防火墙对ftp服务器访问策略怎么实现？

shuimitao

防火墙对ftp服务器访问策略怎么实现？

防火墙对ftp服务器访问策略是一个宏观的内容，不同网络对防火墙要求等级不一样，针对FTP服务的访问策略建设的防火墙尤为重要。下面我就给大家讲解一下防火墙对ftp服务器访问策略是怎么实现的。

一、基本内容

FTP是常见的基于TCP的网络服务，它使用了两个TCP连接来建立逻辑通信信道，即控制连接和数据连接。当客户端与服务器建立一个FTP会话时，使用TCP创建一个持久的控制连接以传递命令和应答。当发送文件和其它数据传输时，它们在独立的TCP数据连接上进行传递，这个连接根据需要创建和拆除。更为复杂的是，FTP标准指定了创建数据连接的两种不同方法，即正常（主动）数据连接和被动数据连接。FTP的控制连接总是由客户端首先发起的，主动数据连接是由服务器端发起的，被动数据连接是由客户端发起的。成功建立控制连接后，在进行主动连接时，客户端发送PORT命令，其中内嵌了地址和端口信息，以告知服务器进行连接，然后服务器打开默认端口20建立到客户端已告知地址和端口的数据连接。在进行被动连接时，客户机使用PASV命令告诉服务器等待客户机建立数据连接，服务器响应，告诉客户机为了数据传输它应该使用服务器上的什么端口（随机打开）。这种工作机制带来了一个严重的问题：在FTP的命令（PORT或PASV）或对它们的回答中传递IP地址及端口号与网络分层机制严重冲突，在FTP客户端与服务器的通信信道之间的网关设备（防火墙或路由器）上启用了NAT功能的情况下将出现连接性问题。

二、应用原理

防火墙对于像FTP这样的多端口连接的TCP应用，其影响是深远的，在复杂的网络环境中，更是由于设备、软件的多样性可能导致不可预知的问题。作为一名网络管理员，深入了解防火墙和FTP的工作原理及其在NAT环境下防火墙对FTP的影响，对于选择FTP服务软件及安装、部署、管理及维护FTP服务和实际工作中排除FTP应用故障是大有裨益的。本文就以一个在实际环境中比较常见的FTP部署和应用拓扑为例，来详细解读防火墙（启用了NAT功能）对FTP的影响。如有不当之处，敬请指正。

三、主动连接分析

如本例中网络拓扑所示，IP为192.168.1.1客户端计算机打开一个可用的TCP端口1025，经过其前端的防火墙进行NAT转换成地址1.1.1.1和端口1025后建立到目标地址为2.2.2.2的21端口的连接，然后服务器前端的防火墙将此连接信息传递到服务器172.16.6.1的21端口，成功建立FTP控制连接。服务器则经由这个已经建立的逻辑连接通道返回数据包，与客户端进行交互。接着，客户端发出PORT指令，在指令中嵌入了地址信息（IP:192.168.1.1，Port:1026），告知服务器用于数据连接，并打开端口1026，等待服务器连接。当承载PORT指令的数据包到达客户机前端的防火墙时，由于NAT的缘故，在成功创建NAT表项，改写数据包的IP和TCP端口信息后：如果此时防火墙不能识别并检查此连接是FTP应用，便不能对PORT指令中嵌入的地址和端口信息进行改写，则将此数据包通过先前已建立的控制连接通道传递到服务器后，服务器则打开20端口，将建立到192.168.1.1的1026端口的数据连接。显然，此连接数据包要么被其前端的防火墙丢弃，要么在流入因特网后立刻被丢弃，永远无法到达客户端。

有需要服务器请联系TG：@cdnsun微信：wxid_ztk1dt6yzw9u22