FTP的主动模式与被动模式

1. FTP主动模式

FTP客户端向服务器的FTP控制端口(默认是21)发送连接请求，服务器接受连接，建立一条命令链路；当需要传送数据时，客户端在命令链路上用PORT的命令告诉服务器我开放了某端口，你过来连接我。于是服务器从20端口向客户端的该端口发送连接请求，建立一条数据链路来传送数据。在数据链路建立过程中是服务器主动请求，所以称为主动模式。

针对FTP服务器前面的防火墙来说，必须允许以下通讯才能支持主动方式FTP：

1. 任何大于1024的端口到FTP服务器的21端口。（客户端初始化的连接）

2. FTP服务器的21端口到大于1024的端口。 （服务器响应客户端的控制端口）

3. FTP服务器的20端口到大于1024的端口。（服务器端初始化数据连接到客户端的数据端口）

4. 大于1024端口到FTP服务器的20端口（客户端发送ACK响应到服务器的数据端口）

2. FTP被动模式

FTP客户端向服务器的FTP控制端口(默认21)发送连接请求，服务器接受连接，建立一条命令链路；当需要传送数据时，服务器在命令链路上用PASV命令告诉客户端，我打开了某端口，你过来连我。于是客户端向服务器的该端口发送连接请求，建立一条数据链路来传送数据。在数据链路建立的过程中是服务器被动等待客户机的请求，所以称被动模式。

对于服务器端的防火墙来说，必须允许下面的通讯才能支持被动方式的FTP:

1. 从任何大于1024的端口到服务器的21端口（客户端初始化的连接）

2. 服务器的21端口到任何大于1024的端口（服务器响应到客户端的控制端口的连接）

3. 从任何大于1024端口到服务器的大于1024端口（客户端初始化数据连接到服务器指定的任意端口）

4. 服务器的大于1024端口到远程的大于1024的端口（服务器发送ACK响应和数据到客户端的数据端口）

3. FTP主动、被动模式的优缺点

主动FTP对FTP服务器的管理有利，但对客户端的管理不利。因为FTP服务器企图与客户端的高位随机端口建立连接，而这个端口很有可能被客户端的防火墙阻塞掉。

被动FTP对FTP客户端的管理有利，但对服务器端的管理不利。因为客户端要与服务器端建立两个连接，其中一个连到一个高位随机端口，而这个端口很有可能被服务器端的防火墙阻塞掉。

幸运的是，有折衷的办法。既然FTP服务器的管理员需要他们的服务器有最多的客户连接，那么必须得支持被动FTP。我们可以通过为FTP服务器指定一个有限的端口范围来减小服务器高位端口的暴露。这样，不在这个范围的任何端口会被服务器的防火墙阻塞。虽然这没有消除所有针对服务器的危险，但它大大减少了危险。