要安全地让FTP服务器通过防火墙，核心在于根据FTP的工作模式（主动/被动）精确控制端口，并搭配连接跟踪模块或应用层检测，避免一刀切式的全端口开放。
FTP主动模式与被动模式：防火墙策略的根本差异
FTP协议的特殊性在于它使用两个通道：命令通道（端口21）和数据通道，数据通道的建立方式决定了防火墙需要如何放行流量，很多人配置策略时只开放21端口，结果发现列表目录或传输文件时卡死,根源就在于没有处理好数据通道。
主动模式（PORT）下的防火墙配置
主动模式中，客户端通过命令通道告知服务器“我开放了某个高位端口，你来连接我”，此时数据连接由服务器主动发起,方向是从服务器到客户端。
- 防火墙需要放行客户端的高位端口入站（gt;1024），这对客户端网络环境要求较高,因为客户端防火墙可能拦截外部主动连接。
- 在企业出口防火墙上，如果FTP服务器在内网，主动模式意味着服务器需要对外发起连接，这往往需要配置出站规则允许服务器访问客户端任意高位端口,安全性较低。
- 多数防火墙策略更倾向于被动模式，因为主动模式会让客户端暴露在入站连接风险中,且NAT环境下容易出问题。
被动模式（PASV）下的防火墙策略
被动模式是当前主流选择，客户端发送PASV指令后，服务器开放一个随机高位端口（或指定端口范围）并告知客户端,客户端主动连接该端口进行数据传输。
- 防火墙必须开放服务器上的一个端口范围（例如50000-51000）供被动模式使用,并允许客户端入站连接这些端口。
- 同时需要开启连接跟踪模块（如Linux的
nf_conntrack_ftp，Windows的“FTP状态筛选”），让防火墙能识别FTP控制连接中的端口协商信息，自动放行对应数据流,否则即便开放了端口范围也可能被状态检测拦截。 - 策略落地时，建议将被动端口范围控制在较小且连续的区间（如100个端口），便于防火墙规则精确限定,同时减少攻击面。
两种模式的策略对比
| 对比维度 | 主动模式 | 被动模式 |
|---|---|---|
| 数据连接发起方 | 服务器 | 客户端 |
| 防火墙重点 | 开放客户端高位端口入站 | 开放服务器端口范围入站 |
| 适用场景 | 客户端网络环境简单，无NAT | 服务器位于防火墙后，客户端有NAT |
| 安全风险 | 客户端端口暴露，易被扫描 | 服务器端口范围需严格控制 |
| 配置复杂度 | 需配合客户端防火墙，较复杂 | 服务器端集中配置，可管理性强 |
企业场景下防火墙对FTP服务器访问策略的配置要点
企业环境通常有互联网边界防火墙、DMZ区域以及内部访问控制，针对企业ftp服务器安全访问策略，需要分层考虑：外网用户访问、内网运维访问、以及跨部门的数据交换。
外网访问场景：限制IP与端口白名单
- 外网用户访问FTP服务器时，防火墙策略仅对特定来源IP段开放（如客户公司公网IP）,避免全互联网访问。
- 被动模式下，外网防火墙放行21端口和被动端口范围，并启用应用层检测（如FTP ALG）以动态跟踪数据通道,防止状态表超时导致连接中断。
- 如果使用FTP over TLS，防火墙需允许PORT 21以及TLS握手后的加密数据流，但部分防火墙的ALG无法解析加密的FTP控制流，此时应关闭FTP ALG,直接依据端口范围开放。
内网访问场景：业务隔离与最小权限
- 内网不同部门访问FTP服务器时，防火墙按VLAN或IP段划分策略，只允许业务必须的网段访问（如研发部网段访问代码仓库FTP，市场部网段访问素材FTP）。
- 服务器本机防火墙（如Windows防火墙、iptables）同样需要配置白名单，只放行公司内部IP，并限制管理端口（如SSH/RDP）仅允许运维跳板机访问。
- 对于ftp服务器防火墙端口开放规则，建议遵循最小化原则：只开放21和被动端口范围，关闭其他所有非必要端口，被动端口范围通过
iptables或firewalld的富规则限定来源IP。
高可用与负载均衡场景
- 当FTP服务器部署在负载均衡器后时，防火墙策略需要针对虚拟服务IP而非后端真实服务器，负载均衡器需要支持FTP协议的被动模式，并配置固定的被动端口范围,否则数据流可能绕过后端防火墙导致策略失效。
- 行业共识认为，在集群环境中，最好使用共享的被动端口范围，并在所有节点上通过防火墙规则同步开放,避免客户端连接失败。
实战：防火墙规则配置步骤
下面以Linux iptables和Windows防火墙为例，给出ftp服务器防火墙策略配置步骤,你可以直接参考调整。
Linux系统（iptables/nftables）
- 加载FTP连接跟踪模块：
modprobe nf_conntrack_ftp，并设置/etc/modules-load.d/ftp.conf使其开机自启。 - 放行命令端口：
iptables -A INPUT -p tcp --dport 21 -j ACCEPT（根据实际策略限制来源IP，如
-s 192.168.1.0/24
- 放行被动端口范围：假设使用50000-50100，则
iptables -A INPUT -p tcp --dport 50000:50100 -j ACCEPT,同样建议限制来源IP。 - 开启状态跟踪：
