您现在的位置是:首页 > 正文

FTP的工作方式:Active FTP 及 Passive FTP

2024-02-01 05:33:00阅读 2

為何常常連上 FTP 站台後,進去後就停留且無法列表?

防火牆有很多種,其中有一些會禁止那些不是從內部網路IP發出的連接請求。而FTP協議是個很老的東東,沒有考慮這個問題。可以這樣簡單描述一般FTP的工作原理:Client對Server發出請求:「嗨,我的xx Port正等著你傳送資料呢,Sever聽到這個請求,就會建立一個連接,指向這個Port,並且開始傳送資料。這就回到了我們的問題,如果發出請求的Client在防火牆的後面,而這個防火牆禁止外部IP建立連接,那麼當然Server(在外部)不能建立與Client的連接。

所以,過了幾年,人們修改了FTP協議以應付這種情況。這就是Passive Mode,工作原理如下:Client向Server發出Passive命令,Server回答說:「資料在xx Port等你,自己來拿。」而這回則由Client建立指向Server的連接,從而取得資料。這就避免了防火牆的限制。

FTP是一種文件傳輸協議,它支持兩種模式,一種方式叫做Standard(也就是Active,主動方式),一種是Passive(也就是PASV,被動方式)。Standard模式FTP的客戶端發送PORT命令到FTP Server。Passive模式FTP的客戶端發送PASV命令到FTP Server。

而在大部份的防火牆設定中,使用 FTP 傳輸檔案時經常會遇到需要設定使用 Passive Mode 的 FTP,但大部份的 FTP client 軟體,default 大都是 Active Mode FTP,這二種 FTP 模式在傳輸上有何不同?先了解 FTP 的工作方式,有助於了解 active FTP 及 passive FTP 的不同。

一般的 FTP 使用 TCP port 20 及 21 二個 port,正常來說, port 20 是傳輸資料用,而 port 21 傳輸命令,但事實上並不是一直使用 port 20 來傳輸資料。

Active Mode FTP (主動模式 FTP) 

 


在 Active 模式的 FTP client 一開始時會先使用一個大於 1024(N) 的 TCP port 連結至 FTP server 的port 21,然後 FTP client 會打開該 port 的下一個數字的 port (N+1) 並送至 FTPserver 說期望下次的溝通可以經由新的 port (N+1),這樣比較不會占用到 FTP server 的 port 21 而影響別的 FTP sessions,同時 FTP server 會使用 port 20 連結至 FTP client 新送過來的 port 號來傳資料。
所以在防火牆上需要打開: 

FTP server port 21 from anywhere # 給 FTP client 開始連接 
FTP server port 21 to port > 1024 # 給 FTP server 回應 client 命令 
FTP server port 20 to port > 1024 # 給 FTP server 開始資料傳輸 
FTP server port 20 from port > 1024 # 給 FTP cleint 傳送 data ACK 給 server 

所以連接順序為: 
1. FTP client use TCP port 1026 for command to FTP server command port 21 
2. FTP server use TCP port 21 responed to FTP client command port 1026 
3. FTP server use TCP port 20 for sending data to FTP client data port 1027 (1026 + 1) 
4. FTP client use TCP port 1027 ( 1026 + 1) for data ACK to FTP server port 20 

問題在於使用 Active Mode FTP 時主控權在 FTP client,FTP client 並不是真正的連至 FTP server 的data port (TCP port 20),它只是告訴 FTP server 它準備在那個 port 接收資料及port+1 傳送 ACK,並期望 FTP server 可以主動連接至 FTP client 所期望的 port,這在使用防火牆的環境中就會造成問題。

Passive Mode FTP (被動模式 FTP) 

 


解決主動模式在防火牆外面時所發生無法連接的問題,可以用被動模式 FTP,在Passive Mode FTP 下,FTP client一開始和 Active Mode FTP 一樣,打開二個 port (N > 1024 及 N+1),使用第一個port 連接至 FTP server的 port 21,並送出命令 PORT 讓 server 連至 N port 再送出 PASV 命令給 server,這樣會造成 server使用 一個大於 1024 的 port 連接至 client 並送出命令 PORT N ( N >1024 ) 給client,這樣 client 就會使用 N + 1 並開始傳輸資料。

