精华内容
下载资源
问答
  • linux防火墙允许ftp
    千次阅读
    2021-05-14 17:14:39

    多半用户是对主动模式和被动模式的两种数据传输模式不熟悉所困扰,原理可以参考:

    《vsftpd主、被动模式iptables配置方法 》http://wuhaoshu.blog.51cto.com/845270/489292

    针对filezilla的解决办法:

    此FTP服务器的防火墙通用设置规则适用于Windows(包括服务器版和桌面版)、Linux服务器以及可能的其他操作系统。

    在配置好FTP服务器后将发起FTP服务的程序(如Windows的svchost.exe或FileZilla server.exe)而不仅仅是端口允许通过防火墙,程序(此处特指Windows的svchost.exe)不用带参数。

    svchost.exe这个例外,必须通过控制面板中的 “ 允许程序通过 Windows 防火墙通信” ,使得 “Windows 服务主进程” ( svchost.exe ,C:\Windows\System32\svchost.exe )允许通过防火墙才可以。

    FileZilla也是如此,但无需仅使用控制面板中的 “ 允许程序通过 Windows 防火墙通信”,而也可以使用“高级安全Windows防火墙”进行设置 。

    原因分析:

    这种设置方法是由FTP这个协议所限制的。具体的原理可以参考如下链接:

    《vsftpd主、被动模式iptables配置方法 》http://wuhaoshu.blog.51cto.com/845270/489292

    更多相关内容
  • linux防火墙FTP配置

    千次阅读 2019-05-22 09:45:47
    windows系统下可以通过系统防火墙来限制外部计算机对服务器端口的访问,而Linux是通过iptables来允许或限制端口访问的。 本文讨论的使用情境是LNmp或LNmpA系统架构下的情况。 为了方便举例说明,飘易就直接拿...

    Linux系统在当做网站服务器运行时,具有很高的效率和运行稳定性。windows系统下可以通过系统防火墙来限制外部计算机对服务器端口的访问,而Linux是通过iptables来允许或限制端口访问的。

     

        本文讨论的使用情境是LNmp或LNmpA系统架构下的情况。

     

        为了方便举例说明,飘易就直接拿来一段我的现有服务器上运行的防火墙iptables内容:

    # Firewall configuration written by system-config-firewall
    # Manual customization of this file is not recommended.
    *filter
    :INPUT ACCEPT [0:0]
    :FORWARD ACCEPT [0:0]
    :OUTPUT ACCEPT [0:0]
    -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    -A INPUT -p icmp -j ACCEPT
    -A INPUT -i lo -j ACCEPT
    -A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT # (ssh端口)
    -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT # (web端口)
    -A INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT # (ftp端口)
    -A INPUT -m state --state NEW -m tcp -p tcp --dport 20000:30000 -j ACCEPT # (ftp被动模式端口范围)
    -A INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT # (mysql端口)
    -A INPUT -j REJECT --reject-with icmp-host-prohibited
    -A FORWARD -j REJECT --reject-with icmp-host-prohibited
    COMMIT

     

        修改完防火墙iptables后,需要重新启动:

    /etc/init.d/iptables restart


    或者

    service iptables restart

     

        注意:iptables配置文件存放位置是:/etc/sysconfig/iptables
        保存命令:service iptables save
        使用命令:iptables -L -n 可以查看当前iptables的开放端口情况。
        iptables服务开机自动启动
        

    chkconfig iptables on


        检查iptables服务:
       

    # chkconfig --list iptables
      iptables        0:off   1:off   2:on    3:on    4:on    5:on    6:off


        上面开放的端口后面都有注明,有一个要注意的地方,就是FTP端口,FTP的默认端口21肯定要开放,但是一般的ftp软件都是默认先尝试几次被动模式PASV连接,在PASV模式连接失败后,才会进行主动模式PORT连接。

     

        如果我们仅仅开放21端口,这里就有问题了。FTP PASV模式下,还会随机使用一个空闲端口,这个端口范围在20000-30000之间。所以,我们需要把这个端口范围加入防火墙:

    -A INPUT -m state --state NEW -m tcp -p tcp --dport 20000:30000 -j ACCEPT


        关于FTP的PASV被动模式和PORT主动模式的说明
        FTP协议要用到两个TCP连接,一个是命令链路,用来在FTP客户端与服务器之间传递命令;另一个是数据链路,用来上传或下载数据。
        FTP协议有两种工作方式:PORT方式(主动)和PASV方式(被动),中文意思为主动式和被动式。

     

      Port模式:
      ftp server:tcp 21 <------client:dynamic
      ftp server:tcp 20 ------>client:dynamic

     

      Pasv模式:
      ftp server:tcp 21 <----client:dynamic
      ftp server:tcp dynamic <----client:dynamic

     

        port模式和pasv模式区别
        1、port模式:这种模式的FTP网管人员比较轻松,但兼容性较差,比如假如客户端在局域网内就会无法登录FTP服务器。假如有人无法使用port模式登录FTP的话,作为FTP治理员来说,你无论如何努力都是没有用的。因为这时问题症结在对方客户端的防火墙或网关。所以对于一个FTP服务器来说,尽量要使用pasv模式。

