FTP 主动模式和被动模式

FTP可以运行两种模式：主动模式和被动模式。FTP的客户端和服务器之间有两个通道，分别是命令通道和数据通道 ，这两个通道存在的目的是把TCP连接分开。命令通道用来发送命令和接收响应，数据通道专门用来传输文件。这样设计有一个很大的好处就是：命令的发送不用等待数据传输完成。

主动模式

在主动模式中，客户端从任意非特殊端口（N>1023）接入服务器 命令端口 21，建立命令通道；然后客户端会发送N+1端口到服务器 数据端口 20，客户端开始监听N+1端口，服务器端用本地的20端口和客户端发送的N+1端口连接，建立数据通道。

具体过程如下图：



客户端启动一个随机端口1026与服务器21端口建立命令通道，并发送

PORT 1027

命令

服务器在收到客户端命令后发送

ACK

给客户端命令端口1026

服务器端用本地20端口连接客户端的1027端口，建立数据通道

客户端发送

ACK

给服务器端

主动方式FTP的主要问题在于数据通道由服务器端建立。FTP的客户端并没有实际建立一个到服务器数据端口的连接，它只是简单的告诉服务器自己监听的端口号，服务器再回来连接客户端这个指定的端口。对于客户端的防火墙来说，这是从外部系统建立到内部客户端的连接，这是通常会被阻塞的。

被动模式

在被动模式中，客户端打开两个非任意端口（N和N+1）,第一个端口连接服务器21端口，建立命令通道，然后再发送一个PASV命令给服务器端。服务器端在收到PASV命令后会开启一个任意非特殊端口（P>1024）,并发送 PORT P给客户端，然后客户端从本地端口N+1向服务器端口P发起连接，建立数据通道。

具体过程如下图：



客户端启动一个随机端口1026与服务器21端口建立命令通道，并发送

PASV

命令告知服务器自己处于被动模式

服务器在收到客户端命令后发送

PORT 2024

给客户端命令端口1026

客户端端口启动一个1027端口与服务器端2024端口连接，建立数据通道

服务器端发送

ACK

给客户端

被动模式命令通道和数据通道都由客户端建立，因此被动模式通常被用作FTP服务器无法建立数据通道的场景，主要的一个原因就是网络防火墙。比如你有一个防火墙规则允许你打开一个FTP通道到ftp.microsoft.com，但微软的服务器则无法通过你的防火墙打开一个数据通道。

主动和被动模式的优缺点

主动模式因为是服务器端发起数据连接，对FTP服务器的管理有利，但对客户端的管理不利。因为FTP服务器企图与客户端的高位随机端口建立连接，而这个端口很有可能被客户端的防火墙阻塞掉。被动FTP对FTP客户端的管理有利，但对服务器端的管理不利。因为客户端要与服务器端建立两个连接，其中一个连到一个高位随机端口，而这个端口很有可能被服务器端的防火墙阻塞掉。

幸运的是，有折衷的办法。既然FTP服务器的管理员需要他们的服务器有最多的客户连接，那么必须得支持被动FTP。我们可以通过为FTP服务器指定一个有限的端口范围来减小服务器高位端口的暴露。这样，不在这个范围的任何端口会被服务器的防火墙阻塞。虽然这没有消除所有针对服务器的危险，但它大大减少了危险。