21.1 FTP服务器原理
使用明码传输方式，且有相当多的安全危机历史。因此一般使用功能较少的vsftpd这个软件。
21.1.1 FTP功能简介
有以下功能
- 文档传输与管理
- 不同等级的用户身份：user，guest，anonymous
- 命令记录与登录文件记录
- 限制用户活动的目录：（change root,简称 chroot）
- 即将登录用户的家目录变成根目录
21.1.2 FTP的运作流程与使用用的端口号
FTP的传输使用的是TCP封包协议。
FTP服务器使用了两个联机，分别是：
- 命令信道
- 数据流通道（ftp-data）
两个联机通道的关系是怎么样的？以FTP预设的主动式（active）联机来做说明：
主动指的是FTP服务器主动联机客户端，作为数据通道；
- 建立命令通道的联机
- 客户端会随机取一个大于 1024 以上的端口 (port AA) 来与 FTP服务器端的 port 21 达成联机， 这个过程当然TCP三次握手了！
- 达成联机后客户端便可以透过这个联机来对 FTP 服务器下达指令， 包括查询文件名、下载、上传等指令
- 通知 FTP 服务器端，使用 active 且告知连接的端口号
- 客户端在需要数据的情况下，会告知服务器端要用什么方式来联机，如果是主动式 (active) 联机时， 客户端会先随机启用一个端口号 (图21.1-1 当中的 port BB) ，且透过命令通道告知 FTP 服务器这两个信息，并等待 FTP 服务器的联机；
- FTP 服务器『主动』向客户端联机
- FTP 服务器由命令通道了解客户端的需求后，会主动的由 20 这个端口号向客户端的 port BB 联机， 这个联机当然也会经过TCP三次握手！此时 FTP 的客户端与服务器端共会建立两条联机，分别用在命令的下达与数据的传递。 而预设 FTP服务器端使用的主动联机端口号就是 port 20 ！
如此一来则成功的建立起『命令』与『数据传输』两个信道！不过，要注意的是，数据传输信道是在有数据传输的行为时才会建立的通道喔！并不是一开始连接到FTP 服务器就立刻建立的通道
由上可见，主动式联机使用到的端口号：
- 命令通道的 ftp (默认为 port 21)
- 数据传输的 ftp-data (默认为 port 20)
在主动联机的 FTP 服务器与客户端之间具有防火墙的联机问题
一般来说，很多的局域网络都会使用防火墙(iptables) 的 NAT 功能，那么在 NAT 后端的 FTP 用户如何连接到 FTP 服务器呢？
服务器主动连到 NAT 等待转递至客户端的联机问题：
由于透过 NAT 的转换后， FTP 服务器只能得知 NAT 的 IP 而不是客户端的IP ， 因此 FTP 服务器会以 port 20 主动的向 NAT 的 port BB 发送主动联机的要求。 但你的 NAT 并没有启动 port BB 来监听 FTP 服务器的联机啊！
解决办法：
- 使用iptables所提供的FTP侦测模块
- ip_conntrack_ftp 及 ip_nat_ftp 等模块主动的分析『目标是 port 21 的联机』信息，得到port BB 的资料，
- 此时若接受到 FTP 服务器的主动联机，就能够将该封包导向正确的后端主机了。
- 客户端选择被动式（Passive）联机模式
- 主动式，是指 服务器主动联机客户端。那被动式，就是客户端联机服务器。这里都是指的数据传输联机。
21.1.3 客户端选择被动式联机模式
- 用户与服务器建立命令信道
- 客户端发出 PASV 的联机要求
- 发出联机要求，病等待服务器的回应
- FTP 服务器启动数据端口口，并通知客户端联机
- 这个端口号码不是主动式的port 20 ，而是随机的。
- 告知客户端这个 port PASV；
- 客户端随机取用大于 1024 的端口号进行连接
21.1.4 FTP的安全性问题与替代方案
ssh,提供较为安全的sftp-server。在上面传输的数据是经过加密的。
21.1.5 开放什么身份的使用者登入
- 开放实体用户的情况 (Real user)
- 系统默认并没有针对实体用户来进行『限制』的，所以他可以针对整个文件系统进行任何他所具有权限的工作。
- 限制用户能力： chroot 与 /sbin/nologin 等
- 访客身份（Guest）
- 访客身份的限制
- 上传下载档案数目与磁盘容量限制，联机时间，可用指令。
- 如chmod等就不要允许使用
- 匿名登录使用者（anonymous）
- 几乎不要给指令
- 限制文件传输的数量，尽量不给上传数据的权限
- 限制匿名者同时登录的最大联机数量。