浅谈FTP协议

FTP用户数量多时会出现如下错误：
500 OOPS: vsf_sysutil_bind

可能原因是PASV端口数量少（原只开60000一个端口）

修改/etc/vsftpd/vsftpd.conf，增加端口
pasv_min_port=10021
pasv_max_port=10121

 #   控制链接

控制链接是建立在客户端和服务器端之间用于交换命令与应答的传输通道，用于完成两端的控制命令的传输，例如登录、创建和切换目录、退出等控制动作。

FTP默认控制链接的端口为TCP21，客户端使用随机端口连接服务端的21端口，进行控制链接的请求。

 #   数据链接

数据链接，顾名思义是用来进行数据传输的链接通道，实现数据的上传或者下载。

数据链接示意图

两种传输模式指的是在数据链接层面，如果是服务器主动发起数据链接的请求，则是主动模式；如果客户端主动发起数据链接的请求，则是被动模式。下面我们着重讲讲两种模式的区别。

 #   主动模式

Standard （PORT模式，主动模式）。

在主动模式下，FTP客户端向服务器发出PORT 命令，告诉服务端客户端采用主动模式并开放了端口。FTP服务器接收到PORT命令后，会用其本地的FTP数据端口（通常是20）来连接客户端指定的端口，进行数据传输。

读者此时会有疑问，服务器端怎么确定要主动连接客户端的哪个随机端口呢？答案是在控制链接里面已经商定好了，请看下图：

在客户端向FTP服务器端返回参数的时候，包含了数据链路建立连接时客户端提供的端口号，如上图所示，计算方式为 228*256+134=58502，这个端口就是服务端使用20端口主动建立连接的目的端口号。

 #   被动模式

为了解决服务端发起到客户端的连接问题，人们开发了一种不同的FTP连接方式，这就是所谓的被动方式，或者叫做PASV方式，当客户端通知服务端它处于被动模式时才启用。

在被动模式中，控制链接和数据链接都由客户端发起，这样就可以解决从服务器到客户端的数据端口的入方向连接被防火墙过滤掉的问题。与主动方式不同在于，客户端不会提交PORT命令允许服务器回连它的数据端口，而是提交PASV命令。这样做的结果是服务器会开启一个任意的非特权端口（该端口是在服务端预先配置的一段端口范围），并发送PORT 命令给客户端，然后客户端发起从本地端口到服务器端口的连接用来传送数据。

在上图的数据连接过程中，红色字体代表客户端发送数据，蓝色字体代表服务端发送数据，此时服务器端告知本次的数据连接使用自己的117*256+125=30077端口。

接下来客户端就会发起新的数据连接，去请求服务器的30077端口。

其中需要注意的是，在被动模式下，服务端的数据端口是预先自定义的，如果设置的端口范围很小，当出现客户端大量数据传输请求的时候，容易导致端口资源耗尽，使新的FTP数据连接无法建立，开篇出现的故障问题就是这个原因。

 #   两种模式的区别

两种模式在控制链接层面都是相同的，都是客户端主动请求建立链接。不同之处，在于数据链接层面，站在服务器的角度考虑，如果是自己主动发起数据的请求，则是主动模式，如果是客户端发起数据链接的请求，则是被动模式。主动模式对于客户端测的安全防护不利，因为客户端要生成新的数据端口，提供服务端进行数据访问；而被动模式对服务端的安全防护不利，因为服务端需要生成新的端口，提供客户端访问。

但是如果在中间网络传输链路中，存在防火墙设备，那怎么才能检测出两种传输模式中使用的数据传输端口呢？这就需要中间防火墙设备支持应用层网关检测功能，能够主动检测出该策略是FTP应用，并主动检测到使用的端口访问策略。

针对FTP数据传输的特殊性，网络层防火墙需要能够识别FTP的应用特性。现在多数防火墙支持应用层识别，识别到FTP的数据传输模式，并临时开放对应的数据传输端口访问。

山石防火墙应用层网关支持类型

并且在防火墙对应接口下面，使用应用识别，如下图所示：

相对于HTTP协议，FTP协议也有自己一套响应码，响应码由服务端返回客户端，提示各类问题原因。

响应码用三位数字编码表示：

 #   第一个数字表示命令状态的一般性指示，比如响应成功、失败或不完整。

1 表示服务器正确接收信息，还未处理。

2 表示服务器已经正确处理信息。

3 表示服务器正确接收信息，正在处理。

4 表示信息暂时错误。

5 表示信息永久错误。

 #   第二个数字表示响应类型的分类。

0 表示语法。

1 表示系统状态和信息。

2 表示连接状态。

3 表示与用户认证有关的信息。

4 表示未定义。

5 表示与文件系统有关的信息。

 #   第三个数字表示更加详细的信息。

FTP是我们日常工作经常会用到的文件传输工具，熟悉并了解它的工作原理，对于分析解决出现的各类问题有很大的帮助。同时，对于FTP服务器性能优化也提供了很多的指导。在部署的同时需要考虑网络防火墙对FTP应用识别的能力。

////

• 统一监控管理平台Prometheus驱动的实现

• 浅谈Go语言内存管理

• 设计模式在项目实战中的应用

• 浅谈数据安全