     

      2、pasv模式:这种模式的FTP兼容性好,但对FTP治理员来说有一定挑战性,而且设置的情况比较复杂,以下举例均以有防火墙的情况来说明:

     

      我们仅以服务器在公网上的情况举例:

     

      这是最理想的情况。21端口当然要首先开放,然后再作如下设置:

     

        windows系统下serv-u服务器:
    本地服务器——设置——高级,在"pasv端口端口范围"中填入一段不与其它端口冲突的范围,如3001-3020,然后在防火墙中开放3001-3020的端口。
        Linux系统下PureFTPd服务器:
    把端口20000-30000加入到iptables允许端口范围。

     

        如果你没有设置防火墙允许ftp pasv模式下的端口,那么在客户端使用ftp软件连接服务器的时候,将会出现类似以下的连接过程:

    [右] PASV
    [右] 227 Entering Passive Mode (42,51,100,50,110,83)
    [右] 正在打开数据连接 IP: 42.51.100.50 端口: 28243
    [右] 数据 Socket 错误: 没有到主机的通道
    [右] 列表 错误
    [右] PASV
    [右] 227 Entering Passive Mode (42,51,100,50,116,60)
    [右] 正在打开数据连接 IP: 42.51.100.50 端口: 29756
    [右] 数据 Socket 错误: 没有到主机的通道
    [右] 列表 错误
    [右] PASV 模式失败,正在尝试 PORT  模式。
    [右] 侦听于端口: 16585,正在等候连接。
    [右] PORT 192,168,1,6,64,201
    [右] 200 PORT command successful
    [右] MLSD
    [右] 150 Connecting to port 16585
    [右] 226-Options: -a -l 
    [右] 226 3 matches total
    [右] 列表完成: 316 字节 于 0.11 秒 (2.7 KB/秒)
    [右] PORT  模式已成功,请更新站点配置文件中的数据连接。

     

        从上面的ftp返回的信息,我们可以轻易的看出,ftp先进行了2次pasv被动模式连接,由于20000-30000之间的端口范围没有开放,所以pasv模式连接失败,最后进行了port主动模式连接才成功。

     

        但是正如我们上面所说,ftp port模式兼容性差,假如客户端在局域网内就会无法登录FTP服务器。所以,我们还是应该配置ftp服务器端的pasv被动模式下的端口。

     

     

     

    禁止端口:

    iptables -D FORWARD -p tcp --dport 8000 -j REJECT

    打开端口:

    iptables -I INPUT -p tcp --dport 3690 -j ACCEPT

    如果想永久开放端口,那就进入:vi /etc/sysconfig/iptables  在最后加上目标端口即可,保存退出后,使用:/sbin/service iptables restart 重启一下防火墙

     

     

    另,附iptables指令详解:来自(http://bbs.chinaunix.net/thread-2204793-1-1.html)

    语法:
    iptables [-t table] command [match] [-j target/jump]
    -t 参数用来指定规则表,内建的规则表有三个,分别是:nat、mangle 和 filter,当未指定规则表时,则一律视为是 filter。
    个规则表的功能如下:

    nat 此规则表拥有 Prerouting 和 postrouting 两个规则链,主要功能为进行一对一、一对多、多对多等网址转译工作(SNAT
    DNAT),由于转译工作的特性,需进行目的地网址转译的封包,就不需要进行来源网址转译,反之亦然,因此为了提升改写封包的
    率,在防火墙运作时,每个封包只会经过这个规则表一次。如果我们把封包过滤的规则定义在这个数据表里,将会造成无法对同一
    包进行多次比对,因此这个规则表除了作网址转译外,请不要做其它用途。

    mangle 此规则表拥有 Prerouting、FORWARD 和 postrouting 三个规则链。
    除了进行网址转译工作会改写封包外,在某些特殊应用可能也必须去改写封包(TTL、TOS)或者是设定 MARK(将封包作记号,以
    进行后续的过滤),这时就必须将这些工作定义在 mangle 规则表中,由于使用率不高,我们不打算在这里讨论 mangle 的用法。

    filter 这个规则表是预设规则表,拥有 INPUT、FORWARD 和 OUTPUT 三个规则链,这个规则表顾名思义是用来进行封包过滤的
    理动作(例如:DROP、 LOG、 ACCEPT 或 REJECT),我们会将基本规则都建立在此规则表中。

