华三防火墙ftp端口自定义策略开通

FTP服务也放行一下

FTP ALG 识别 FTP 报文的前提：报文被防火墙识别为 FTP 应用；port-mapping 只是把 6060 端口标记为 FTP，但是配套还有 ASPF（应用层状态检测）、被动模式数据端口放行、NAT 场景 ALG 载荷解析几个关键点，很多人漏配。

一、先确认 2 个基础检查项（对照你截图）

1. 你的display port-mapping user-defined已经看到 ftp 6060，这条映射是生效的；Web ALG 页面 FTP 勾选也正常。
2. 区分 FTP 两种模式：
   • 主动 FTP（PORT）：服务器发起，源端口 20 访问客户端随机高位端口；
   • 被动 FTP（PASV，绝大多数客户端默认）：服务器监听一个随机高位端口，客户端主动连这个端口做数据通道，这个随机端口号写在 FTP 控制报文载荷里面，靠 FTP ALG 解析出来。 你现在能登录，代表 6060 控制通道通；传文件失败，基本就是 ALG 没正确解析 PASV 报文中携带的数据端口，防火墙没有动态放行这个临时数据连接。

二、需要补充 / 核对的配置清单（按优先级）

1、确认 ASPF（应用状态检测）是否在策略上绑定（高频遗漏点）

NAT ALG 负责改写载荷里的 IP / 端口；ASPF 负责根据 ALG 解析出来的 PASV 端口，动态开临时通道放行数据流，二者配合工作，只开 ALG 不配置 ASPF 是典型坑。

• 命令行：安全策略里面，匹配这条 FTP 流量的规则，开启 ASPF 的 ftp 检测

• Web 路径：策略→安全策略，对应放行 6060 的那条策略，【应用检测】勾选 FTP（ASPF）

如果没开 ASPF，就算 ALG 识别到 PASV 里面的端口，防火墙也不会临时放行这个数据连接，传文件卡死。

2、区分：是否做 NAT（源 NAT / NAT server 映射）

• ✅有 NAT 场景：必须同时开启 NAT ALG FTP（你 Web 已经勾选）+port-mapping 6060 映射 ftp + 策略 ASPF ftp；ALG 才会修改 PASV 报文中内嵌的私网地址端口。
• ✅无 NAT，只是穿越防火墙：NAT ALG 不工作，只靠 ASPF FTP 动态放行 PASV 数据端口，此时 ALG 勾选与否不影响数据通道，ASPF 才是核心。

3、被动模式 PASV 端口范围限制（服务器侧也要排查）

如果 FTP 服务器固定 PASV 端口范围（比如 50000-51000）： 方案 A：服务器 PASV 端口范围放开，交给 ALG 动态识别； 方案 B：服务器固定 PASV 段，防火墙静态策略放行该段 TCP，规避 ALG 异常。

测试手段：客户端切换成主动 FTP 模式测试，如果主动模式可以传、被动不行，100% 是 ALG/ASPF 解析 PASV 载荷问题。

4、安全策略的应用识别不要写死 tcp 6060（坑点）

很多人策略配置：服务对象直接选【TCP 6060】而不是识别应用 FTP。 防火墙此时只当成普通 TCP 流量，不会触发 FTP ALG/ASPF 解析报文载荷！ ✅正确做法：

• 方式 1：port-mapping 把 6060 映射为 ftp 之后，策略服务选择应用ftp，而不是自定义 tcp 端口；
• 方式 2：如果必须写端口，务必确认 ASPF 绑定在这条策略上，让防火墙深度解析这个流为 FTP。

5、额外排查点

1. 防火墙会话、黑名单、会话老化时间；display session table看有没有 PASV 的数据会话建立；
2. 服务器侧防火墙、系统防火墙是否拦截 PASV 数据端口；
3. 不要混用 LB ALG 和 NAT ALG，你截图下方还有 LB ALG FTP 勾选，普通跨防火墙访问不需要 LB ALG，LB ALG 是负载均衡场景使用，建议关闭 LB 侧 FTP ALG 避免冲突。

三、快速排障命令

四、最简总结版（方便理解）

port-mapping（6060→FTP）+NAT ALG-FTP 只是基础；缺少 ASPF FTP 应用检测，防火墙不会根据 PASV 报文中的随机端口动态放行数据通道，这是登录成功但无法传输文件最常见原因；其次策略不要简单写死 TCP 端口，尽量识别应用 FTP；主动 / 被动模式分开测试定位。