FTP的主動被動和相關的防火牆設置
|
ftp分爲兩大類：主動FTP，也就是一般的FTP﹔被動FTP；
主動FTP
主動方式的FTP是這樣的：客戶端從一個任意的非特權端口N（N>1024）連接到FTP服務器的命令端口，也就是21端口。然後客戶端開始端口N+1，併發送FTP命令“port N+1”到FTP服務器。接着服務器會從它自己的數據端口（20）連接到客戶端指定的數據端口（N+1）。
針對FTP服務器前面的防火牆來說，必須允許以下通訊才能支持主動方式FTP：
1. 任何端口到FTP服務器的21端口 （客戶端初始化的連接 S<-C）
2. FTP服務器的21端口到大於1024的端口（服務器響應客戶端的控制端口 S->C） 3. FTP服務器的20端口到大於1024的端口（服務器端初始化數據連接到客戶端的數據端口 S->C） 4. 大於1024端口到FTP服務器的20端口（客戶端發送ACK響應到服務器的數據端口 S<-C） 主動方式FTP的主要問題實際上在於客戶端。FTP的客戶端並沒有實際建立一個到服務器數據端口的連接，它只是簡單的告訴服務器自己****的端口號，服務器再回來連接客戶端這個指定的端口。對於客戶端的防火牆來說，這是從外部系統建立到內部客戶端的連接，這是通常會被阻塞的。 防火牆設置的例子 建置一個防火牆下的FTP server，使用主動FTP(Port FTP) mode：預設的FTP port:21 以及FTP data port:20 執行以下兩行指令，只允許port 21 以及port 20 開放，其它關閉。 iptables -A INPUT -p tcp -m multiport --dport 21,20 -j ACCEPT iptables -A INPUT -p tcp -j REJECT --reject-with tcp-reset 以vsFTP爲例子. 修改/etc/vsFTPd/vsFTPd.conf
新增底下兩行 listen_port=21 ftp_data_port=20 設置錯會出現的情況
FTP client（如cuteFTP）的聯機方式不能夠選擇passive mode，否則無法建立數據的聯機。也就是讀者可以連上FTP server，但是執行ls、get 等等的指令時，便無法運作。 被動FTP
爲了解決服務器發起到客戶的連接的問題，人們開發了一種不同的FTP連接方式。這就是所謂的被動方式，或者叫做PASV，當客戶端通知服務器它處於被動模式時才啓用。
在被動方式FTP中，命令連接和數據連接都由客戶端，這樣就可以解決從服務器到客戶端的數據端口的入方向連接被防火牆過濾掉的問題。當開啓一個 FTP連接時，客戶端打開兩個任意的非特權本地端口（N > 1024和N+1）。第一個端口連接服務器的21端口，但與主動方式的FTP不同，客戶端不會提交PORT命令並允許服務器來回連它的數據端口，而是提交 PASV命令。這樣做的結果是服務器會開啓一個任意的非特權端口（P > 1024），併發送PORT P命令給客戶端。然後客戶端發起從本地端口N+1到服務器的端口P的連接用來傳送數據。
對於服務器端的防火牆來說，必須允許下面的通訊才能支持被動方式的FTP:
1. 從任何端口到服務器的21端口 （客戶端初始化的連接C->S）
2. 服務器的21端口到任何大於1024的端口 （服務器響應到客戶端的控制端口的連接 S->C） 3. 從任何端口到服務器的大於1024端口 （入；客戶端初始化數據連接到服務器指定的任意端口 S<-C） 4. 服務器的大於1024端口到遠程的大於1024的端口（出；服務器發送ACK響應和數據到客戶端的數據端口 S->C） 防火牆設置的例子
建置一個防火牆下的FTP server，使用被動FTP(Port FTP) mode：FTP port:21 以及FTP data port 從9981 到9986。 執行以下兩行指令，只允許port 21 以及port 9981-9990 開放，其它關閉。 iptables -A INPUT -p tcp -m multiport --dport 21,9981,9982,9983,9984,9985,9986,9987,9988,9989,9990 -j ACCEPT iptables -A INPUT -p tcp -j REJECT --reject-with tcp-reset FTP軟件本身的設置
以vsFTP爲例子. 修改/etc/vsFTPd/vsFTPd.conf 新增底下四行 listen_port=21 pasv_enable=YES pasv_min_port=9981 pasv_max_port=9986 設置錯會出現的情況
這個例子中，FTP client（如cuteFTP）的聯機方式必須選擇passive mode，否則無法建立數據的聯機。也就是讀者可以連上FTP server，但是執行ls,get 等等的指令時，便無法運作。 |