FTP協議的主動模式和被動模式的區別

最近準備作一個《FtpCopy系列教程》，主要講解Ftp協議主動模式和被動模式的區別、以及FTP服務器的安裝部署，而後經過幾個經常使用實例演示，詳細講解如何使用FtpCopy進行數據自動備份。

什麼是FTP協議？

FTP的中文名稱是「文件傳輸協議」，是File Transfer Protocol三個英文單詞的縮寫。FTP協議是TCP/IP協議組中的協議之一，其傳輸效率很是高，在網絡上傳輸大的文件時，常常採用該協議。

一個完整的FTP由FTP服務器和FTP客戶端組成，客戶端能夠將服務器上的文件經過FTP協議下載到本地，也能夠將本地數據經過FTP協議上傳到服務器上。

（1）服務器端須要安裝FTP服務軟件，經常使用的有FileZilla Server、IIS、Serv-U、OSSFTP等等。

• 不一樣的FTP軟件對FTP協議標準支持有所差異，從個人使用經驗感受FileZilla Server是對FTP協議支持最好的軟件，它具備如下幾個特色：體積小（2M左右）、免費開源、操做簡單、功能完善（咱們所須要的有功能它基本都支持）。

• IIS對FTP協議的支持也很不錯。

• Serv-U有幾個命令支持不是很好，這個軟件也是收費軟件，沒感受比FileZilla Server好多少。

• OSSFTP是阿里雲對象存儲提供的FTP Server，對FTP標準協議支持就更差了。

（2）FTP客戶端軟件就比較多了，經常使用的有FileZilla、FlashFXP、WinSCP、甚至在瀏覽器和windows資源管理器中輸入FTP地址均可以當作FTP客戶端來使用。咱們的FtpCopy也屬於FTP客戶端。

FTP協議的兩個TCP鏈接

左側爲客戶端，右側爲FTP服務器，不管是上傳仍是下載，客戶端與服務器之間都會創建2個TCP鏈接會話，綠色是控制鏈接，紅色的是數據鏈接。其中，控制鏈接用於傳輸FTP命令，如：刪除文件、重命名文件、下載文件、列取目錄、獲取文件信息等。真正的數據傳輸時經過數據鏈接來完成的。

默認狀況下，服務器21端口做爲命令端口，20端口爲數據端口。但被動模式下就有所差異了。

剛接觸FTP的朋友，常常搞不清楚FTP的主動模式和被動模式，形成鏈接被防火牆攔截，下面咱們就詳細瞭解下FTP的這兩種模式：

FTP主動模式

首先，來了解下FTP的主動模式，主動模式是FTP的默認模式，也稱爲PORT模式。

1. 在主動模式下，客戶端會開啓N和N+1兩個端口，N爲客戶端的命令端口，N+1爲客戶端的數據端口。

第一步，客戶端使用端口N鏈接FTP服務器的命令端口21，創建控制鏈接並告訴服務器我這邊開啓了數據端口N+1。

第二步，在控制鏈接創建成功後，服務器會使用數據端口20，主動鏈接客戶端的N+1端口以創建數據鏈接。這就是FTP主動模式的鏈接過程。

咱們能夠看到，在這條紅色的數據鏈接創建的過程當中，服務器是主動的鏈接客戶端的，因此稱這種模式爲主動模式。

上面這張圖是經過netstat命令查看到的ftp主動模式下TCP的鏈接信息，首先客戶端使用49195端口鏈接服務器21端口創建控制鏈接，而後服務器使用20端口鏈接客戶端49197端口創建數據鏈接。

這裏須要補充下，客戶端的命令端口和數據端口實際中並非有些文章寫道的N和N+1的關係，兩個端口比較接近而已。

2. 主動模式有什麼利弊呢？

主動模式對FTP服務器的管理有利，由於FTP服務器只須要開啓21端口的「准入」和20端口的「準出」便可。

但這種模式對客戶端的管理不利，由於FTP服務器20端口鏈接客戶端的數據端口時，有可能被客戶端的防火牆攔截掉。

3. 如何解決客戶端防火牆攔截「數據鏈接」的創建呢？

（1）若是防火牆開啓了「攔截通知」，在使用FTP軟件鏈接服務器時，防火牆會彈出下面這個提醒，只須要點擊「容許訪問」就能夠創建鏈接了。

（2）若是防火牆沒有開啓「攔截通知」，則須要咱們的應用程序添加到防火牆的「容許的程序」列表中。如圖所示，容許FlashFXP.exe和WinSCP以主動模式鏈接FTP服務器。

FTP被動模式

上面所講的是FTP主動模式，簡單的理解就是服務器的數據端口20主動鏈接客戶端的數據端口，來創建數據鏈接，用來傳輸數據，這個數據鏈接的創建有可能被客戶端防火牆攔截掉。爲了解決這個問題就衍生出另一種鏈接模式---被動模式。被動模式也稱爲passive模式。

