江西广告网

标题: (ISA技术)关于FTP的工作方式和解决办法 [打印本页]

---

作者: gdvxcv    时间: 2008-12-10 09:58
标题: (ISA技术)关于FTP的工作方式和解决办法

　　有很多人对FTP的问题多多，大家参考、讨论一下。
　　
　　我的环境：
　　SERVER：ISA SP1，IIS
　　CLIENT：Windows 2000 and XP, CuteFTP
　　主要讨论ISA和FTP在同一台机器上的处理办法。
　　
　　FTP的特殊性：
　　大多数的TCP服务是使用单个的连接，一般是客户向服务器的一个周知端口发起连接，然后使用这个连接进行通讯。但是，FTP协议却有所不同，它使用双向的多个连接，而且使用的端口很难预计。一般，FTP连接包括：
　　
　　一个控制连接(control connection)
　　这个连接用于传递客户端的命令和服务器端对命令的响应。它使用服务器的21端口，生存期是整个FTP会话时间。
　　
　　几个数据连接(data connection)
　　这些连接用于传输文件和其它数据，例如：目录列表等。这种连接在需要数据传输时建立，而一旦数据传输完毕就关闭，每次使用的端口也不一定相同。而且，数据连接既可能是客户端发起的，也可能是服务器端发起的。
　　
　　在FTP协议中，控制连接使用周知端口21，因此使用ISA的IP PACKET FILTER就可以这种连接进行很好的安全保护。相反，数据传输连接的目的端口通常实现无法知道，因此处理这样的端口转发非常困难。FTP协议使用一个标准的端口21作为ftp-data端口，但是这个端口只用于连接的源地址是服务器端的情况，在这个端口上根本就没有监听进程。FTP的数据连接和控制连接的方向一般是相反的，也就是说，是服务器向客户端发起一个用于数据传输的连接。连接的端口是由服务器端和客户端协商确定的。FTP协议的这个特征对ISA转发以及防火墙和NAT的配置增加了很多困难。
　　
　　除此之外，还有另外一种FTP模式，叫做被动模式(passive mod)。在这种模式下，数据连接是由客户程序发起的，和刚才讨论过的模式(我们可以叫做主动模式)相反。是否采取被动模式取决于客户程序，在ftp命令行中使用passive命令就可以关闭/打开被动模式。
　　
　　前面我们讲过，FTP协议的数据传输存在两种模式：主动模式和被动模式。这两种模式发起连接的方向截然相反，主动模式是从服务器端向客户端发起；被动模式是客户端向服务器端发起连接。
　　
　　我们回到ISA的情况，如果采用被动模式，由于IIS是完全随机的选择一个端口，并告知客户，然后客户进行主动连接，这就意味着在ISA上，你要让所有的端口都允许动态入站连接才行，这样肯定不行，因为太危险了，等于打开了所有的端口连接。
　　如果采用主动模式（PORT Mode)，IIS选择好端口后，主动与客户进行连接，这时候不需要像PASV模式那样打开所有的动态入站连接，而且正好相反，我们需要打开所有的动态出站连接即可，安全性增加很多。而且由ISA的IP PACKET FILTER只对ISA本机起作用，不会造成局域网内的客户“放了羊”。
　　
　　所以，我个人这样做的：
　　（1）由于IIS和ISA都在一台机器上，所以它俩都在侦听21号端口（IIS默认情况下会侦听所有地址的21端口），所以我们首先要让IIS只侦听内
　　
　　网地址的PORT 21，在DOS下，你可以通过NETSTAT -NA > abc.txt，然后打开这个文件，你会看到0.0.0.0 21 LISTENING字样。
　　输入如下命令：
　　net stop msftpsvc （停止FTP服务）
　　进入\Inetpub\adminscripts\目录
　　cscript adsutil.vbs set msftpsvc/disablesocketpooling true （停止侦听）
　　net start msftpsvc （启动FTP服务）
　　（2）在IIS控制台里面，ftp->Property->FTP Site->IP Address改为内网地址。现在，FTP服务只侦听内网IP的21号端口了。
　　（3）大家可能这时候有疑问，如果是IIS主动连接客户端，那客户端的防火墙是不是会阻止这个连接（PASV模式不存在这个问题）。为了防止这种情况，我们可以强制IIS不能与客户端的任意端口进行连接，而只有客户端连接IIS的端口进行数据传输。这样就可以解决PORT MODE与客户端防火墙的冲突。方法：修改注册
　　
　　表，HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Msftpsvc\Parameters\，将EnablePortAttack的值由0改为1，然后重新启动FTP服务。
　　（4）在ISA里面，使用SERVER PUBLISH的方法发布FTP服务，其中：IP address of internal server 填写ISA的内部网卡的IP，IP address of external server 填写ISA的外部网卡的IP，Mapped server protocol 选择 FTP Server。
　　（5）然后在IP Packet Filter建立一条新RULES，Protocol->TCP,Direction->Outbound,Local Port->Dymanic,Remote Port->All。
　　
　　这是我的解决办法，但是并不完美，主要是：
　　（1）客户不能使用PASV方法进行连接，原因上面已经讲了。
　　（2）由于第五条，所以ISA服务器随着保证了对外部访问的限制，却无法限制ISA本机对外部的访问。
　　
　　大家一起研究一下，有没有更好的解决办法？
