问

MSR3610 配置端口映射FTP，外网不能访问

2020-11-05提问

0关注
1收藏，1446浏览

丶丶丶丶

丶丶丶丶零段

粉丝：0人关注：0人

问题描述：

3条公网地址，做的链路捆绑，在外网电脑上ＩＥ的高级选项中　去掉　“使用被动ＦＴＰ（用于防火墙和ＤＳＬ调制解调器的兼容”选项，也无法连接，报错

组网及组网描述：

sysname router
#
telnet server enable
#
port-mapping application ftp port 1025
#
dhcp enable
dhcp server always-broadcast
#
dns proxy enable
dns server 61.139.2.69
#
password-recovery enable
#
vlan 1
#
vlan 2
#
object-group ip address xiansu
0 network range 192.168.0.1 192.168.3.254
#
controller Cellular0/0
#
interface Virtual-Template0
#
interface NULL0
#
interface GigabitEthernet0/0
port link-mode route
duplex full
speed 1000
ip address 10.10.10.1 255.255.255.252
nat hairpin enable
undo dhcp select server
#
interface GigabitEthernet0/1
port link-mode route
description description Multiple_Line
ip address 222.xxx.87.yyy 255.255.255.0
ip last-hop hold
packet-filter 3000 inbound
nat outbound
nat server protocol tcp global 222.xxx.87.yyy 1024 inside 192.168.3.253 20
nat server protocol tcp global 222.xxx.87.yyy 1025 inside 192.168.3.253 21
nat server protocol tcp global 222.xxx.87.yyy 8000 inside 192.168.2.101 80
nat hairpin enable
undo dhcp select server
ipsec apply policy lpty

最佳答案

engineer

engineer 七段

粉丝：11人关注：1人

1、完成一个FTP的传输过程不仅仅只需要21一个端口，而是2个端口，21端口只是一个命令端口，其实另外还有一个数据端口，我想这就是有些朋友在内网架设FTP并且在网关上做了21端口的映射之后外网还是不能访问的原因吧，另外一个数据端口是多少呢?这又牵涉到另外一个问题。

2、FTP具有两种模式，分别是port模式(也叫主动模式)和pasv模式(也叫被动模式)，怎么来理解这两种模式呢?我来打个比喻吧，在主动模式下:客户端给服务器端的21端口发命令说，我要下载什么什么，并且还会说我已经打开了自己的某个端口，你就从这里把东西给我吧，服务器知道后就会通过另外一个数据端口把东西传给客户端，这就是主动模式，可以理解为服务端主动给客户端传输文件;在被动模式下:客户端给服务器端的21端口发命令说，我要下载什么什么，服务器端知道后，就打开一个端口，然后告诉客户端，我已经打开了某某端口，你自己进去拿吧，于是客户端就从那个端口进去拿文件了，这就是被动模式，可以理解为服务端被客户端拿走了东西，哈哈，可以看懂吧。

在FTP的历史中，本来只有主动模式的，但是为什么又出现了被动模式呢?这又牵涉到另外一个问题了，呵呵～

3、在很久以前(我也不知道多久)，地球上还没有什么共享上网这种技术，但是后来出现了，所以也就有了下面的问题，大家都知道，共享上网就是很多台电脑共享一个公网IP去使用internet，再打个比喻吧，某个局域网共享210.33.25.1这个公网IP上网，当一个内网用户192.168.0.100去访问外网的FTP服务器时，如果采用主动模式的话，192.168.0.1告诉了FTP服务器我需要某个文件和我打开了x端口之后，由于共享上网的原因，192.168.0.1在出网关的时候自己的IP地址已经被翻译成了210.33.25.1这个公网IP，所以服务器端收到的消息也就是210.33.25.1需要某个文件并打开了x端口，FTP服务器就会往210.33.25.1的x端口传数据，这样当然会连接不成功了，因为打开x端口的并不是210.33.25.1这个地址，在这种情况下被动模式就有用了，相信大家已经能够理解被动模式是怎么个连接法了吧。

好了，说了这么多，现在可以回到第一个问题了。

在主动模式中，FTP的两个端口是相对固定的，如果命令端口是x的话，那数据端口就是x-1，也就是说默认情况下，命令端口是21，数据端口就是20;你把命令端口改成了123，那么数据端口就是122。这样使用防火墙就很方便了，只要开通这两个端口就可以了，但是如果客户端是共享上网的话那岂不是不能正常使用FTP了，这样还是不行，一定需要被动模式。

在被动模式中就麻烦了些，默认情况下命令端口是21，但是数据端口是随机的，这个问题又让我头痛了一下，还好，我又找到了办法，因为被动模式中数据端口的范围是可以自定义的，在此我以Serv-U 6.1.0.5版为例，在/Local Server/Settings/Advanced/中。