1、针对FTP服务器前面的防火墙来说，必须允许以下通讯才能支持主动方式FTP：1） 任何大于1024的端口到FTP服务器的21端口。（客户端初始化的连接）2） FTP服务器的21端口到大于1024的端口。 （服务器响应客户端的控制端口）3） FTP服务器的20端口到大于1024的端口。（服务器端初始化数据连接到客户端的数据端口）4） 大于1024端口到FTP服务器的20端口（客户端发送ACK响应到服务器的数据端口） 被动FTP为了解决服务器发起到客户的连接的问题，人们开发了一种不同的FTP连接方式。这就是所谓的被动方式，或者叫做PASV，当客户端通知服务器它处于被动模式时才启用。在被动方式FTP中
2、，命令连接和数据连接都由客户端发起，这样就可以解决从服务器到客户端的数据端口的入方向连接被防火墙过滤掉的问题。当开启一个 FTP连接时，客户端打开两个任意的非特权本地端口（N 1024和N+1）。第一个端口连接服务器的21端口，但与主动方式的FTP不同，客户端不会提交PORT命令并允许服务器来回连它的数据端口，而是提交 PASV命令。这样做的结果是服务器会开启一个任意的非特权端口（P 1024），并发送PORT P命令给客户端。然后客户端发起从本地端口N+1到服务器的端口P的连接用来传送数据。对于服务器端的防火墙来说，必须允许下面的通讯才能支持被动方式的FTP:1） 从任何大于1024的端口到
3、服务器的21端口 （客户端初始化的连接）2） 服务器的21端口到任何大于1024的端口 （服务器响应到客户端的控制端口的连接）3） 从任何大于1024端口到服务器的大于1024端口 （客户端初始化数据连接到服务器指定的任意端口）4） 服务器的大于1024端口到远程的大于1024的端口（服务器发送ACK响应和数据到客户端的数据端口） 总结 主动FTP（PORT模式）：命令连接：客户端1023端口 服务器 21端口数据连接：客户端 1023端口 服务器 1023端口在被动模式下：FTP服务器的控制端口是21，数据端口是随机的，且是客户端去连接对应的数据端口，所以在做静态的映射话只开放21端口是不可
4、以的。此时需要做DMZ。防火墙有很多种，其中有一些会禁止那些不是从内部网络IP发出的连接请求。而ftp协议是个很老的东东，没有考虑这个问题。可以这样简单描述一般ftp的工作原理：client对server发出请求：“嗨，我的xx端口正等着你传送数据呢，sever听到这个请求，就会建立一个连接，指向这个端口，并且开始传送数据。这就回到了我们的问题，如果发出请求的client在防火墙的后面，而这个防火墙禁止外部IP建立连接，那么当然server（在外部）不能建立与client的连接。所以，过了几年，人们修改了ftp协议以应付这种情况。这就是passive mode，工作原理如下：client向se
5、rver发出passive命令，server回答说：“数据在xx端口等你，自己来拿。” 而这回则由client建立指向server的连接，从而取得数据。这就避免了防火墙的限制。主动FTP对FTP服务器的管理有利，但对客户端的管理不利。因为FTP服务器企图与客户端的高位随机端口建立连接，而这个端口很有可能被客户端的防火墙阻塞掉，例如：当客户端使用PORT登录方式时，FTP 服务器将无法连接客户端建立数据链路。因为客户端没有公网IP地址，这种情况下，客户端必须使用PASV登录方式。这就是很多内网用户不能登录FTP服务器的一个重要原因。被动FTP对FTP客户端的管理有利，但对服务器端的管理不利。因为
6、客户端要与服务器端建立两个连接，其中一个连到一个高位随机端口，而这个端口很有可能被服务器端的防火墙阻塞掉。幸运的是，我们可以通过为FTP服务器指定一个有限的端口范围来减小服务器高位端口的暴露。这样，不在这个范围的任何端口会被服务器的防火墙阻塞。虽然这没有消除所有针对服务器的危险，但它大大减少了危险。1.3 FTP服务器的种类 Server-U：Serv-U是一种被广泛运用的FTP服务器端软件，支持3x/9x/ME/NT/2K/2000/xp等全Windows系列。可以设定多个FTP服务器、限定登录用户的权限、登录主目录及空间大小等，功能非常完备。 它具有非常完备的安全特性，支持SSl FTP传