    常用命令列表:
    命令 -A, --append
    范例 iptables -A INPUT ...
    说明 新增规则到某个规则链中,该规则将会成为规则链中的最后一条规则。
    命令 -D, --delete
    范例 iptables -D INPUT --dport 80 -j DROP
    iptables -D INPUT 1
    说明 从某个规则链中删除一条规则,可以输入完整规则,或直接指定规则编号加以删除。
    命令 -R, --replace
    范例 iptables -R INPUT 1 -s 192.168.0.1 -j DROP
    说明 取代现行规则,规则被取代后并不会改变顺序。
    命令 -I, --insert
    范例 iptables -I INPUT 1 --dport 80 -j ACCEPT
    说明 插入一条规则,原本该位置上的规则将会往后移动一个顺位。
    命令 -L, --list
    范例 iptables -L INPUT
    说明 列出某规则链中的所有规则。
    命令 -F, --flush
    范例 iptables -F INPUT
    说明 删除某规则链中的所有规则。
    命令 -Z, --zero
    范例 iptables -Z INPUT
    说明 将封包计数器归零。封包计数器是用来计算同一封包出现次数,是过滤阻断式攻击不可或缺的工具。
    命令 -N, --new-chain
    范例 iptables -N allowed
    说明 定义新的规则链。
    命令 -X, --delete-chain
    范例 iptables -X allowed
    说明 删除某个规则链。
    命令 -P, --policy
    范例 iptables -P INPUT DROP
    说明 定义过滤政策。 也就是未符合过滤条件之封包,预设的处理方式。
    命令 -E, --rename-chain
    范例 iptables -E allowed disallowed
    说明 修改某自订规则链的名称。
    常用封包比对参数:
    参数 -p, --protocol
    范例 iptables -A INPUT -p tcp
    说明 比对通讯协议类型是否相符,可以使用 ! 运算子进行反向比对,例如:-p ! tcp ,意思是指除 tcp 以外的其它类型,包含
    udp、icmp ...等。如果要比对所有类型,则可以使用 all 关键词,例如:-p all。
    参数 -s, --src, --source
    范例 iptables -A INPUT -s 192.168.1.1
    说明 用来比对封包的来源 IP,可以比对单机或网络,比对网络时请用数字来表示屏蔽,例如:-s 192.168.0.0/24,比对 IP 时
    可以使用 ! 运算子进行反向比对,例如:-s ! 192.168.0.0/24。
    参数 -d, --dst, --destination
    范例 iptables -A INPUT -d 192.168.1.1
    说明 用来比对封包的目的地 IP,设定方式同上。
    参数 -i, --in-interface
    范例 iptables -A INPUT -i eth0
    说明 用来比对封包是从哪片网卡进入,可以使用通配字符 + 来做大范围比对,例如:-i eth+ 表示所有的 ethernet 网卡,也
    以使用 ! 运算子进行反向比对,例如:-i ! eth0。
    参数 -o, --out-interface
    范例 iptables -A FORWARD -o eth0
    说明 用来比对封包要从哪片网卡送出,设定方式同上。
    参数 --sport, --source-port
    范例 iptables -A INPUT -p tcp --sport 22
    说明 用来比对封包的来源埠号,可以比对单一埠,或是一个范围,例如:--sport 22:80,表示从 22 到 80 埠之间都算是符合
    件,如果要比对不连续的多个埠,则必须使用 --multiport 参数,详见后文。比对埠号时,可以使用 ! 运算子进行反向比对。
    参数 --dport, --destination-port
    范例 iptables -A INPUT -p tcp --dport 22
    说明 用来比对封包的目的地埠号,设定方式同上。
    参数 --tcp-flags
    范例 iptables -p tcp --tcp-flags SYN,FIN,ACK SYN
    说明 比对 TCP 封包的状态旗号,参数分为两个部分,第一个部分列举出想比对的旗号,第二部分则列举前述旗号中哪些有被设
    ,未被列举的旗号必须是空的。TCP 状态旗号包括:SYN(同步)、ACK(应答)、FIN(结束)、RST(重设)、URG(紧急)
    PSH(强迫推送) 等均可使用于参数中,除此之外还可以使用关键词 ALL 和 NONE 进行比对。比对旗号时,可以使用 ! 运算子
    行反向比对。
    参数 --syn
    范例 iptables -p tcp --syn
    说明 用来比对是否为要求联机之 TCP 封包,与 iptables -p tcp --tcp-flags SYN,FIN,ACK SYN 的作用完全相同,如果使用 !
    运算子,可用来比对非要求联机封包。
    参数 -m multiport --source-port
    范例 iptables -A INPUT -p tcp -m multiport --source-port 22,53,80,110
    说明 用来比对不连续的多个来源埠号,一次最多可以比对 15 个埠,可以使用 ! 运算子进行反向比对。
    参数 -m multiport --destination-port
    范例 iptables -A INPUT -p tcp -m multiport --destination-port 22,53,80,110
    说明 用来比对不连续的多个目的地埠号,设定方式同上。
    参数 -m multiport --port
    范例 iptables -A INPUT -p tcp -m multiport --port 22,53,80,110
    说明 这个参数比较特殊,用来比对来源埠号和目的埠号相同的封包,设定方式同上。注意:在本范例中,如果来源端口号为 80 
    目的地埠号为 110,这种封包并不算符合条件。
    参数 --icmp-type
    范例 iptables -A INPUT -p icmp --icmp-type 8
    说明 用来比对 ICMP 的类型编号,可以使用代码或数字编号来进行比对。请打 iptables -p icmp --help 来查看有哪些代码可
    用。
    参数 -m limit --limit
    范例 iptables -A INPUT -m limit --limit 3/hour
    说明 用来比对某段时间内封包的平均流量,上面的例子是用来比对:每小时平均流量是否超过一次 3 个封包。 除了每小时平均
    次外,也可以每秒钟、每分钟或每天平均一次,默认值为每小时平均一次,参数如后: /second、 /minute、/day。 除了进行封
    数量的比对外,设定这个参数也会在条件达成时,暂停封包的比对动作,以避免因骇客使用洪水攻击法,导致服务被阻断。
    参数 --limit-burst
    范例 iptables -A INPUT -m limit --limit-burst 5
    说明 用来比对瞬间大量封包的数量,上面的例子是用来比对一次同时涌入的封包是否超过 5 个(这是默认值),超过此上限的封
    将被直接丢弃。使用效果同上。
    参数 -m mac --mac-source
    范例 iptables -A INPUT -m mac --mac-source 00:00:00:00:00:01
    说明 用来比对封包来源网络接口的硬件地址,这个参数不能用在 OUTPUT 和 Postrouting 规则炼上,这是因为封包要送出到网
    后,才能由网卡驱动程序透过 ARP 通讯协议查出目的地的 MAC 地址,所以 iptables 在进行封包比对时,并不知道封包会送到
    个网络接口去。
    参数 --mark
    范例 iptables -t mangle -A INPUT -m mark --mark 1
    说明 用来比对封包是否被表示某个号码,当封包被比对成功时,我们可以透过 MARK 处理动作,将该封包标示一个号码,号码最
    不可以超过 4294967296。
    参数 -m owner --uid-owner
    范例 iptables -A OUTPUT -m owner --uid-owner 500
    说明 用来比对来自本机的封包,是否为某特定使用者所产生的,这样可以避免服务器使用 root 或其它身分将敏感数据传送出
    ,可以降低系统被骇的损失。可惜这个功能无法比对出来自其它主机的封包。
    参数 -m owner --gid-owner
    范例 iptables -A OUTPUT -m owner --gid-owner 0
    说明 用来比对来自本机的封包,是否为某特定使用者群组所产生的,使用时机同上。
    参数 -m owner --pid-owner
    范例 iptables -A OUTPUT -m owner --pid-owner 78
    说明 用来比对来自本机的封包,是否为某特定行程所产生的,使用时机同上。
    参数 -m owner --sid-owner
    范例 iptables -A OUTPUT -m owner --sid-owner 100
    说明 用来比对来自本机的封包,是否为某特定联机(Session ID)的响应封包,使用时机同上。
    参数 -m state --state
    范例 iptables -A INPUT -m state --state RELATED,ESTABLISHED
    说明 用来比对联机状态,联机状态共有四种:INVALID、ESTABLISHED、NEW 和 RELATED。

