什么是ASPF，为什么需要ASPF？

在配置安全策略前，我们先大概了解下FTP协议。协议分为单通道协议和多通道协议，单通道协议即在传输过程中占用一个端口号，如我们常见的Telnet、SSH、HTTP等。多通道协议即在传输过程中占用两个或两个以上的端口号，如FTP、DNS、QQ等。

FTP协议是一个典型的多通道协议，在其工作过程中，FTP Client 和FTP Server 之间将会建立两条连接：控制连接和数据连接。控制连接用来传输FTP 指令和参数，其中就包括建立数据连接所需要的信息；数据连接用来获取目录及传输数据。数据连接使用的端口号是在控制连接中临时协商的。

ASPF（Application SpecificPacket Filter）--针对应用层的特殊包过滤技术，其原理是检测通过设备的报文的应用层协议信息，记录临时协商的数据连接，使得某些在安全策略中没有明确定义要放行的报文也能够得到正常转发。

记录临时协商的数据连接的表项称为Server-map 表，这相当于在防火墙上开通了“隐形通道”，使得像FTP 这样的特殊应用的报文可以正常转发。当然这个通道不是随意开的，是防火墙分析了报文的应用层信息之后，提前预测到后面报文的行为方式，所以才打开了这样的一个通道。