防火墙1080上ftp策略开通

在H3C防火墙（如F1080）上使用非标准FTP端口6060时，仅开启ALG和放行控制端口不够，还需确保ALG能识别6060为FTP流量。排查步骤如下：
1. 检查ALG是否全局开启：
display alg 确认FTP状态为Enabled。
2. 关键配置：将6060映射为FTP协议端口（默认ALG只识别21）。在系统视图下执行：
port-mapping application ftp port 6060
保存配置后测试。
3. 若仍失败，检查安全策略是否放行FTP数据通道（被动模式需放行临时高端端口，主动模式需放行源端口20到客户端的连接）。建议使用被动模式，并放行目的端口范围（如1024-65535）或配置ASPF：
aspf policy 中引用FTP检测，确保策略同时匹配控制与数据流量。
4. 抓包确认：在防火墙接口镜像抓包，看SYN后是否卡在PORT/227命令或数据连接建立阶段。若ALG未识别，数据连接会被默认策略丢弃。
5. 若使用域间策略，确认源目安全域均应用了含FTP检测的ASPF策略。
典型根因是缺少port-mapping，补充后即可传输。

根因说明

FTP 分为控制通道（6060）与动态协商的数据通道。NAT‑ALG 只负责 NAT 场景改写 FTP 载荷里面内嵌 IP / 端口；ASPF 高级状态检测负责解析 PASV/PORT 报文中协商出来的随机数据端口，动态临时放行数据连接，只开 ALG、缺少 ASPF 检测，就会出现登录成功，数据通道被防火墙阻断的现象。 另外需要port‑mapping（PAM 端口‑应用映射）告诉防火墙：TCP 6060 属于 FTP 协议报文，防火墙才会对 6060 流量做 FTP 应用层解析；如果只写自定义 TCP 服务对象，防火墙仅当作普通 TCP，不会触发 ALG/ASPF 解析载荷。

需要补齐核对配置

1、配置端口‑应用映射，把 6060 识别为 FTP 应用

system‑view port‑mapping ftp port 6060 display port‑mapping application ftp #确认映射生效

2、安全策略必须开启 FTP 的 ASPF 应用检测（高频遗漏点）

命令行，匹配 FTP 流量的域间安全策略下配置：

security‑policy rule 名称 application aspf ftp

Web 页面：编辑对应安全策略，在【应用检测】勾选ftp。

⚠️坑：安全策略服务对象不要直接写 “TCP‑6060” 自定义服务；配置 port‑mapping 之后，服务直接选择应用ftp，让防火墙识别这是 FTP 应用报文。

3、区分 NAT 场景与纯透传场景

1. 经过 NAT（源 NAT/NAT‑Server 映射）：需要同时开启nat alg ftp（Web NAT44‑ALG 勾选 FTP） + port‑mapping + 策略绑定 aspf ftp；ALG 改写报文载荷内 IP 端口，ASPF 动态放行数据通道。
2. 纯透传，不做任何 NAT：nat alg ftp不生效，可以不开启；port‑mapping + 策略 aspf ftp 必须配置，依靠 ASPF 放行 PASV 协商出的数据端口。

4、测试定位手段，区分主动 / 被动模式

1. 客户端切换为主动 FTP（PORT 模式）测试：
   • 主动模式可以传文件，被动 PASV 不行 → 100% 防火墙 ALG/ASPF 没有解析 PASV 报文；
2. 排查服务器侧：确认 FTP 服务器 PASV 数据端口范围，服务器系统 / 服务器自身防火墙不要拦截 PASV 端口；
3. 查看会话表，确认是否生成 PASV 协商出来的数据会话：

display session table verbose

看不到 PASV 协商出来的数据会话，说明防火墙没有识别解析 FTP 应用载荷。

5、其他坑

• LB‑ALG 的 FTP 不需要开启，普通业务只需要 NAT44‑ALG，LB‑ALG 开启会造成解析冲突；
• FTPS（加密 FTP）载荷加密，ALG/ASPF 无法解析，不能依靠这套机制，需要服务器固定数据端口，静态策略放行对应端口段。

排障命令汇总

display port‑mapping application ftp display nat alg display aspf policy display session table verbose