FTP两种模式在USG6000上的表现

1、主动模式

首先如果是域内的FTP的访问，无论是主动的还是被动的都是可以正常访问的，同时不会匹配任何的安全策略。

如果是域间的FTP的访问，那么它的访问就需要使用安全策略进行控制，任何的区域都要。一般情况下，如果我们的安全策略仅仅放行了客户端到服务器端的流量，那么FTP主动模式一定是会出现问题的。因为主动模式是客户端向服务器建立控制的通道，然后服务器向客户端建立数据的通道，这时因为仅仅建立了客户端到服务器的安全策略，于是服务器到客户端的没有相应的匹配规则，那么就会被默认的安全策略挡住。如果防火墙上开启了firewall detect ftp，也就是开启关于FTP的ASPF，那么防火墙将会根据在控制链路建立的阶段的时候，获取到的客户端开放的，关于数据通道的端口，去开放一个对应的策略，这个策略叫做server-map，称为服务映射，从宏观上来看，防火墙会根据应用的流量和工作特点，提前创建server-map，开放对应的策略使得数据不会因为这种情况而导致数据的丢失。

2、被动模式

被动模式是客户端向服务器发出控制通道建立请求和数据通道建立请求，也就是说FTP的两个通道的建立都是客户端，所以安全策略如果只设置了客户端到服务器也不会出现像主动模式的问题。