目錄

• 什么是FTP協(xié)議？
• FTP協(xié)議的兩個TCP連接
• FTP主動模式
• FTP被動模式
• FTP服務器安全性設置
• 防火墻設置總結

最近準備做一個《FtpCopy系列教程》，主要講解Ftp協(xié)議主動模式和被動模式的區(qū)別、以及FTP服務器的安裝部署，然后通過幾個常用實例演示，詳細講解如何使用FtpCopy進行數(shù)據(jù)自動備份。

什么是FTP協(xié)議？

FTP的中文名稱是“文件傳輸協(xié)議”，是File Transfer Protocol三個英文單詞的縮寫。FTP協(xié)議是TCP/IP協(xié)議組中的協(xié)議之一，其傳輸效率非常高，在網(wǎng)絡上傳輸大的文件時，經(jīng)常采用該協(xié)議。

一個完整的FTP由FTP服務器和FTP客戶端組成，客戶端可以將服務器上的文件通過FTP協(xié)議下載到本地，也可以將本地數(shù)據(jù)通過FTP協(xié)議上傳到服務器上。

（1）服務器端需要安裝FTP服務軟件，常用的有FileZilla Server、IIS、Serv-U、OSSFTP等等。

不同的FTP軟件對FTP協(xié)議標準支持有所差別，從我的使用經(jīng)驗感覺FileZilla Server是對FTP協(xié)議支持最好的軟件，它具有以下幾個特點：體積?。?M左右）、免費開源、操作簡單、功能完善（我們所需要的有功能它基本都支持）。

IIS對FTP協(xié)議的支持也很不錯。

Serv-U有幾個命令支持不是很好，這個軟件也是收費軟件，沒感覺比FileZilla Server好多少。

OSSFTP是阿里云對象存儲提供的FTP Server，對FTP標準協(xié)議支持就更差了。

（2）FTP客戶端軟件就比較多了，常用的有FileZilla、FlashFXP、WinSCP、甚至在瀏覽器和windows資源管理器中輸入FTP地址都可以當做FTP客戶端來使用。我們的FtpCopy也屬于FTP客戶端。

FTP協(xié)議的兩個TCP連接

左側為客戶端，右側為FTP服務器，無論是上傳還是下載，客戶端與服務器之間都會建立2個TCP連接會話，綠色是控制連接，紅色的是數(shù)據(jù)連接。其中，控制連接用于傳輸FTP命令，如：刪除文件、重命名文件、下載文件、列取目錄、獲取文件信息等。真正的數(shù)據(jù)傳輸時通過數(shù)據(jù)連接來完成的。

默認情況下，服務器21端口作為命令端口，20端口為數(shù)據(jù)端口。但被動模式下就有所差別了。

剛接觸FTP的朋友，經(jīng)常搞不清楚FTP的主動模式和被動模式，造成連接被防火墻攔截，下面我們就詳細了解下FTP的這兩種模式：

FTP主動模式

首先，來了解下FTP的主動模式，主動模式是FTP的默認模式，也稱為PORT模式。

1. 在主動模式下，客戶端會開啟N和N+1兩個端口，N為客戶端的命令端口，N+1為客戶端的數(shù)據(jù)端口。

第一步，客戶端使用端口N連接FTP服務器的命令端口21，建立控制連接并告訴服務器我這邊開啟了數(shù)據(jù)端口N+1。

第二步，在控制連接建立成功后，服務器會使用數(shù)據(jù)端口20，主動連接客戶端的N+1端口以建立數(shù)據(jù)連接。這就是FTP主動模式的連接過程。

我們可以看到，在這條紅色的數(shù)據(jù)連接建立的過程中，服務器是主動的連接客戶端的，所以稱這種模式為主動模式。

上面這張圖是通過netstat命令查看到的ftp主動模式下TCP的連接信息，首先客戶端使用49195端口連接服務器21端口建立控制連接，然后服務器使用20端口連接客戶端49197端口建立數(shù)據(jù)連接。

這里需要補充下，客戶端的命令端口和數(shù)據(jù)端口實際中并不是有些文章寫道的N和N+1的關系，兩個端口比較接近而已。

2. 主動模式有什么利弊呢？

主動模式對FTP服務器的管理有利，因為FTP服務器只需要開啟21端口的“準入”和20端口的“準出”即可。

但這種模式對客戶端的管理不利，因為FTP服務器20端口連接客戶端的數(shù)據(jù)端口時，有可能被客戶端的防火墻攔截掉。

3. 如何解決客戶端防火墻攔截“數(shù)據(jù)連接”的建立呢？

（1）如果防火墻開啟了“攔截通知”，在使用FTP軟件連接服務器時，防火墻會彈出下面這個提醒，只需要點擊“允許訪問”就可以建立連接了。

（2）如果防火墻沒有開啟“攔截通知”，則需要我們的應用程序添加到防火墻的“允許的程序”列表中。如圖所示，允許FlashFXP.exe和WinSCP以主動模式連接FTP服務器。

FTP被動模式

上面所講的是FTP主動模式，簡單的理解就是服務器的數(shù)據(jù)端口20主動連接客戶端的數(shù)據(jù)端口，來建立數(shù)據(jù)連接，用來傳輸數(shù)據(jù)，這個數(shù)據(jù)連接的建立有可能被客戶端防火墻攔截掉。為了解決這個問題就衍生出另外一種連接模式---被動模式。被動模式也稱為passive模式。

