问题描述：
F5000-M 内部网络服务器访问其他省的的FTP服务器（主动模式），数据连接不能建立。是本端防火墙策略的问题吗？本端防火墙需要做什么配置？本端内部服务器客户端才能与远端ftp服务器正常建立ftp连接？
- 2019-04-26提问
- 举报
-
(0)
最佳答案
如果访问其他的外网业务正常，感觉像是防火墙策略导致的，检查一下内网域和外网域的策略配置，默认情况下，高优先级的域是可以直接访问低优先级的域的
- 2019-04-26回答
- 评论(4)
- 举报
-
(0)
1：FTP支持两种模式，一种方式叫做Standard (也就是 PORT方式，主动方式)，另一种是 Passive (也就是PASV，被动方式)。 Standard模式 FTP的客户端发送 PORT 命令到FTP服务器。Passive模式FTP的客户端发送 PASV命令到 FTP Server。
2：Port模式FTP 客户端首先和FTP服务器的TCP 21端口建立连接，通过这个通道发送命令，客户端需要接收数据的时候在这个通道上发送PORT命令。 PORT命令包含了客户端用什么端口接收数据。在传送数据的时候，服务器端通过自己的TCP 20端口连接至客户端的指定端口发送数据。 FTP server必须和客户端建立一个新的连接用来传送数据。
3：Passive模式在建立控制通道的时候和Standard模式类似，但建立连接后发送的不是Port命令，而是Pasv命令。FTP服务器收到Pasv命令后，随机打开一个临时端口（也叫自由端口，端口号大于1023小于65535）并且通知客户端在这个端口上传送数据的请求，客户端连接FTP服务器此端口，然后FTP服务器将通过这个端口进行数据的传送，这个时候FTP server不再需要建立一个新的和客户端之间的连接。
4：很多防火墙在设置的时候都是不允许接受外部发起的连接的，所以许多位于防火墙后或内网的FTP服务器不支持PASV模式，因为客户端无法穿过防火墙打开FTP服务器的端口；而许多内网的客户端不能用PORT模式登陆FTP服务器，因为从服务器的TCP 20无法和内部网络的客户端建立一个新的连接，造成无法工作。
- 2019-04-26回答
- 评论(1)
- 举报
-
(0)
可以具体点吗？防火墙如何配置呢？你说的和我说的相反呢
你这端防火墙里，添加一条策略，源域untrust--目的域trust，源端口20，目的端口any，协议是ftp这条规则，如果还不行，在了解下远端ftp server所在的网络环境，有没有防火墙，防火墙有没有放通相关策略，比如untrust any---trust 21 ，trust any--untrust any
- 2019-04-26回答
- 评论(0)
- 举报
-
(0)
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
FTP主动模式是ftp服务器要和ftp客户端建立控制连接的，应该是服务器有指定的控制端口，然后在本端防火墙上做nat，映射服务器指定的控制端口，你说这样行吗？
正常情况下，ftp映射21端口就可以了
ftp服务端需要映射21端口，为了ftp客户端和服务端能够建立控制连接。现在情况是本端的ftp客户端要访问远端ftp服务端，但是远端ftp服务端是主动模式，ftp主动模式是ftp服务端向ftp客户端建立连接，我觉得本端出口防火墙上需要做一个nat，映射本端ftp客户端指定的控制端口（>1023），这样应该就没问题了。
外网映射端口大于1024的非知名端口，可能需要配置port mapping告知设备该端口需要用来跑ftp协议