收到通知，需要寫一個(gè)FTP的軟件，之前只是簡(jiǎn)單使用其登陸和文件的下載功能，故現(xiàn)在趁這個(gè)機(jī)會(huì)進(jìn)行詳細(xì)梳理下，并借鑒網(wǎng)上的相關(guān)資料，現(xiàn)進(jìn)行分享，一起學(xué)習(xí)。

1.什么是FTP協(xié)議？

FTP的中文名稱是“文件傳輸協(xié)議”，是File Transfer Protocol三個(gè)英文單詞的縮寫。FTP協(xié)議是TCP/IP協(xié)議組中的協(xié)議之一，其傳輸效率非常高，在網(wǎng)絡(luò)上傳輸大的文件時(shí)，經(jīng)常采用該協(xié)議。

一個(gè)完整的FTP由FTP服務(wù)器和FTP客戶端組成，客戶端可以將服務(wù)器上的文件通過(guò)FTP協(xié)議下載到本地，也可以將本地?cái)?shù)據(jù)通過(guò)FTP協(xié)議上傳到服務(wù)器上。

（1）服務(wù)器端需要安裝FTP服務(wù)軟件，常用的有FileZilla Server、IIS、Serv-U、OSSFTP等等。

·?不同的FTP軟件對(duì)FTP協(xié)議標(biāo)準(zhǔn)支持有所差別，以使用經(jīng)驗(yàn)來(lái)說(shuō)，F(xiàn)ileZilla Server是對(duì)FTP協(xié)議支持最好的軟件，它具有以下幾個(gè)特點(diǎn)：體積?。?M左右）、免費(fèi)開(kāi)源、操作簡(jiǎn)單、功能完善（我們所需要的有功能它基本都支持）。

·?IIS對(duì)FTP協(xié)議的支持也很不錯(cuò)。

·?Serv-U有幾個(gè)命令支持不是很好，這個(gè)軟件也是收費(fèi)軟件，沒(méi)感覺(jué)比FileZilla Server好多少。

·?OSSFTP是阿里云對(duì)象存儲(chǔ)提供的FTP Server，對(duì)FTP標(biāo)準(zhǔn)協(xié)議支持就更差了。

（2）FTP客戶端軟件就比較多了，常用的有FileZilla、FlashFXP、WinSCP、甚至在瀏覽器和windows資源管理器中輸入FTP地址都可以當(dāng)做FTP客戶端來(lái)使用。我們的FtpCopy也屬于FTP客戶端。

2.FTP的兩個(gè)TCP連接

?

左側(cè)為客戶端，右側(cè)為FTP服務(wù)器，無(wú)論是上傳還是下載，客戶端與服務(wù)器之間都會(huì)建立2個(gè)TCP連接會(huì)話，綠色是控制連接，紅色的是數(shù)據(jù)連接。其中，控制連接用于傳輸FTP命令，如：刪除文件、重命名文件、下載文件、列取目錄、獲取文件信息等。真正的數(shù)據(jù)傳輸時(shí)通過(guò)數(shù)據(jù)連接來(lái)完成的。

默認(rèn)情況下，服務(wù)器21端口作為命令端口，20端口為數(shù)據(jù)端口。但被動(dòng)模式下就有所差別了。

剛接觸FTP的朋友，經(jīng)常搞不清楚FTP的主動(dòng)模式和被動(dòng)模式，造成連接被防火墻攔截，下面我們就詳細(xì)了解下FTP的這兩種模式：

<1>FTP的主動(dòng)模式

主動(dòng)模式是FTP的默認(rèn)模式，也稱為PORT模式。

1). 在主動(dòng)模式下，客戶端會(huì)開(kāi)啟N和N+1兩個(gè)端口，N為客戶端的命令端口，N+1為客戶端的數(shù)據(jù)端口。

第一步，客戶端使用端口N連接FTP服務(wù)器的命令端口21，建立控制連接并告訴服務(wù)器我這邊開(kāi)啟了數(shù)據(jù)端口N+1。

第二步，在控制連接建立成功后，服務(wù)器會(huì)使用數(shù)據(jù)端口20，主動(dòng)連接客戶端的N+1端口以建立數(shù)據(jù)連接。這就是FTP主動(dòng)模式的連接過(guò)程。

我們可以看到，在這條紅色的數(shù)據(jù)連接建立的過(guò)程中，服務(wù)器是主動(dòng)的連接客戶端的，所以稱這種模式為主動(dòng)模式。