    INVALID 表示该封包的联机编号(Session ID)无法辨识或编号不正确。
    ESTABLISHED 表示该封包属于某个已经建立的联机。
    NEW 表示该封包想要起始一个联机(重设联机或将联机重导向)。
    RELATED 表示该封包是属于某个已经建立的联机,所建立的新联机。例如:FTP-DATA 联机必定是源自某个 FTP 联机。

    常用的处理动作:
    -j 参数用来指定要进行的处理动作,常用的处理动作包括:ACCEPT、REJECT、DROP、REDIRECT、MASQUERADE、LOG、DNAT、

    SNAT、MIRROR、QUEUE、RETURN、MARK,分别说明如下:
    ACCEPT 将封包放行,进行完此处理动作后,将不再比对其它规则,直接跳往下一个规则炼(natostrouting)。
    REJECT 拦阻该封包,并传送封包通知对方,可以传送的封包有几个选择:ICMP port-unreachable、ICMP echo-reply 或是 
    tcp-reset(这个封包会要求对方关闭联机),进行完此处理动作后,将不再比对其它规则,直接 中断过滤程序。 范例如下:
    iptables -A FORWARD -p TCP --dport 22 -j REJECT --reject-with tcp-reset
    DROP 丢弃封包不予处理,进行完此处理动作后,将不再比对其它规则,直接中断过滤程序。
    REDIRECT 将封包重新导向到另一个端口(PNAT),进行完此处理动作后,将 会继续比对其它规则。 这个功能可以用来实作通透式
    porxy 或用来保护 web 服务器。例如:iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
    MASQUERADE 改写封包来源 IP 为防火墙 NIC IP,可以指定 port 对应的范围,进行完此处理动作后,直接跳往下一个规则
    (mangleostrouting)。这个功能与 SNAT 略有不同,当进行 IP 伪装时,不需指定要伪装成哪个 IP,IP 会从网卡直接读
    ,当使用拨接连线时,IP 通常是由 ISP 公司的 DHCP 服务器指派的,这个时候 MASQUERADE 特别有用。范例如下:
    iptables -t nat -A POSTROUTING -p TCP -j MASQUERADE --to-ports 1024-31000
    LOG 将封包相关讯息纪录在 /var/log 中,详细位置请查阅 /etc/syslog.conf 组态档,进行完此处理动作后,将会继续比对其
    规则。例如:
    iptables -A INPUT -p tcp -j LOG --log-prefix "INPUT packets"
    SNAT 改写封包来源 IP 为某特定 IP 或 IP 范围,可以指定 port 对应的范围,进行完此处理动作后,将直接跳往下一个规则
    (mangleostrouting)。范例如下:
    iptables -t nat -A POSTROUTING -p tcp-o eth0 -j SNAT --to-source 194.236.50.155-194.236.50.160:1024-32000
    DNAT 改写封包目的地 IP 为某特定 IP 或 IP 范围,可以指定 port 对应的范围,进行完此处理动作后,将会直接跳往下一个规
    炼(filter:input 或 filter:forward)。范例如下:
    iptables -t nat -A PREROUTING -p tcp -d 15.45.23.67 --dport 80 -j DNAT --to-destination
    192.168.1.1-192.168.1.10:80-100
    MIRROR 镜射封包,也就是将来源 IP 与目的地 IP 对调后,将封包送回,进行完此处理动作后,将会中断过滤程序。
    QUEUE 中断过滤程序,将封包放入队列,交给其它程序处理。透过自行开发的处理程序,可以进行其它应用,例如:计算联机费
    .......等。
    RETURN 结束在目前规则炼中的过滤程序,返回主规则炼继续过滤,如果把自订规则炼看成是一个子程序,那么这个动作,就相当
    提早结束子程序并返回到主程序中。
    MARK 将封包标上某个代号,以便提供作为后续过滤的条件判断依据,进行完此处理动作后,将会继续比对其它规则。范例如下:
    iptables -t mangle -A PREROUTING -p tcp --dport 22 -j MARK --set-mark 2