7、输，支持在多个Serv-U和FTP客户端通过SSL加密连接保护您的数据安全等。 FileZilla：是一款经典的开源FTP解决方案，包括FileZilla客户端和FileZillaServer。其中，FileZillaServer的功能比起商业软件FTP Serv-U毫不逊色。无论是传输速度还是安全性方面，都是非常优秀的一款。 VsFTP：VSFTP是一个基于GPL发布的类Unix系统上使用的FTP服务器软件，它的全称是Very Secure FTP 从此名称可以看出来，编制者的初衷是代码的安全。 IIS FTP：Windows Server 2003中自带的FTP服务器，需要配置启动使用。2
8、 Apache FtpServer入门2.1 介绍Apache FtpServer是一个基于Apache MINA（一个高性能的Java异步并发网络通讯框架）开发的FTP 服务器。 既可以嵌到Java应用中使用，也可以做为Windows服务或Unix/Linux Daemon单独运行。此外还提供与Spring相集成的模块。2.2 Apache FtpServer安装配置2.2.1 环境准备 JDK由于Apache FtpServer是基于Apache MINA的开源FTP服务器，Apache FtpServer需要在JDK环境中正常工作。这里安装JDK环境为：JDK1.6.0_31 Apach
9、e FtpServer本文以下载的apache-ftpserver-1.0.6.zip版本为例。2.2.2 安装配置步骤1） 解压安装包解压apache-ftpserver-1.0.6.zip到本地磁盘中，如D:ftpserver-1.0.6，解压目录如下：2） 修改配置文件打开Apache FtpServer解压目录下的resconf ftpd-typical.xml对配置文件作如下修改：其中server元素配置说明：3） 用户配置Apache FtpServer同时支持文件方式和数据库方式的用户管理。这里只介绍文件方式的用户管理配置。之前修改配置文件中可能已经注意到，server元素下的用
10、户配置项：属性说明： file：存储用户的properties文件路径； encrypt-passwords：用户密码加密方式。对encrypt-passwords的配置说明：打开Apache FtpServer解压目录下的resconf users.properties这里创建新用户beshs（密码：beshs），并对用户配置修改如下：这里需要说明的是，若writepermission属性设置为false，用户对FTP服务器是没有写权限的，即用户文件的上传是不被允许的。2.2.3 开启FtpServer服务打开Windows的DOS命令窗口，通过cd命令进入Apache FtpServer解
11、压目录下的bin目录，bin目录的结构如下：这里需要注意：不要使用官方文档中提到的直接双击执行bin/ftpd.bat，因为这将会初始化一个没有用户配置信息的ftp服务器，没有任何用户可以登陆。通过如下DOS命令启动FtpServer服务：ftpd.bat d:ftpserver-1.0.6resconfftpd-typical.xml打开Google Chrome浏览器，输入如下URL：ftp:/localhost:2121/浏览器提示输入用户名和密码：填写用户配置创建的用户账户：beshs/beshs，点击登录，就会看到FtpServer上的文件：说明：经测试，目前win7环境下IE9浏览
12、器尚不能通过上述URL登录FtpServer服务器：查阅相关技术资料，会看到这样的解释：由于IE7开始，微软加强了安全的问题，IE7以上版本的浏览器默认的传输模式port（即主动模式），所以导致IE浏览器无法登录FTP。为什么PORT方式比PASV方式安全？FTP传输过程中要求建立一个专门的连接来传输数据，建立连接有两个方法：一个就是FtpServer打开一个端口，Client可以去连接这个端口来建立连接。这就是PASV方式。一个就是FTP Client打开一个端口，Server去连接这个端口来建立连接。这就是PORT方式。显然，如果服务器打开了一个端口，就意味着向互联网打开了一个端口。所以P
