FTP的主动被动和相关的防火墙设置

qiaobinbin

ftp分为两大类：主动FTP，也就是一般的FTP﹔被动FTP；

主动FTP
主动方式的FTP是这样的：客户端从一个任意的非特权端口N（N>1024）连接到FTP服务器的命令端口，也就是21端口。然后客户端开始端口N+1，并发送FTP命令“port N+1”到FTP服务器。接着服务器会从它自己的数据端口（20）连接到客户端指定的数据端口（N+1）。
针对FTP服务器前面的防火墙来说，必须允许以下通讯才能支持主动方式FTP：
1. 任何端口到FTP服务器的21端口 （客户端初始化的连接 SC）
3. FTP服务器的20端口到大于1024的端口（服务器端初始化数据连接到客户端的数据端口 S->C）
4. 大于1024端口到FTP服务器的20端口（客户端发送ACK响应到服务器的数据端口 S 1024和N+1）。第一个端口连接服务器的21端口，但与主动方式的FTP不同，客户端不会提交PORT命令并允许服务器来回连它的数据端口，而是提交 PASV命令。这样做的结果是服务器会开启一个任意的非特权端口（P > 1024），并发送PORT P命令给客户端。然后客户端发起从本地端口N+1到服务器的端口P的连接用来传送数据。
对于服务器端的防火墙来说，必须允许下面的通讯才能支持被动方式的FTP:
1. 从任何端口到服务器的21端口 （客户端初始化的连接 SC）
3. 从任何端口到服务器的大于1024端口 （入；客户端初始化数据连接到服务器指定的任意端口 SC）
防火墙设置的例子
建置一个防火墙下的FTP server，使用被动FTP(Port FTP) mode：FTP port:21 以及FTP data port 从9981 到9986。
执行以下两行指令，只允许port 21 以及port 9981-9990 开放，其它关闭。
iptables -A INPUT -p tcp -m multiport --dport 21,9981,9982,9983,9984,9985,9986,9987,9988,9989,9990 -j ACCEPT
iptables -A INPUT -p tcp -j REJECT --reject-with tcp-reset
FTP软件本身的设置
以vsFTP为例子. 修改/etc/vsFTPd/vsFTPd.conf
新增底下四行
listen_port=21
pasv_enable=YES
pasv_min_port=9981
pasv_max_port=9986
设置错会出现的情况
这个例子中，FTP client（如cuteFTP）的联机方式必须选择passive mode，否则无法建立数据的联机。也就是读者可以连上FTP server，但是执行ls,get 等等的指令时，便无法运作。


本文来自ChinaUnix博客，如果查看原文请点：http://blog.chinaunix.net/u/31568/showart_1087534.html