     

    原文链接:http://www.piaoyi.org/linux/554.html

    http://blog.sina.com.cn/s/blog_802c5d6e01012265.html

    展开全文
  • 防火墙ftp 模式

    2021-08-08 15:59:59
    FTP是仅基于TCP的服务,不支持UDP。 与众不同的是FTP使用2个端口,一个数据端口和一个命令端口(也可叫做控制端口)。通常来说这两个端口是21-命令端口和20-数据端口。但当我们发现根据(FTP工作)方式的不同...

    1. ftp基础

    FTP是仅基于TCP的服务,不支持UDP。 与众不同的是FTP使用2个端口,一个数据端口和一个命令端口(也可叫做控制端口)。通常来说这两个端口是21-命令端口和20-数据端口。但当我们发现根据(FTP工作)方式的不同数据端口并不总是20时,混乱产生了。 

    2. 主动FTP

    主动方式的FTP是这样的:客户端从一个任意的非特权端口N(N>;1024)连接到FTP服务器的命令端口,也就是21端口。然后客户端开始监听端口N+1,并发送FTP命令“port N+1”到FTP服务器。接着服务器会从它自己的数据端口(20)连接到客户端指定的数据端口(N+1)。
    针对FTP服务器前面的防火墙来说,必须允许以下通讯才能支持主动方式FTP:
    任何端口到FTP服务器的21端口 (客户端初始化的连接 S<-C)
    FTP服务器的21端口到大于1023的端口(服务器响应客户端的控制端口 S->C)
    FTP服务器的20端口到大于1023的端口(服务器端初始化数据连接到客户端的数据端口 S->C)
    大于1023端口到FTP服务器的20端口(客户端发送ACK响应到服务器的数据端口 S<-C)
    画出来的话,连接过程大概是下图的样子:
    ftp
    在第1步中,客户端的命令端口与FTP服务器的命令端口建立连接,并发送命令“PORT 1027”。然后在第2步中,FTP服务器给客户端的命令端口返回一个"ACK"。在第3步中,FTP服务器发起一个从它自己的数据端口(20)到客户端先前指定的数据端口(1027)的连接,最后客户端在第4步中给服务器端返回一个"ACK"。
    主动方式FTP的主要问题实际上在于客户端。FTP的客户端并没有实际建立一个到服务器数据端口的连接,它只是简单的告诉服务器自己监听的端口号,服务器再回来连接客户端这个指定的端口。对于客户端的防火墙来说,这是从外部系统建立到内部客户端的连接,这是通常会被阻塞的。

    3. 主动FTP的例子

    下面是一个主动FTP会话的实际例子。当然服务器名、IP地址和用户名都做了改动。在这个例子中,FTP会话从 testbox1.slacksite.com (192.168.150.80),一个运行标准的FTP命令行客户端的Linux工作站,发起到testbox2.slacksite.com (192.168.150.90),一个运行ProFTPd 1.2.2RC2的Linux工作站。debugging(-d)选项用来在FTP客户端显示连接的详细过程。红色的文字是 debugging信息,显示的是发送到服务器的实际FTP命令和所产生的回应信息。服务器的输出信息用黑色字表示,用户的输入信息用粗体字表示。 