13、ORT方式比PASV方式安全。解决IE无法登录FtpServer的办法如下：点开IE菜单栏的“工具”“Internet选项”“高级”去掉“使用被动FTP（为防火墙和DSL调制解调器兼容性）”前面的对勾。为防止系统防火墙的影响，并关闭Windows防火墙。配置完成后，然后关闭所有IE窗口，再次打开IE登录FtpServer，依然无法登录FtpServer服务器。2.2.4 FTP常见问题分析1） 无法访问FtpServer原因可能是 有防火墙过滤了FTP请求； 客户端强制使用PASV MODE连接，而FtpServer不支持或没有开启PASV MODE； 网络无法访问。2） 客户端能够登陆，但是
14、无法浏览数据 客户端处于内网，而且GATEWAY没有相关设置允许PORT MODE访问远程FtpServer； 客户端本身有网络限制了自己1024以上端口的访问（如：TCPIP筛选）； 客户端使用的软件没有开启或支持PASV MODE 的访问。3） 有的能登陆，有的不能登陆原因是不能登陆的客户端没有使用PASV MODE访问FtpServer。4） FTP访问出错排查步骤 确认能够在FtpServer上以127.0.0.1访问自己； 确认在FtpServer上能够以使用的IP访问； 确认客户端和服务器端网络通畅； 确认双方的防火墙设置正确； 确认双方的访问模式正确。2.2.5 FTP常见问题的
15、解决1） FtpServer有公网IP，且前面有防火墙 在防火墙上开启21端口（默认）； 在FtpServer上开启PASV MODE 支持； 在FtpServer上指定PASV MODE 使用的端口范围； 在防火墙上开放相应的PASV MODE 所需要的端口。2） FtpServer处于内网 如果有防火墙，参照上面的设置； 在GATEWAY上做端口映射，映射TCP 21端口到FtpServer的21端口； 在FtpServer上指定PASV MODE使用的端口范围； 还需要额外的在GATEWAY上再映射20端口和PASV MODE使用的端口到FtpServer上。3） FTP Client
16、在防火墙上允许对外21端口的访问； 在防火墙上开启1024端口以支持使用PORT MODE从内网访问外网的FtpServer； 开启FTP Client使用软件的PASV模式支持（如IE 默认是不使用PASV MODE）。PASV MODE 端口范围的作用说明：当客户端以PASV方式连接服务器的时候，服务器就会在这个端口范围里挑选一个端口出来，给客户端连接。如果不指定，默认是随机的1024以上的端口。4） 总结在架设FtpServer出现问题后，根据经验，用以下原则进行设置可以解决大多数问题： FtpServer启用并指定PASV MODE使用的端口范围，如果有防火墙在防火墙上允许这些端口的访
17、问； FTP Client尽量不要使用IE，IE只是一个粗糙的FTP Client工具，默认不开启PASV MODE，访问出错信息单一； FTP Client关闭TCPIP筛选； 尽量使用PASV MODE访问FTP服务器，而非PORT MODE。2.2.6 FTP Client连接FtpServer使用Xftp连接Apache FtpServer配置如下：点击确定，输入用户名和密码，界面如下1） 文件无法上传当双击文件上传时，提示如下问题：遂使用DOS命令窗口上传文件：ftp 127.0.0.1mput C:UsersAdministratorDesktop新系统部署Java程序员上班那点事
18、儿.pdf分析提示信息，得出以下两点结论： 命令窗口中不适合发送含有中文名称的文件； 用户权限不足，文件上传不被允许。解决办法：用户权限不足，即前面说的用户配置里，writepermission属性没有设置为true，按如下方式配置用户，并重启FtpServer，即可解决此问题：2） 中文名称文件乱码且上传失败在Xftp客户端双击中文名称文件上传时，提示如下信息：原因是apache ftpserver在发送的时候都是以utf-8编码方式来发送文件名的，于是对Xftp配置做如下修改：再次双击发送文件，文件上传完成：2.2.7 FtpServer配置Pasv模式Pasv模式：客户端会随机获取一个大于1024的端口来与FTP服务器端的端口21连接，完成连接后客户端通过这个连接来对FTP服务器下达指令。保存重新启动即可。首先FTP服务器是需要两个端口，一个上传端口，一个下载端口，所以只启用一个端口是不行的，这里固定了下载端口为1886。3 Apache FtpServer与Spring的集成后续更新中。4 基于commons-net的文件上传下载