1. 被動模式是如何運作的呢？來看下這張圖

第一步，客戶端的命令端口N主動連接服務器命令端口21，并發(fā)送PASV命令，告訴服務器用“被動模式”，控制連接建立成功后，服務器開啟一個數(shù)據(jù)端口P，通過PORT命令將P端口告訴客戶端。

第二步，客戶端的數(shù)據(jù)端口N+1去連接服務器的數(shù)據(jù)端口P，建立數(shù)據(jù)連接。

我們可以看到，在這條紅色的數(shù)據(jù)連接建立的過程中，服務器是被動的等待客戶端來連接的，所以稱這種模式為被動模式。

上面這張圖是通過netstat命令查看到的“被動模式”下的TCP連接情況，首先客戶端49222端口去連接服務器的21端口，建立控制連接。然后客戶端的49224端口連接服務器的6008端口去建立數(shù)據(jù)連接。

這里有兩點需要補充

第一，客戶端的命令端口和數(shù)據(jù)端口實際中并不是有些文章寫道的N和N+1的關系，兩個端口比較接近而已；第二，服務器的數(shù)據(jù)端口P是隨機的，這個客戶端連接過來用的是6008端口，另外一個連接過來可能用的就是7009，不過P端口的范圍是可以設置的。2. 被動模式有什么利弊呢？

被動模式對FTP客戶端的管理有利，因為客戶端的命令端口和數(shù)據(jù)端口都是“準出”，windows防火墻對于“準出”一般是不攔截的，所以客戶端不需要任何多余的配置就可以連接FTP服務器了。

但對服務器端的管理不利。因為客戶端數(shù)據(jù)端口連到FTP服務器的數(shù)據(jù)端口P時，很有可能被服務器端的防火墻阻塞掉。

4. 如何解決服務器端防火墻攔截“數(shù)據(jù)連接”的建立呢？

為了解決P端口的“準入”不被服務器防火墻攔截，需要在服務器端設定P端口的范圍，并在防火墻中開啟這個范圍端口的“準入”。這張圖是在FileZilla Server中指定被動模式的數(shù)據(jù)端口范圍為6000-7000，然后在windows防火墻中配置6000-700端口允許“準入”。

FTP服務器安全性設置

一般我們使用FTP主要用于備份下載服務器上的數(shù)據(jù)，有時也需要將本地的數(shù)據(jù)上傳至服務器上備份。如果服務器在外網(wǎng)之中，服務器的每個端口的開放都需要嚴格控制，如何安全的設置我們的FTP服務器呢，我個人有以下幾個使用經(jīng)驗：

1. 合理的設置FTP賬號和權限

為每個賬號設置密碼和權限，比如說：如果只是下載數(shù)據(jù)，只要給FTP賬號分配文件的read權限和目錄的List列取目錄權限即可。

2. 服務器21端口添加21端口限定

無論是主動模式還是被動模式，第一步都是客戶端連接服務器的21端口建立控制連接。因此我們可以在防火墻的21端口上設置IP限定，僅允許我們的備份電腦的IP或IP段連接服務器21端口，這樣其他人就無法使用FTP暴力破解FTP賬號和密碼了。

3. 禁止FTP服務器管理控制臺的遠程管理功能

FTP服務器管理控制臺：主要用于設置FTP賬號、FTP目錄、FTP的命令端口和數(shù)據(jù)端口、下載速度和上傳速度等等。

FTP管理控制臺并不是所有FTP軟件都支持遠程訪問的，比如IIS中設置FTP需要在IIS中設置，它的控制臺就是IIS，只有登錄服務器系統(tǒng)才可以設置IIS。

默認情況下FileZilla Server的控制臺是只允許本機登錄的，我們不需要做任何設置，保持默認配置即可。

這里我們還是有必要了解下如何開啟FileZilla Server控制臺的遠程訪問：

（1）防火墻打開14147端口的“準入”，14147端口為FileZilla Server控制臺端口；

（2）配置FTP服務器的IP地址；

（3）配置允許訪問FileZilla Server控制臺的終端。

這樣我們配置的192.168.25.1就可以遠程連接192.168.25.133服務器上的控制臺，進行賬號和權限設置等。

防火墻設置總結

1. FTP主動模式下防火墻設置

（1）服務器沒有“物理防火墻”的情況下，只需要在服務器操作系統(tǒng)中開啟21端口的準入，20端口的準出默認是允許的（Windows系統(tǒng)防火墻默認是不攔截“準出”的）。

（2）服務器有“物理防火墻”的情況下，需要在“物理防火墻”中開啟21端口的準入，20端口的準出。

（3）客戶端需要設置“允許應用程序通過防火墻”（WinSCP.exe、FlashFXP等）

2. FTP主動模式下防火墻設置

（1）服務器需要開啟21端口準入，并設置被動模式數(shù)據(jù)端口范圍P，并在防火墻中開啟P的準入。

（2）客戶端一般不需要設置任何防火墻，因為N和N+1一般是可以出去的。

到此這篇關于FTP協(xié)議的主動模式與被動模式的區(qū)別詳解的文章就介紹到這了,更多相關FTP主動模式和被動模式內(nèi)容請搜索以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持！