最近準備做一個《FtpCopy系列教程》，主要講解Ftp協議主動模式和被動模式的區別、以及FTP伺服器的安裝部署，然後通過幾個常用例項演示，詳細講解如何使用FtpCopy進行資料自動備份。

什麼是FTP協議？

FTP的中文名稱是“檔案傳輸協議”，是File Transfer Protocol三個英文單詞的縮寫。FTP協議是TCP/IP協議組中的協議之一，其傳輸效率非常高，在網路上傳輸大的檔案時，經常採用該協議。

一個完整的FTP由FTP伺服器和FTP客戶端組成，客戶端可以將伺服器上的檔案通過FTP協議下載到本地，也可以將本地資料通過FTP協議上傳到伺服器上。

（1）伺服器端需要安裝FTP服務軟體，常用的有FileZilla Server、IIS、Serv-U、OSSFTP等等。

• 不同的FTP軟體對FTP協議標準支援有所差別，從我的使用經驗感覺FileZilla Server是對FTP協議支援最好的軟體，它具有以下幾個特點：體積小（2M左右）、免費開源、操作簡單、功能完善（我們所需要的有功能它基本都支援）。

• IIS對FTP協議的支援也很不錯。

• Serv-U有幾個命令支援不是很好，這個軟體也是收費軟體，沒感覺比FileZilla Server好多少。

• OSSFTP是阿里雲物件儲存提供的FTP Server，對FTP標準協議支援就更差了。

（2）FTP客戶端軟體就比較多了，常用的有FileZilla、FlashFXP、WinSCP、甚至在瀏覽器和windows資源管理器中輸入FTP地址都可以當做FTP客戶端來使用。我們的FtpCopy也屬於FTP客戶端。

FTP協議的兩個TCP連線

左側為客戶端，右側為FTP伺服器，無論是上傳還是下載，客戶端與伺服器之間都會建立2個TCP連線會話，綠色是控制連線，紅色的是資料連線。其中，控制連線用於傳輸FTP命令，如：刪除檔案、重新命名檔案、下載檔案、列取目錄、獲取檔案資訊等。真正的資料傳輸時通過資料連線來完成的。

預設情況下，伺服器21埠作為命令埠，20埠為資料埠。但被動模式下就有所差別了。

剛接觸FTP的朋友，經常搞不清楚FTP的主動模式和被動模式，造成連線被防火牆攔截，下面我們就詳細瞭解下FTP的這兩種模式：

FTP主動模式

首先，來了解下FTP的主動模式，主動模式是FTP的預設模式，也稱為PORT模式。

1. 在主動模式下，客戶端會開啟N和N+1兩個埠，N為客戶端的命令埠，N+1為客戶端的資料埠。

第一步，客戶端使用埠N連線FTP伺服器的命令埠21，建立控制連線並告訴伺服器我這邊開啟了資料埠N+1。

第二步，在控制連線建立成功後，伺服器會使用資料埠20，主動連線客戶端的N+1埠以建立資料連線。這就是FTP主動模式的連線過程。

我們可以看到，在這條紅色的資料連線建立的過程中，伺服器是主動的連線客戶端的，所以稱這種模式為主動模式。

上面這張圖是通過netstat命令檢視到的ftp主動模式下TCP的連線資訊，首先客戶端使用49195埠連線伺服器21埠建立控制連線，然後伺服器使用20埠連線客戶端49197埠建立資料連線。

這裡需要補充下，客戶端的命令埠和資料埠實際中並不是有些文章寫道的N和N+1的關係，兩個埠比較接近而已。

2. 主動模式有什麼利弊呢？

主動模式對FTP伺服器的管理有利，因為FTP伺服器只需要開啟21埠的“准入”和20埠的“準出”即可。

但這種模式對客戶端的管理不利，因為FTP伺服器20埠連線客戶端的資料埠時，有可能被客戶端的防火牆攔截掉。

3. 如何解決客戶端防火牆攔截“資料連線”的建立呢？

（1）如果防火牆開啟了“攔截通知”，在使用FTP軟體連線伺服器時，防火牆會彈出下面這個提醒，只需要點選“允許訪問”就可以建立連線了。

（2）如果防火牆沒有開啟“攔截通知”，則需要我們的應用程式新增到防火牆的“允許的程式”列表中。如圖所示，允許FlashFXP.exe和WinSCP以主動模式連線FTP伺服器。

FTP被動模式

上面所講的是FTP主動模式，簡單的理解就是伺服器的資料埠20主動連線客戶端的資料埠，來建立資料連線，用來傳輸資料，這個資料連線的建立有可能被客戶端防火牆攔截掉。為了解決這個問題就衍生出另外一種連線模式---被動模式。被動模式也稱為passive模式。