上面這張圖是通過(guò)netstat命令查看到的ftp主動(dòng)模式下TCP的連接信息，首先客戶端使用49195端口連接服務(wù)器21端口建立控制連接，然后服務(wù)器使用20端口連接客戶端49197端口建立數(shù)據(jù)連接。

這里需要補(bǔ)充下，客戶端的命令端口和數(shù)據(jù)端口實(shí)際中并不是有些文章寫道的N和N+1的關(guān)系，兩個(gè)端口比較接近而已。

2). 主動(dòng)模式有什么利弊呢？

主動(dòng)模式對(duì)FTP服務(wù)器的管理有利，因?yàn)镕TP服務(wù)器只需要開(kāi)啟21端口的“準(zhǔn)入”和20端口的“準(zhǔn)出”即可。

但這種模式對(duì)客戶端的管理不利，因?yàn)镕TP服務(wù)器20端口連接客戶端的數(shù)據(jù)端口時(shí)，有可能被客戶端的防火墻攔截掉。

3). 如何解決客戶端防火墻攔截“數(shù)據(jù)連接”的建立呢？

（1）如果防火墻開(kāi)啟了“攔截通知”，在使用FTP軟件連接服務(wù)器時(shí)，防火墻會(huì)彈出下面這個(gè)提醒，只需要點(diǎn)擊“允許訪問(wèn)”就可以建立連接了

（2）如果防火墻沒(méi)有開(kāi)啟“攔截通知”，則需要我們的應(yīng)用程序添加到防火墻的“允許的程序”列表中。如圖所示，允許FlashFXP.exe和WinSCP以主動(dòng)模式連接FTP服務(wù)器。

<2>FTP的被動(dòng)模式

上面所講的是FTP主動(dòng)模式，簡(jiǎn)單的理解就是服務(wù)器的數(shù)據(jù)端口20主動(dòng)連接客戶端的數(shù)據(jù)端口，來(lái)建立數(shù)據(jù)連接，用來(lái)傳輸數(shù)據(jù)，這個(gè)數(shù)據(jù)連接的建立有可能被客戶端防火墻攔截掉。為了解決這個(gè)問(wèn)題就衍生出另外一種連接模式---被動(dòng)模式。被動(dòng)模式也稱為passive模式。

1). 被動(dòng)模式是如何運(yùn)作的呢？來(lái)看下這張圖

第一步，客戶端的命令端口N主動(dòng)連接服務(wù)器命令端口21，并發(fā)送PASV命令，告訴服務(wù)器用“被動(dòng)模式”，控制連接建立成功后，服務(wù)器開(kāi)啟一個(gè)數(shù)據(jù)端口P，通過(guò)PORT命令將P端口告訴客戶端。

第二步，客戶端的數(shù)據(jù)端口N+1去連接服務(wù)器的數(shù)據(jù)端口P，建立數(shù)據(jù)連接。我們可以看到，在這條紅色的數(shù)據(jù)連接建立的過(guò)程中，服務(wù)器是被動(dòng)的等待客戶端來(lái)連接的，所以稱這種模式為被動(dòng)模式。

上面這張圖是通過(guò)netstat命令查看到的“被動(dòng)模式”下的TCP連接情況，首先客戶端49222端口去連接服務(wù)器的21端口，建立控制連接。然后客戶端的49224端口連接服務(wù)器的6008端口去建立數(shù)據(jù)連接。

這里有兩點(diǎn)需要補(bǔ)充

·?第一，客戶端的命令端口和數(shù)據(jù)端口實(shí)際中并不是有些文章寫道的N和N+1的關(guān)系，兩個(gè)端口比較接近而已；

·?第二，服務(wù)器的數(shù)據(jù)端口P是隨機(jī)的，這個(gè)客戶端連接過(guò)來(lái)用的是6008端口，另外一個(gè)連接過(guò)來(lái)可能用的就是7009，不過(guò)P端口的范圍是可以設(shè)置的。

?

