vsftpd的主動模式與被動模式

好不容易配置好了vsftpd服務，在CentOS本機測試沒有問題，可是在個人Windows機器上使用FlashFXP鏈接的時候卻出問題了：

我雖然知道FTP存在兩種模式：PORT（主動）模式、PASV（被動）模式，可是殊不知道vsftpd此時居然「不支持」被動模式！不會的，必定是配置出了問題~通過一番搜索，發現了其中的端倪：

FTP兩種模式的區別：

（1）PORT（主動）模式

所謂主動模式，指的是FTP服務器「主動」去鏈接客戶端的數據端口來傳輸數據，其過程具體來講就是：客戶端從一個任意的非特權端口N（N>1024）鏈接到FTP服務器的命令端口（即tcp 21端口），緊接着客戶端開始監聽端口N+1，併發送FTP命令「port N+1」到FTP服務器。而後服務器會從它本身的數據端口（20）「主動」鏈接到客戶端指定的數據端口（N+1），這樣客戶端就能夠和ftp服務器創建數據傳輸通道了。

（2）PASV（被動）模式

所謂被動模式，指的是FTP服務器「被動」等待客戶端來鏈接本身的數據端口，其過程具體是：當開啓一個FTP鏈接時，客戶端打開兩個任意的非特權本地端口（N >1024和N+1）。第一個端口鏈接服務器的21端口，但與主動方式的FTP不一樣，客戶端不會提交PORT命令並容許服務器來回連它的數據端口，而是提交PASV命令。這樣作的結果是服務器會開啓一個任意的非特權端口（P > 1024），併發送PORT P命令給客戶端。而後客戶端發起從本地端口N+1到服務器的端口P的鏈接用來傳送數據。（注意此模式下的FTP服務器不須要開啓tcp 20端口了）

兩種模式的比較：

（1）PORT（主動）模式模式只要開啓服務器的21和20端口，而PASV（被動）模式須要開啓服務器大於1024全部tcp端口和21端口。

（2）從網絡安全的角度來看的話彷佛ftp PORT模式更安全，而ftp PASV更不安全，那麼爲何RFC要在ftp PORT基礎再製定一個ftp PASV模式呢？其實RFC制定ftp PASV模式的主要目的是爲了數據傳輸安全角度出發的，由於ftp port使用固定20端口進行傳輸數據，那麼做爲黑客很容使用sniffer等探嗅器抓取ftp數據，這樣一來經過ftp PORT模式傳輸數據很容易被黑客竊取，所以使用PASV方式來架設ftp server是最安全絕佳方案。

所以：若是隻是簡單的爲了文件共享，徹底能夠禁用PASV模式，解除開放大量端口的威脅，同時也爲防火牆的設置帶來便利。

不幸的是，FTP工具或者瀏覽器默認使用的都是PASV模式鏈接FTP服務器，所以，必需要使vsftpd在開啓了防火牆的狀況下，也可以支持PASV模式進行數據訪問。

如何開啓vsftpd的PASV模式？

（1）修改/etc/vsftpd/vsftpd.conf文件配置

pasv_enable=yes （Default: YES） 設置是否容許pasv模式
#pasv_promiscuous=no （Default: NO） 是否屏蔽對pasv進行安全檢查，（當有安全隧道時可禁用）
pasv_max_port=10240 （Default: 0 (use any port)） pasv使用的最大端口
pasv_min_port=20480 （Default: 0 (use any port)） pasv使用的最小端口

默認狀況下vsftpd是支持PASV模式訪問的，能夠不做修改。

（2）給防火牆添加FTP訪問轉換支持模塊

#vi /etc/sysconfig/iptables-config

// 添加如下兩行：
IPTABLES_MODULES="ip_conntrack_ftp"
IPTABLES_MODULES="ip_nat_ftp"

請必定注意兩行內容的位置關係不要搞反了。若是將"ip_nat_ftp"放到前面是加載不到的。若是你的ftp服務是過路由或者防火牆（即內網映射方式必定須要此模塊）。以上等同於在加載iptables以前運行modprobe命令加載"ip_nat_ftp"和"ip_conntrack_ftp"模塊。

（3）給防火牆添加訪問規則容許

-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m state --state NEW -m tcp --sport 21 -j

（4）重啓防火牆服務

service iptables restart

（5）檢查模塊是否加載成功

#lsmod |grep ftp

p_nat_ftp              7361  0 
ip_nat                 21229  1 ip_nat_ftp
ip_conntrack_ftp       11569  1 ip_nat_ftp
ip_conntrack           53665  4 ip_nat_ftp,ip_nat,ip_conntrack_ftp,xt_state

以上信息代表模塊加載成功，能夠在其餘機器上使用FTP客戶端進行訪問了。

Nice~！