    仔细考虑这个对话过程我们会发现一些有趣的事情。我们可以看到当 PORT 命令被提交时,它指定了客户端(192.168.150.80)上的一个端口而不是服务器的。当我们用被动FTP时我们会看到相反的现象。我们再来关注PORT命令的格式。就象你在下面的例子看到的一样,它是一个由六个被逗号隔开的数字组成的序列。前四个表示IP地址,后两个组成了用于数据连接的端口号。用第五个数乘以256再加上第六个数就得到了实际的端口号。下面例子中端口号就是( (14*256) + 178) = 3762。我们可以用netstat来验证这个端口信息。 

    testbox1: {/home/p-t/slacker/public_html} %  ftp -d testbox2  
    Connected to testbox2.slacksite.com. 
    220 testbox2.slacksite.com FTP server ready. 
    Name (testbox2:slacker):  slacker  
    ---> USER slacker  
    331 Password required for slacker. 
    Password:  TmpPass  
    ---> PASS XXXX  
    230 User slacker logged in. 
    ---> SYST 
    215 UNIX Type: L8  
    Remote system type is UNIX. 
    Using binary mode to transfer files. 
    ftp>  ls  
    ftp: setsockopt (ignored): Permission denied 
    ---> PORT 192,168,150,80,14,178  
    200 PORT command successful. 
    ---> LIST  
    150 Opening ASCII mode data connection for file list. 
    drwx------   3 slacker    users         104 Jul 27 01:45 public_html 
    226 Transfer complete. 
    ftp>  quit  
    ---> QUIT  
    221 Goodbye.
    

    4. 被动FTP

    为了解决服务器发起到客户的连接的问题,人们开发了一种不同的FTP连接方式。这就是所谓的被动方式,或者叫做PASV,当客户端通知服务器它处于被动模式时才启用。
    在被动方式FTP中,命令连接和数据连接都由客户端,这样就可以解决从服务器到客户端的数据端口的入方向连接被防火墙过滤掉的问题。当开启一个FTP连接时,客户端打开两个任意的非特权本地端口(N >; 1024和N+1)。第一个端口连接服务器的21端口,但与主动方式的FTP不同,客户端不会提交PORT命令并允许服务器来回连它的数据端口,而是提交PASV命令。这样做的结果是服务器会开启一个任意的非特权端口(P >; 1024),并发送PORT P命令给客户端。然后客户端发起从本地端口N+1到服务器的端口P的连接用来传送数据。
    对于服务器端的防火墙来说,必须允许下面的通讯才能支持被动方式的FTP:

    任何端口到FTP服务器的21端口 (客户端初始化的连接 S<-C)
    服务器的21端口到任何大于1023的端口 (服务器响应到客户端的控制端口的连接 S->C)
    从任何端口到服务器的大于1023端口 (入;客户端初始化数据连接到服务器指定的任意端口 S<-C)
    服务器的大于1023端口到远程的大于1023的端口(出;服务器发送ACK响应和数据到客户端的数据端口 S->C)

    画出来的话,被动方式的FTP连接过程大概是下图的样子:
    ftp
    在第1步中,客户端的命令端口与服务器的命令端口建立连接,并发送命令“PASV”。然后在第2步中,服务器返回命令"PORT 2024",告诉客户端(服务器)用哪个端口侦听数据连接。在第3步中,客户端初始化一个从自己的数据端口到服务器端指定的数据端口的数据连接。最后服务器在第4 步中给客户端的数据端口返回一个"ACK"响应。
    被动方式的FTP解决了客户端的许多问题,但同时给服务器端带来了更多的问题。最大的问题是需要允许从任意远程终端到服务器高位端口的连接。幸运的是,许多FTP守护程序,包括流行的WU-FTPD允许管理员指定FTP服务器使用的端口范围。详细内容参看附录1。
    第二个问题是客户端有的支持被动模式,有的不支持被动模式,必须考虑如何能支持这些客户端,以及为他们提供解决办法。例如,Solaris提供的FTP命令行工具就不支持被动模式,需要第三方的FTP客户端,比如ncftp。
    随着WWW的广泛流行,许多人习惯用web浏览器作为FTP客户端。大多数浏览器只在访问ftp://这样的URL时才支持被动模式。这到底是好还是坏取决于服务器和防火墙的配置。

    5. 被动FTP的例子

    下面是一个被动FTP会话的实际例子,只是服务器名、IP地址和用户名都做了改动。在这个例子中,FTP会话从 testbox1.slacksite.com (192.168.150.80),一个运行标准的FTP命令行客户端的Linux工作站,发起到testbox2.slacksite.com (192.168.150.90),一个运行ProFTPd 1.2.2RC2的Linux工作站。debugging(-d)选项用来在FTP客户端显示连接的详细过程。红色的文字是 debugging信息,显示的是发送到服务器的实际FTP命令和所产生的回应信息。服务器的输出信息用黑色字表示,用户的输入信息用粗体字表示。 
    注意此例中的PORT命令与主动FTP例子的不同。这里,我们看到是服务器(192.168.150.90)而不是客户端的一个端口被打开了。可以跟上面的主动FTP例子中的PORT命令格式对比一下。

    testbox1: {/home/p-t/slacker/public_html} % ftp -d testbox2 
    Connected to testbox2.slacksite.com. 
    220 testbox2.slacksite.com FTP server ready. 
    Name (testbox2:slacker):  slacker  
    ---> USER slacker  
    331 Password required for slacker. 
    Password:  TmpPass  
    ---> PASS XXXX  
    230 User slacker logged in. 
    ---> SYST 
    215 UNIX Type: L8  
    Remote system type is UNIX. 
    Using binary mode to transfer files. 
    ftp>  passive  
    Passive mode on. 
    ftp>  ls  
    ftp: setsockopt (ignored): Permission denied  
    ---> PASV  
    227 Entering Passive Mode (192,168,150,90,195,149). 
    ---> LIST  
    150 Opening ASCII mode data connection for file list 
    drwx------   3 slacker    users         104 Jul 27 01:45 public_html 
    226 Transfer complete. 
    ftp>;  quit  
    ---> QUIT  
    221 Goodbye.
    