這樣子在防火牆上需要設定:

FTP server TCP port 21 from anywhere # FTP client 開始連接至 FTP server 
FTP server TCP port 21 to port > 1024 # FTP server 回應 client 控制 
FTP server TCP port > 1024 from anywhere # FTP client 資料傳輸 
FTP server TCP port > 1024 to client port > 1024 # FTP server 回應資料 ACK至 client data port 

連接順序為: 
1. FTP client use TCP port 1026 to FTP server command port 21 via command PASV 
2. FTP server use TCP port 21 to FTP client 1026 command port for reply data port 2024 
3. FTP client use TCP port 1027 (N+1) to FTP server 2024 for data transmit and ACK 
4. FTP server use TCP port 2024 to FTP client for data transmit and ACK 

因為 Passive Mode FTP 是由 FTP server 發起一個大於 1024 的 port 至 client,在防火牆上的設定就相對簡單,而可以傳輸資料而不會被防火牆 block。因為FTP Server會開放一個隨機的高Port,儘管在IIS4和IIS5裡面Port的範圍是1024-5000,但是許多FTP Server的Port範圍卻可達到了1024-65535,這個時候在這個主動開放的隨機Port上是有完全的訪問權限喔,如果IIS也要設置成開放的Port為1024-65535,設置方法如下:

1. regedt32
2. 找到HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters
3. 編輯→新增→數值→ValueName:MaxUserPortDataType:REG_DWORDValue:65534

現在的FTP軟體裡面包括在IE5以上的版本裡面,也已經支持這兩種模式了。一般一些FTP客戶端的軟體就比較好設置了,一般都有一個PASV的選項,比如CuteFTP,傳輸的方式都有Standard和PASV的選項,可以自己進行選擇;另外在IE裡面如果要設置成PASV模式的話,可以在工具→網際網路選項→進階→使用被動式FTP(啟用),否則就採用Standard模式。

所以如果遇到了有防火牆或者怕配置麻煩的話,還是採用PASV模式比較好些,但是如果真的對安全的需求很高的話,建議採用Standard模式。如何設置Standard模式?首先要建立一條規則就是允許內部的IP連接外部的IP的21 Port;第二條就是禁止外部IP的TCP 20 Port連接內部IP小於1024的Port,這條是為了防止外部連接內部的一般Port;第三條驗證ACK是否等於1,這個的原理就要參見TCP建立連接的三方交握了。

在 Windows 下原來的 ftp client 並沒有 passive 這個指令,但可以利用 literal 指今來下給 FTP server FTP session 為 Passive Mode。方法如下: 

C:/>ftp 10.10.100.121 
Connected to 10.10.100.121. 
220 (vsFTPd 2.0.1) 
User (10.10.100.121:(none)): ftp 
331 Please specify the password. 
Password: 
230 Login successful. 
ftp> literal pasv 
227 Entering Passive Mode (10,10,100,121,242,172) 
ftp> 

可以看到進入 Passive Mode 了.使用的 port 號碼是 (242*256)+172= 62124

若是 UNIX,但 FTP client 不支援 Passive Mode 指令,可以用 quote pasv。
Linux 作業系統的話,則可以利用 Passive 指令來切換。

 

 

References:

http://vbb.twftp.org/showthread.php?t=9095

 

http://slacksite.com/other/ftp.html

网站文章

  • /usr/lib64/libstdc++.so.6: version `GLIBCXX_3.4.9' not found

    问题:./a.out: /usr/lib64/libstdc++.so.6: version `GLIBCXX_3.4.9' not found (required by /home/ycai/x10/stdlib/lib/libx10.so)可能的解决方案:第一种方案:执行strings /usr/lib64/libstdc++.so.6 | grep GLIBC

    2024-02-01 05:32:33
  • 相对(relative)定位和绝对(absolute)定位

    相对(relative)定位和绝对(absolute)定位

    首先,position的这两个属性一般是不使用的,因为有了浮动,所以我们才需要position属性来实现我们想要的布局。 1.相对定位(relative):相对于原来位置(原来位置指在文档流中默认的位置,若加上了浮动时,那么这个原来位置就是你设定浮动时的位置)的偏移,原来位置依然占据空间。 (1)box1和box2都没有设置position属性(没有设置float属性时) 效果图:我...

