ftp服务的主动模式(active)和被动模式(passive)

当ftp传输出现问题的时候，你首先应该检查的就是你的ftp的传输模式。根据不同的网络配置情况，该模式应该被设置为主动模式或被动模式。

 

ftp的命令通道和数据通道

典型的ftp会话使用两个通道，命令通道和数据通道，一个用来传输命令，一个用来传输数据。

 

默认情况下，ftp的命令通道使用21端口，而数据通道的端口则取决于ftp的模式。主动模式下，服务器端数据通道的端口是20，被动模式下，服务器端数据通道端口是随机的。

 

ftp的主动模式

最开始ftp只有主动模式，是一个很古老的模式，当时还没有那么多的网络攻击，也没有啥防火墙。

 

主动模式的数据传输过程见下图，分为两步

1. 客户端以一个随机端口port1向服务端的21端口发起连接，并通知服务端：后续我将使用另一个随机端口port2来传输数据。

2. 服务端从20端口向客户端的port2发起建立连接，然后数据通过这个连接进行传输。

 

ftp被动模式

被动模式见下图。

1. 客户端向服务端的21端口发起连接，并向服务端发起一个PASV命令。然后服务端会在应答中指定一个端口port。

2. 客户端使用另一个随机端口port2向服务端的port发起连接，然后数据在这个连接进行传输。

 

主动模式和被动模式应如何选择

主动模式需要服务器主动向客户端发起连接，而现在普通的客户端大多位于NAT之后，所以主动模式常常无法进行。即使可以，也需要客户端打开防火墙，允许服务端的20端口访问。

所以服务端基本需要支持被动模式，但被动模式需要开放一段端口。为了安全，可以选择一小段端口，然后在防火墙开放这一段端口。

 

被动模式在vsftpd配置端口范围

在vsftpd的配置文件中：

pasv_enable=YES|NO

YES表示允许数据传输时使用PASV模式，NO，表示不允许使用PASV模式。默认值为YES

pasv_min_port=xxxxx

pasv_max_port=xxxxx

用来设置PASV模式下建立数据传输可以使用的端口范围。0表示任意值。默认值为0.

 

本文参考：https://www.jscape.com/blog/bid/80512/active-v-s-passive-ftp-simplified