    6. 总结

    总结

    下面的图表会帮助管理员们记住每种FTP方式是怎样工作的:

    主动FTP:
    命令连接:客户端 >1023端口 -> 服务器 21端口
    数据连接:客户端 >1023端口 <- 服务器 20端口

    被动FTP:
    命令连接:客户端 >1023端口 -> 服务器 21端口
    数据连接:客户端 >1023端口 -> 服务器 >1023端口

    下面是主动与被动FTP优缺点的简要总结:

    主动FTP对FTP服务器的管理有利,但对客户端的管理不利。因为FTP服务器企图与客户端的高位随机端口建立连接,而这个端口很有可能被客户端的防火墙阻塞掉。被动FTP对FTP客户端的管理有利,但对服务器端的管理不利。因为客户端要与服务器端建立两个连接,其中一个连到一个高位随机端口,而这个端口很有可能被服务器端的防火墙阻塞掉。

    幸运的是,有折衷的办法。既然FTP服务器的管理员需要他们的服务器有最多的客户连接,那么必须得支持被动FTP。我们可以通过为FTP服务器指定一个有限的端口范围来减小服务器高位端口的暴露。这样,不在这个范围的任何端口会被服务器的防火墙阻塞。虽然这没有消除所有针对服务器的危险,但它大大减少了危险。

    PS:

    • 在windows cmd命令下默认的连接方式是port主动模式。可以用literal pasv进行被动模式,但是没有找到切换至 主动模式的命令。

    • 在Linxu Unix中使用pass命令进行模式切换。

    参考资料 
    O’Reilly出版的《组建Internet防火墙》(第二版,Brent Chapman,Elizabeth Zwicky著)是一本很不错的参考资料。里面讲述了各种Internet协议如何工作,以及有关防火墙的例子。  

    最权威的FTP参考资料是RFC 959,它是FTP协议的官方规范。RFC的资料可以从许多网站上下载,例如:
    ftp://nic.merit.edu/documents/rfc/rfc0959.txt 

    展开全文
  • 本文将为大家介绍Linux中使用有状态防火墙实现FTP功能。
  • 一、查看防火墙状态 service firewalld status 二、设置允许访问的ip firewalld-cmd --permanment --zone=rusted --add-source=ip1 --add-source=ip2 --add-source=ip3 三、使设置生效 firewalld-cmd --reload ...

    一、查看防火墙状态

    service firewalld status
    

    二、设置允许访问的ip

    firewalld-cmd --permanent  --zone=trusted  --add-source=ip1  --add-source=ip2  --add-source=ip3
    

    三、使设置生效

    firewalld-cmd --reload
    

    四、示例

    在这里插入图片描述

    五、设置允许访问的端口

    firewalld-cmd  --permanent  --add-port=5900-5922/tcp
    

    说明:设置后也需要运行firewalld-cmd --reload,使设置生效。

    展开全文
  • linux(RHEL) 下 FTP(vsftpd) 服务器的防火墙配置FTP服务器在与客户端通讯的过程中会用到两个端口,一个是控制端口,通常是21/tcp,一个是数据端口,运行在主动模式下的FTP服务器的数据端口一般是20/tcp,运行在被动...
  • Linux防火墙配置

    千次阅读 2022-04-14 22:54:27
    3.允许内网用户通过防火墙访问外部FTP服务器 二、实验环境 3台Ubuntu虚拟机 Ubuntu 64位:内网(服务器) Ubuntu 2 :网关(防火墙) Ubuntu 3:外网 注:Ubuntu的可视化操作较为便利,这里使用Ubuntu易于进行...
  • 亲测可用,对于刚刚搭建了DNS服务器,需要开启防火墙但又不知道该怎么设置的朋友,可以参考下面的内容,或者直接使用我下面给出的脚本程序。如果服务器是作为DNS服务器使用的,针对绝大多数的情况,为了开启防火墙...
  •   FTP默认使用21端口进行连接,但实际上不止使用了21端口,如果防火墙是打开的,那就会碰到一个问题就是,能登录ftp,但是下载文件却会有问题。   FTP是常见的基于TCP的网络服务,它使用了两个TCP连接来建立逻辑...
  • Linux防火墙

    千次阅读 2021-11-01 13:51:57
    一、安全技术和防火墙 1.安全技术 (1)入侵检测系统(Intrusion Detection Systems) 特点是不阻断任何网络访问,量化、定位来自内外网络的威胁情况,主要以提供报警和事后监督为主,提供有针对性的指导措施和...
  • linux启用ftp服务