    2024-02-01 05:32:28
  • 威胁驱动的网络安全方法论

    威胁驱动的网络安全方法论

    本文主要内容取自洛克希德·马丁公司的论文:A Threat-Driven Approach to Cyber Security,想要全面准确了解论文内容的朋友建议阅读原文。希望能够抛砖引玉,为相关领域...

    2024-02-01 05:32:20
  • 解决eclipse集成maven插件 add dependencies搜索不到jar包的问题

    解决eclipse集成maven插件 add dependencies搜索不到jar包的问题

    背景: 新建了maven项目,要添加jar包,但有不想去网上一个一个搜索再写到pom.xml里 所以想在add dependencies中搜索添加,奈何搜索出来只有本地的那几个jar包(默认) 尝试: 去百度查了很多解决方法... 如:1、配置阿里的远程仓库,但...又报错-找不到xxx.zip文件~ 2、设置eclipse的属性啊...没有效果 3、删除...

    2024-02-01 05:32:13
  • 十年程序人生路,他是如何从某度外包逆袭成为阿里架构师的?

    十年程序人生路,他是如何从某度外包逆袭成为阿里架构师的?

    写在前面 我的一位朋友在某大型互联网公司担任架构师。刚毕业那年,他以外包的身份进入了某度,那个时候他几乎每一天都很焦虑,大家技术能力没差太多,为什么“我”是外包身份? 后来辞职,去了一家 20 人左右...

    2024-02-01 05:31:43
  • 分析国内独立开发者的现状,他们是如何生存的

    百度2013年第三季度《移动互联网发展趋势报告》报告显示: 今年第三季度,国内Android日活跃用户达到2.7亿,用户每天人均使用时长突破150分钟; 生活娱乐工具、视频、浏览器等高频或入口级应用受到用户青睐。

    2024-02-01 05:31:36
  • 【ELK系列二】es的UI界面elasticsearch-head插件安装

    【ELK系列二】es的UI界面elasticsearch-head插件安装

    安装elasticsearch-head插件由于es服务启动之后,访问界面比较丑陋,为了更好的查看索引库当中的信息,我们可以通过安装elasticsearch-head这个插件来实现,这个插件可以更方...

    2024-02-01 05:31:29
  • java 捕捉的异常抛出_Java异常抛出和捕获

    java 捕捉的异常抛出_Java异常抛出和捕获

    Java中把非正常情况分为两种,异常(Exception)和错误(Error)。异常.pngError:一般是指与虚拟机相关的问题(虚拟机错误、线程死锁等),这种错误无法回复或不可能捕获Excepti...

    2024-02-01 05:31:00
  • vue-cli中webpack配置之webpack.dev.conf.js

    vue-cli中webpack配置之webpack.dev.conf.js

    配置内容var utils = require('./utils')var webpack = require('webpack')var config = require('../config')v...

    2024-02-01 05:30:53
  • 1. VMware搭建Linux环境,安装配置centos6.5

    1. VMware搭建Linux环境,安装配置centos6.5

    1. 安装VMware,后新建虚拟机2.为我们的虚拟机挂载操作系统3、开启我们的虚拟机,为我们的虚拟机进行安装操作系统4、配置虚拟机连接网络修改linux的mac地址修改mac地址配置文件需要启动我们的linux的虚拟机,然后更改mac地址的配置文件vim /etc/u...

    2024-02-01 05:30:46