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT,确保FTP数据通道的RELATED状态能被正确识别。 - 保存规则：
iptables-save > /etc/iptables/rules.v4（不同发行版保存方式不同，需确认）。
Windows系统（高级安全防火墙）
- 打开“高级安全Windows Defender防火墙”,创建入站规则。
- 规则类型选择“端口”，协议TCP，特定本地端口：21。
- 在“作用域”中限制远程IP地址,例如只允许公司公网IP段。
- 再创建一条入站规则，允许被动端口范围（如50000-50100）,同样限制来源IP。
- 在FTP服务器软件中（如FileZilla Server）配置被动端口范围,务必与防火墙规则一致。
- 如果使用IIS FTP，需在“FTP防火墙支持”中填写外部IP地址和端口范围,否则客户端无法获取正确的外网IP用于被动模式连接。
常见配置错误
- 忘记加载连接跟踪模块，导致FTP数据流被状态防火墙拦截,症状是登录成功但列表或传输超时。
- 被动端口范围与防火墙规则不一致，或者范围过大,增加安全风险。
- 在NAT环境下，防火墙没有配置FTP的ALG或端口转发，导致客户端获取的被动地址是服务器内网IP,无法连接。
安全加固：不止是端口开放
防火墙只是第一道防线，FTP服务本身的安全同样重要，结合ftp服务器防火墙端口开放规则,以下措施能显著提升整体防护水平。
强制使用加密传输
- 配置FTP over TLS（FTPS），要求客户端使用显式加密，防火墙策略中，21端口依然开放，但数据通道和命令通道均为加密，防火墙的ALG将无法解析，因此必须关闭FTP ALG,仅依靠端口范围放行。
- 更推荐使用SFTP（SSH File Transfer Protocol），它基于SSH协议，只需开放22端口，不存在动态端口问题，防火墙策略极其简单：允许来源IP访问22端口即可，但SFTP与FTP不兼容,需要客户端支持。
限制连接数与超时时间
- 在防火墙策略中，可以设置并发连接数限制，防止单个IP占用过多资源，例如iptables：
iptables -A INPUT -p tcp --dport 21 -m connlimit --connlimit-above 10 -j REJECT。 - FTP服务器端设置控制超时和数据超时,避免僵尸连接占用防火墙连接表。
地理与时间策略
- 如果业务没有海外访问需求，在边界防火墙上屏蔽境外IP段，减少扫描攻击，防火墙支持地理IP数据库的，可以按国家/地区添加拒绝策略。
- 对于非工作时间，可以设置时间策略，仅在办公时段允许访问,降低被入侵风险。
常见问题与排查思路
即使配置看似正确，仍可能遇到访问异常,下面梳理典型问题及其解决方法。
登录成功，但无法列出目录或传输文件
- 原因：被动端口范围未正确开放,或连接跟踪模块未加载。
- 排查：在FTP服务器上抓包，确认客户端连接被动端口时是否被防火墙重置，检查防火墙日志，查看是否有相关拒绝记录，重新加载
nf_conntrack_ftp并确认规则优先顺序。
外部客户端连接后，获取到的IP是内网地址
- 原因：FTP服务器未配置外部IP地址,或者防火墙NAT没有正确转换FTP控制流。
- 排查：在FTP服务器配置中设置“被动模式外部IP”为公网IP或发布地址，如果是防火墙做端口映射，确保防火墙的FTP ALG已启用，或者在映射时配置“FTP协议”而非“TCP”。
使用FTPS后，连接速度变慢或频繁断开
- 原因：防火墙FTP ALG干扰了加密协商,或者超时设置过短。
- 排查：关闭防火墙上的FTP ALG功能，只基于端口范围放行，同时增加数据连接超时时间（如服务器端的
data timeout设置为600秒），如果使用PASV模式,确保被动端口范围没有被防火墙的会话超时提前回收。
防火墙对FTP服务器访问策略相关问答
被动模式必须开放很多端口，如何既安全又方便？
最安全的方式是使用SFTP替代FTP，只需开放22端口，且不需要动态端口管理，如果必须使用FTP，则限定被动端口范围（如100个端口），并结合来源IP白名单，同时在防火墙上开启应用层检测,确保只有FTP数据流能够通过该范围。
防火墙策略中，主动模式和被动模式哪个更安全？
主动模式需要客户端开放入站端口，对客户端安全不利；被动模式将端口开放集中在服务器端，可控性更强，因此从服务器安全角度，被动模式加上严格的端口范围限制和IP白名单，是更推荐的策略，但无论哪种模式,都建议使用FTPS或SFTP避免明文传输。
为什么我配置了防火墙规则，FTP客户端还是无法连接？
请按以下顺序检查：首先确认防火墙是否放行了21端口，且客户端能telnet成功，其次检查FTP服务器是否配置了被动端口范围，且该范围与防火墙规则一致，再次确认防火墙是否开启了FTP状态检测或ALG，如果使用了加密（FTPS），必须关闭FTP ALG，最后检查NAT场景下，服务器是否知道自己的公网IP,必要时在FTP服务器配置中手动指定外部IP地址。
首发原创文章，作者：王坚，如若转载，请注明出处：https://test.idctop.com/article/516872.html