1. 被動模式是如何運作的呢？來看下這張圖

第一步，客戶端的命令埠N主動連線伺服器命令埠21，併發送PASV命令，告訴伺服器用“被動模式”，控制連線建立成功後，伺服器開啟一個數據埠P，通過PORT命令將P埠告訴客戶端。

第二步，客戶端的資料埠N+1去連線伺服器的資料埠P，建立資料連線。

我們可以看到，在這條紅色的資料連線建立的過程中，伺服器是被動的等待客戶端來連線的，所以稱這種模式為被動模式。

上面這張圖是通過netstat命令檢視到的“被動模式”下的TCP連線情況，首先客戶端49222埠去連線伺服器的21埠，建立控制連線。然後客戶端的49224埠連線伺服器的6008埠去建立資料連線。

這裡有兩點需要補充

• 第一，客戶端的命令埠和資料埠實際中並不是有些文章寫道的N和N+1的關係，兩個埠比較接近而已；
• 第二，伺服器的資料埠P是隨機的，這個客戶端連線過來用的是6008埠，另外一個連線過來可能用的就是7009，不過P埠的範圍是可以設定的。

2. 被動模式有什麼利弊呢？

被動模式對FTP客戶端的管理有利，因為客戶端的命令埠和資料埠都是“準出”，windows防火牆對於“準出”一般是不攔截的，所以客戶端不需要任何多餘的配置就可以連線FTP伺服器了。

但對伺服器端的管理不利。因為客戶端資料埠連到FTP伺服器的資料埠P時，很有可能被伺服器端的防火牆阻塞掉。

4. 如何解決伺服器端防火牆攔截“資料連線”的建立呢？

為了解決P埠的“准入”不被伺服器防火牆攔截，需要在伺服器端設定P埠的範圍，並在防火牆中開啟這個範圍埠的“准入”。這張圖是在FileZilla Server中指定被動模式的資料埠範圍為6000-7000，然後在windows防火牆中配置6000-700埠允許“准入”。

FTP伺服器安全性設定

一般我們使用FTP主要用於備份下載伺服器上的資料，有時也需要將本地的資料上傳至伺服器上備份。如果伺服器在外網之中，伺服器的每個埠的開放都需要嚴格控制，如何安全的設定我們的FTP伺服器呢，我個人有以下幾個使用經驗：

1. 合理的設定FTP賬號和許可權

為每個賬號設定密碼和許可權，比如說：如果只是下載資料，只要給FTP賬號分配檔案的read許可權和目錄的List列取目錄許可權即可。

2. 伺服器21埠新增21埠限定

無論是主動模式還是被動模式，第一步都是客戶端連線伺服器的21埠建立控制連線。因此我們可以在防火牆的21埠上設定IP限定，僅允許我們的備份電腦的IP或IP段連線伺服器21埠，這樣其他人就無法使用FTP暴力破解FTP賬號和密碼了。

3. 禁止FTP伺服器管理控制檯的遠端管理功能

FTP伺服器管理控制檯：主要用於設定FTP賬號、FTP目錄、FTP的命令埠和資料埠、下載速度和上傳速度等等。

FTP管理控制檯並不是所有FTP軟體都支援遠端訪問的，比如IIS中設定FTP需要在IIS中設定，它的控制檯就是IIS，只有登入伺服器系統才可以設定IIS。

預設情況下FileZilla Server的控制檯是隻允許本機登入的，我們不需要做任何設定，保持預設配置即可。

這裡我們還是有必要了解下如何開啟FileZilla Server控制檯的遠端訪問：

（1）防火牆開啟14147埠的“准入”，14147埠為FileZilla Server控制檯埠；

（2）配置FTP伺服器的IP地址；

（3）配置允許訪問FileZilla Server控制檯的終端。

這樣我們配置的192.168.25.1就可以遠端連線192.168.25.133伺服器上的控制檯，進行賬號和許可權設定等。

防火牆設定總結

1. FTP主動模式下防火牆設定

（1）伺服器沒有“物理防火牆”的情況下，只需要在伺服器作業系統中開啟21埠的准入，20埠的準出預設是允許的（Windows系統防火牆預設是不攔截“準出”的）。

（2）伺服器有“物理防火牆”的情況下，需要在“物理防火牆”中開啟21埠的准入，20埠的準出。

（3）客戶端需要設定“允許應用程式通過防火牆”（WinSCP.exe、FlashFXP等）

2. FTP主動模式下防火牆設定

（1）伺服器需要開啟21埠准入，並設定被動模式資料埠範圍P，並在防火牆中開啟P的准入。

（2）客戶端一般不需要設定任何防火牆，因為N和N+1一般是可以出去