1. 被動模式是如何運做的呢？來看下這張圖

第一步，客戶端的命令端口N主動鏈接服務器命令端口21，併發送PASV命令，告訴服務器用「被動模式」，控制鏈接創建成功後，服務器開啓一個數據端口P，經過PORT命令將P端口告訴客戶端。

第二步，客戶端的數據端口N+1去鏈接服務器的數據端口P，創建數據鏈接。

咱們能夠看到，在這條紅色的數據鏈接創建的過程當中，服務器是被動的等待客戶端來鏈接的，因此稱這種模式爲被動模式。

上面這張圖是經過netstat命令查看到的「被動模式」下的TCP鏈接狀況，首先客戶端49222端口去鏈接服務器的21端口，創建控制鏈接。而後客戶端的49224端口鏈接服務器的6008端口去創建數據鏈接。

這裏有兩點須要補充

• 第一，客戶端的命令端口和數據端口實際中並非有些文章寫道的N和N+1的關係，兩個端口比較接近而已；
• 第二，服務器的數據端口P是隨機的，這個客戶端鏈接過來用的是6008端口，另一個鏈接過來可能用的就是7009，不過P端口的範圍是能夠設置的。

2. 被動模式有什麼利弊呢？

被動模式對FTP客戶端的管理有利，由於客戶端的命令端口和數據端口都是「準出」，windows防火牆對於「準出」通常是不攔截的，因此客戶端不須要任何多餘的配置就能夠鏈接FTP服務器了。

但對服務器端的管理不利。由於客戶端數據端口連到FTP服務器的數據端口P時，頗有可能被服務器端的防火牆阻塞掉。

4. 如何解決服務器端防火牆攔截「數據鏈接」的創建呢？

爲了解決P端口的「准入」不被服務器防火牆攔截，須要在服務器端設定P端口的範圍，並在防火牆中開啓這個範圍端口的「准入」。這張圖是在FileZilla Server中指定被動模式的數據端口範圍爲6000-7000，而後在windows防火牆中配置6000-700端口容許「准入」。

  

FTP服務器安全性設置

通常咱們使用FTP主要用於備份下載服務器上的數據，有時也須要將本地的數據上傳至服務器上備份。若是服務器在外網之中，服務器的每一個端口的開放都須要嚴格控制，如何安全的設置咱們的FTP服務器呢，我我的有如下幾個使用經驗：

1. 合理的設置FTP帳號和權限

爲每一個帳號設置密碼和權限，好比說：若是隻是下載數據，只要給FTP帳號分配文件的read權限和目錄的List列取目錄權限便可。

2. 服務器21端口添加21端口限定

不管是主動模式仍是被動模式，第一步都是客戶端鏈接服務器的21端口創建控制鏈接。所以咱們能夠在防火牆的21端口上設置IP限定，僅容許咱們的備份電腦的IP或IP段鏈接服務器21端口，這樣其餘人就沒法使用FTP暴力破解FTP帳號和密碼了。

3. 禁止FTP服務器管理控制檯的遠程管理功能

FTP服務器管理控制檯：主要用於設置FTP帳號、FTP目錄、FTP的命令端口和數據端口、下載速度和上傳速度等等。

FTP管理控制檯並非全部FTP軟件都支持遠程訪問的，好比IIS中設置FTP須要在IIS中設置，它的控制檯就是IIS，只有登陸服務器系統才能夠設置IIS。

默認狀況下FileZilla Server的控制檯是隻容許本機登陸的，咱們不須要作任何設置，保持默認配置便可。

這裏咱們仍是有必要了解下如何開啓FileZilla Server控制檯的遠程訪問：

（1）防火牆打開14147端口的「准入」，14147端口爲FileZilla Server控制檯端口；

（2）配置FTP服務器的IP地址；

（3）配置容許訪問FileZilla Server控制檯的終端。

這樣咱們配置的192.168.25.1就能夠遠程鏈接192.168.25.133服務器上的控制檯，進行帳號和權限設置等。

防火牆設置總結

1. FTP主動模式下防火牆設置

（1）服務器沒有「物理防火牆」的狀況下，只須要在服務器操做系統中開啓21端口的准入，20端口的準出默認是容許的（Windows系統防火牆默認是不攔截「準出」的）。

（2）服務器有「物理防火牆」的狀況下，須要在「物理防火牆」中開啓21端口的准入，20端口的準出。

（3）客戶端須要設置「容許應用程序經過防火牆」（WinSCP.exe、FlashFXP等）

2. FTP主動模式下防火牆設置

（1）服務器須要開啓21端口准入，並設置被動模式數據端口範圍P，並在防火牆中開啓P的准入。

（2）客戶端通常不須要設置任何防火牆，由於N和N+1通常是能夠出去的。