2). 被動(dòng)模式有什么利弊呢？

被動(dòng)模式對(duì)FTP客戶端的管理有利，因?yàn)榭蛻舳说拿疃丝诤蛿?shù)據(jù)端口都是“準(zhǔn)出”，windows防火墻對(duì)于“準(zhǔn)出”一般是不攔截的，所以客戶端不需要任何多余的配置就可以連接FTP服務(wù)器了。

但對(duì)服務(wù)器端的管理不利。因?yàn)榭蛻舳藬?shù)據(jù)端口連到FTP服務(wù)器的數(shù)據(jù)端口P時(shí)，很有可能被服務(wù)器端的防火墻阻塞掉。

3). 如何解決服務(wù)器端防火墻攔截“數(shù)據(jù)連接”的建立呢？

為了解決P端口的“準(zhǔn)入”不被服務(wù)器防火墻攔截，需要在服務(wù)器端設(shè)定P端口的范圍，并在防火墻中開(kāi)啟這個(gè)范圍端口的“準(zhǔn)入”。這張圖是在FileZilla Server中指定被動(dòng)模式的數(shù)據(jù)端口范圍為6000-7000，然后在windows防火墻中配置6000-700端口允許“準(zhǔn)入”。

3.FTP服務(wù)器安全性設(shè)置

一般我們使用FTP主要用于備份下載服務(wù)器上的數(shù)據(jù)，有時(shí)也需要將本地的數(shù)據(jù)上傳至服務(wù)器上備份。如果服務(wù)器在外網(wǎng)之中，服務(wù)器的每個(gè)端口的開(kāi)放都需要嚴(yán)格控制，如何安全的設(shè)置我們的FTP服務(wù)器呢,可如下操作：

1). 合理的設(shè)置FTP賬號(hào)和權(quán)限

為每個(gè)賬號(hào)設(shè)置密碼和權(quán)限，比如說(shuō)：如果只是下載數(shù)據(jù)，只要給FTP賬號(hào)分配文件的read權(quán)限和目錄的List列取目錄權(quán)限即可。

2). 服務(wù)器21端口添加21端口限定

無(wú)論是主動(dòng)模式還是被動(dòng)模式，第一步都是客戶端連接服務(wù)器的21端口建立控制連接。因此我們可以在防火墻的21端口上設(shè)置IP限定，僅允許我們的備份電腦的IP或IP段連接服務(wù)器21端口，這樣其他人就無(wú)法使用FTP暴力破解FTP賬號(hào)和密碼了。

3). 禁止FTP服務(wù)器管理控制臺(tái)的遠(yuǎn)程管理功能

FTP服務(wù)器管理控制臺(tái)：主要用于設(shè)置FTP賬號(hào)、FTP目錄、FTP的命令端口和數(shù)據(jù)端口、下載速度和上傳速度等等。

FTP管理控制臺(tái)并不是所有FTP軟件都支持遠(yuǎn)程訪問(wèn)的，比如IIS中設(shè)置FTP需要在IIS中設(shè)置，它的控制臺(tái)就是IIS，只有登錄服務(wù)器系統(tǒng)才可以設(shè)置IIS。

默認(rèn)情況下FileZilla Server的控制臺(tái)是只允許本機(jī)登錄的，我們不需要做任何設(shè)置，保持默認(rèn)配置即可。

這里我們還是有必要了解下如何開(kāi)啟FileZilla Server控制臺(tái)的遠(yuǎn)程訪問(wèn)：

（1）防火墻打開(kāi)14147端口的“準(zhǔn)入”，14147端口為FileZilla Server控制臺(tái)端口；

（2）配置FTP服務(wù)器的IP地址；

（3）配置允許訪問(wèn)FileZilla Server控制臺(tái)的終端。

這樣我們配置的192.168.25.1就可以遠(yuǎn)程連接192.168.25.133服務(wù)器上的控制臺(tái)，進(jìn)行賬號(hào)和權(quán)限設(shè)置等。

?

4.防火墻部分的總結(jié)

1). FTP主動(dòng)模式下防火墻設(shè)置

（1）服務(wù)器沒(méi)有“物理防火墻”的情況下，只需要在服務(wù)器操作系統(tǒng)中開(kāi)啟21端口的準(zhǔn)入，20端口的準(zhǔn)出默認(rèn)是允許的（Windows系統(tǒng)防火墻默認(rèn)是不攔截“準(zhǔn)出”的）。

（2）服務(wù)器有“物理防火墻”的情況下，需要在“物理防火墻”中開(kāi)啟21端口的準(zhǔn)入，20端口的準(zhǔn)出。

（3）客戶端需要設(shè)置“允許應(yīng)用程序通過(guò)防火墻”（WinSCP.exe、FlashFXP等）

2). FTP主動(dòng)模式下防火墻設(shè)置

（1）服務(wù)器需要開(kāi)啟21端口準(zhǔn)入，并設(shè)置被動(dòng)模式數(shù)據(jù)端口范圍P，并在防火墻中開(kāi)啟P的準(zhǔn)入。

（2）客戶端一般不需要設(shè)置任何防火墻，因?yàn)镹和N+1一般是可以出去的。