    2021-05-15 22:30:10
    如何在linux下开启FTP服务1. 首先服务器要安装ftp软件,查看是否已经安装ftp软件下:#which vsftpd如果看到有vsftpd的目录说明服务器已经安装了ftp软件2. 查看ftp 服务器状态#service vsftpd status3. 启动ftp服务器#...
  • 通过配置PIX防火墙实现FTP客户端对服务端的访问拓扑图vsftpd服务端配置# 修改/etc/vsftpd/vsftpd.conf文件,添加以下内容(指定被动连接采用的端口范围)pasv_min_port=60020pasv_max_port=60020# 重启vsftpd服务...
  • iptables防火墙如何开放ftp端口

    千次阅读 2021-05-11 11:44:38
    Linux服务器上安装ftp提供用户上传下载,是很方便的事情,但是如果你的服务器开启了iptables防火墙,就要对ftp端口做一些设置。我之前也做过iptables允许某个端口访问的视频,为什么还要做ftp端口这个演示?因为ftp...
  • Linux防火墙策略管理

    千次阅读 2022-01-02 21:30:58
    firewalld基础服务 (一)系统服务 firewalld (二)管理工具 firewalld-cmd:终端命令 firewalld-config:图形化...(四)防火墙匹配原则:匹配及停止 查看数据包中源IP地址,然后查询所有区域中的规则,哪一个
  • Linux搭建FTP服务器

    千次阅读 2021-11-04 18:01:50
    一、检查ftp服务是否安装
  • linux安装nginx详细步骤,Linux打开防火墙的操作命令 查看安装是否成功 查看版本号 (4)nginx下载 nginx官网下载链接 tips:我是把下载的压缩包放到了usr目录下(使用ftp上传也都可以) 能在同级...
  • Linux配置防火墙

    2022-05-15 20:15:19
    Linux配置防火墙
  • 案例: 在公司内网和外网之间有一部Linux主机,具有如下两个接口: eth0:连接公司内部局域网,IP地址为192.168.学号.10/24 eth1:主机的外部网络接口,连接到Internet,IP地址为11.1.学号.10/24 公司需要将该...
  • 配置FTP想要其他电脑能够打开需要关闭防火墙防火墙(firewalld)临时关闭防火墙 systemctl stop firewalld永久防火墙开机自关闭 systemctl disable firewalld临时打开防火墙 systemctl start firewalld防火墙开机...
  • 首先打开防火墙: systemctl start firwalld.service 打开端口21 ,20 firewall-cmd --permanent --zone=public --add-port=20-21/tcp #允许通过tcp访问相应端口 利用curl访问ftp:curl ftp://xxx.xxx.xx.xx -u ...
  • 本篇博客对Linux防火墙及一些命令进行解释,并展示现象。
  • Linux防火墙之iptables详解

    千次阅读 2022-05-15 10:54:55
    防火墙分类 从逻辑上分类 主机防火墙:针对单个主机防护 网络防火墙:出于网络入口或边缘,针对网络入口防护,服务于防火墙背后的本地局域网 从物理上分类 软件防火墙 硬件防火墙 iptables包过滤防火墙 (在用户空间...
  • linux防火墙(firewalld和iptables)

    千次阅读 2021-11-01 14:20:07
    这里写目录标题1安全技术和防火墙1.1 安全技术1.2 防火墙的分类2.Linux 防火墙的基本认识2.1Netfilter2.2防火墙工具介绍2.2.1 iptables2.2.2 firewalld2.2.3 nftables2.3 netfilter中五个勾子函数和报文流向3....
  • 在 Centos7 中防火墙由 firewalld 来管理1. 开启端口,如 3306 MySQL数据库端口## zone --> 作用域## add-port=80/tcp --> 添加端口,格式为:端口/通讯协议## permanent --> 永久生效,没有此参数重启后...
  • Linux 防火墙防火墙规则

    千次阅读 2020-01-21 18:10:01
    防火墙的分类 包过滤型防火墙 工作在OSI参考模型的网络层 它根据数据包头...代理型防火墙可以允许或拒绝特定的应用程序或服务,还可以实施数据流监控、过滤、 记录和报告功能 代理服务器通常有高速缓存功能 代...
  • Linux防火墙 IPtables IPtables 表的概念 与链的概念 IPtables 应用 操作方法 对匹配的值进行的处理动作表 限制端口 限制IP地址 限制IP地址段 限制协议 根据报文内容的限制 centos7 的改动 最近使用到了 ...
  • linux 防火墙 firewalld和iptables区别

    千次阅读 2021-11-15 15:27:27
    linux 中firewalld 与iptables 是共存的; 对于支持firewalld 的系统中,建议使用firewalld,因为firewalld的一个十分方便的功能是可以动态添加防火墙规则,而直接生效,这在iptables中不不行的;这点对系统安全...
  • FTP服务器的防火墙通用设置规则适用于Windows(包括服务器版和桌面版)、Linux服务器以及可能的其他操作系统。 在配置好FTP服务器后将发起FTP服务的程序(如Windows的svchost.exe或FileZilla server.exe)而不仅仅是...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 34,345
精华内容 13,738
关键字:

linux防火墙允许ftp