1、ftp原理介紹

FTP只通過TCP連接,沒有用於FTP的UDP組件.FTP不同於其他服務的是它使用了兩個端口, 一個數據端口和一個命令端口(或稱為控制端口)。通常21端口是命令端口，20端口是數據端口。當混入主動/被動模式的概念時，數據端口就有可能不是20了。

主動模式（port）：

主動模式下，FTP客戶端從任意的非特殊的端口（N > 1023）連入到FTP服務器的命令端口--21端口。然後客戶端在N+1（N+1 >= 1024）端口監聽，並且通過N+1（N+1 >= 1024）端口發送命令給FTP服務器。服務器會反過來連接用戶本地指定的數據端口，比如20端口。

以服務器端防火墻為立足點，要支持主動模式FTP需要打開如下交互中使用到的端口：

• FTP服務器命令（21）端口接受客戶端任意端口（客戶端初始連接）
• FTP服務器命令（21）端口到客戶端端口（>1023）（服務器響應客戶端命令）
• FTP服務器數據（20）端口到客戶端端口（>1023）（服務器初始化數據連接到客戶端數據端口）
• FTP服務器數據（20）端口接受客戶端端口（>1023）（客戶端發送ACK包到服務器的數據端口）

被動模式（pasv）：

為了解決服務器發起到客戶的連接的問題，人們開發了一種不同的FTP連接方式。這就是所謂的被動方式，或者叫做PASV，當客戶端通知服務器它處於被動模式時才啟用。

　　在被動方式FTP中，命令連接和數據連接都由客戶端，這樣就可以解決從服務器到客戶端的數據端口的入方向連接被防火墻過濾掉的問題。當開啟一個FTP連接時，客戶端打開兩個任意的非特權本地端口（N >; 1024和N+1）。第一個端口連接服務器的21端口，但與主動方式的FTP不同，客戶端不會提交PORT命令並允許服務器來回連它的數據端口，而是提交PASV命令。這樣做的結果是服務器會開啟一個任意的非特權端口（P >; 1024），並發送PORT P命令給客戶端。然後客戶端發起從本地端口N+1到服務器的端口P的連接用來傳送數據。

　　 對於服務器端的防火墻來說，必須允許下面的通訊才能支持被動方式的FTP:

• FTP服務器命令（21）端口接受客戶端任意端口（客戶端初始連接）
• FTP服務器命令（21）端口到客戶端端口（>1023）（服務器響應客戶端命令）
• FTP服務器數據端口（>1023）接受客戶端端口（>1023）（客戶端初始化數據連接到服務器指定的任意端口）
• FTP服務器數據端口（>1023）到客戶端端口（>1023）（服務器發送ACK響應和數據到客戶端的數據端口）

總結：

主動FTP：
　　命令連接：客戶端 >1023端口 -> 服務器 21端口

2、ftp應用說明

主動FTP對FTP服務器的管理有利，但對客戶端的管理不利。因為FTP服務器企圖與客戶端的高位隨機端口建立連接，而這個端口很有可能被客戶端的防火墻阻塞掉。被動FTP對FTP客戶端的管理有利，但對服務器端的管理不利。因為客戶端要與服務器端建立兩個連接，其中一個連到一個高位隨機端口，而這個端口很有可能被服務器端的防火墻阻塞掉。

基礎知識鏈接：https://www.cnblogs.com/xiaohh/p/4789813.html

3、被動模式配置

FTP具有兩種模式，分別是port模式(也叫主動模式)和pasv模式(也叫被動模式)，怎麽來理解這兩種模式呢?我來打個比喻吧，在 動模式下:客戶端給服務器端的21端口發命令說，我要下載什麽什麽，並且還會說我已經打開了自己的某個端口，你就從這裏把東西給我吧，服務器知道後就會通 過另外一個數據端口把東西傳給客戶端，可以理解為服務端主動給客戶端傳輸文件;在被動模式下:客戶端給服務器端的21端口發命令說，我要 下載什麽什麽，服務器端知道後，就打開一個端口，然後告訴客戶端，我已經打開了某某端口，你自己進去拿吧，於是客戶端就從那個端口進去拿文件了，可以理解為服務端被客戶端拿走了東西。

在很久以前(我也不知道多久)，地球上還沒有什麽共享上網這種技術，但是後來出現了，所以也就有了下面的問題，大家都知道，共享上網就是很 多臺電腦共享一個公網IP去使用internet，再打個比喻吧，某個局域網共享210.33.25.1這個公網IP上網，當一個內網用戶 192.168.0.100去訪問外網的FTP服務器時，如果采用主動模式的話，192.168.0.1告訴了FTP服務器我需要某個文件和我打開了x端 口之後，由於共享上網的原因，192.168.0.1在出網關的時候自己的IP地址已經被翻譯成了210.33.25.1這個公網IP，所以服務器端收到 的消息也就是210.33.25.1需要某個文件並打開了x端口，FTP服務器就會往210.33.25.1的x端口傳數據，這樣當然會連接不成功了，因 為打開x端口的並不是210.33.25.1這個地址，在這種情況下被動模式就有用了，相信大家已經能夠理解被動模式是怎麽個連接法了吧。

　　在主動模式中，FTP的兩個端口是相對固定的，如果命令端口是x的話，那數據端口就是x-1，也就是說默認情況下，命令端口是21，數據端口就 是20;你把命令端口改成了123，那麽數據端口就是122。這樣使用防火墻就很方便了，只要開通這兩個端口就可以了，但是如果客戶端是共享上網的話那豈 不是不能正常使用FTP了，這樣還是不行，一定需要被動模式。

基於共享上網模式，只能使用被動模式。該案例中，被動模式命令端口：21，數據端口：18001-18002，一共服務端需要做3個端口映射。

FTP搭建 共享上網 穿透內網外網