　　回复：[原创]关于FTP的工作方式和解决办法
　　tony，你的方法比较有趣，先把socket pooling disable掉，然后用server publish rules来发布ISA服务器本身内部网卡上的服务。
　　你有没有试过，可以么？
　　
　　对于PASV模式的问题，我的方法，是在protocol definitions中添加规则时，添加一条primary connection为tcp 21 inbound，secendary connection为tcp 1025-65535 inbound。
　　
　　不过，这个方法行不行我还未试验，今天我将试一下，有结果就报上来。
　　回复：[原创]关于FTP的工作方式和解决办法
　　那就好，好方法。
　　
　　我也把我的方法做了一下实验，使用serv-u做的，有一点错误，不过终归做了出来，下面总结一下：
　　
　　PASV服务器放在ISA后面，其实就是要解决两个问题：
　　
　　1。PASV的端口。我上面的方法提出使用secondary connection，但事实证明不对，应该每个PASV端口都建立一条primary connection，然后分别建立server publishing rules，有多少个PASV端口，就要建立多少条。
　　
　　这里还可以引出另一个话题，就是对web publishing rules的运用，tony你应该知道，通过web publishing rules也可以发布ftp服务器，但rule里面只给了一个ftp端口的选项，很明显，这是为PORT模式的FTP服务器准备的，因为PORT模式的数据连接是由服务器发起的，在服务器一边，不存在穿过防火墙的问题。
　　
　　使用web publishing rules还有一个很令人振奋的特性，就是支持动态公用IP用户，不需要象server publishing rules那样，每拨一次号都要修改一次外部地址。如果在web publishing rules中也能搞定PASV问题，那么对于那些使用拨号上网而又想在内网发布PASV服务器的人来说，简直是天大的喜讯。
　　
　　需要好好考虑的是如何通过那个只能填一个端口的选项来发布随机的PASV端口？我从今天的实验找到了一点灵感，就是也象上面说的那样，每个PASV端口都设置一条web publishing rules！我还未做这个实验，还不能证实这样做行不行，相信晚上就会有结果了。
　　
　　当然，还需要考虑如何控制PASV模式端口的范围，serv-u可以设定，而IIS的FTP不行。
　　
　　2。是服务器向客户端传送IP的问题。当FTP客户端登录进入服务器的时候，PASV模式服务器会向客户端传送本机的IP地址和数据端口，当服务器放在内网中的时候，服务器会向客户端返回内网的IP，这当然是不能完成连接的，需要让服务器返回ISA的外网地址。本来，解决方法可以使用firwall client的application settings中的nameresolutionforlocalhost参数，设为P就可以让应用程序返回ISA的外网地址，但这个参数江西广告网ゝirewall client使用的，而发布服务器不能安装firewall client，这很可惜。
　　
　　幸好，还是有一个好消息，就是serv-u本身具有返回ISA外网地址这样的功能，方法是先选中新建FTP服务器的属性，在domain标签里选择“enable dynamic dns”，此时会出现第二个标签，叫“dynamic dns”，然后到tz0.com申请动态域名，申请后会得到一个key，在此标签中填入此key即可。最后一步，是到新建服务器的settings属性中，选择advanced标签，选中“allow passive mode data transfer”，旁边的IP地址框留空。这个框对于拨号用户不用填，只有出口使用固定地址才需要填。
　　
　　这样，serv-u向客户端返回IP和端口前，会先向tz0.com查询到ISA外网的地址，再发送给客户端。
　　
　　解决了这两个问题，剩下的工作就简单了。
　　
　　从以上内容也可以说明一点，从内网不能发布IIS的FTP服务器，因为IIS既没有选项可以选择PASV端口的范围，也没有办法让其返回ISA外网的地址。而serv-u这两条都可以满足。当然，在微软的网站上也可能有方法解决IIS的这两个问题。
　　回复：[原创]关于FTP的工作方式和解决办法
　　RFC959关于FTP
　　 http://www.ietf.org/rfc/rfc0959.txt?number=959
　　 http://www.ietf.org/rfc/rfc1579.txt?number=1579
　　回复：[原创]关于FTP的工作方式和解决办法
　　终于找到这篇文章。前几天看的时候还在置顶的。
　　我也被PASV的问题困扰了一年多了。把inbound 1025~65535端口都开放了方法不太好，这样的话象3268、3389等服务会直接暴露在敌人的火力下。
　　我用的是别的厂家的防火墙和IIS FTP，DMZ采用的是私有地址，通过防火墙映射到公网地址。当FTP工作在传统方式时，防火墙好办。只是这是客户端如果是通过NAT来访问的，这种工作模式行不通，因为客户端告诉服务器的是自己的私有地址。PASV方式可以解决客户端通过NAT或防火墙访问的难题，但在FTP服务器一边，由于通知客户端的地址是私有地址，访问将会失败。即使DMZ采用公网地址，由于不知为何PASV设计成采用动态协商端口，防火墙的设置依然十分困难。这些矛盾的情况，我至今仍无好的解决办法，可能只能采用功能强的第三方FTP以及在网络上想办法 <

---

欢迎光临 江西广告网 (http://bbs.jxadw.com/)

Powered by Discuz! X3.2