应到客户端的控制端口的连接） 3. 从任何大于1024端口到服务器大于1024端口（客户端初始化数据连接到服务器指定的任意端口）4. 服务器大于1024端口到远程大于1024的端口（服务器发送ACK响应和数据到客户端的数据端口）

 三.主动与被动FTP优缺点：       

1.主动FTP对FTP服务器的管理有利，但对客户端的管理不利。因为FTP服务器企图与客户端的高位随机端口建立连接，而这个端口很有可能被客户端的防火墙阻塞掉。

2.被动FTP对FTP客户端的管理有利，但对服务器端的管理不利。因为客户端要与服务器端建立两个连接，其中一个连到一个高位随机端口，而这个端口很有可能被服务器端的防火墙阻塞掉。

3.折衷的办法。既然FTP服务器的管理员需要他们的服务器有最多的客户连接，那么必须得支持被动FTP。我们可以通过为FTP服务器指定一个有限的端口范围来减小服务器高位端口的暴露。这样，不在这个范围的任何端口会被服务器的防火墙阻塞。虽然这没有消除所有针对服务器的危险，但它大大减少了危险。

注:如果把FTP服务器部署在防火墙或者NAT服务器的背后，那么在主动模式下,客户端只能够建立命令连接而无法进行文件传输。