阿里云金融云下FTP主动模式的讨论
阿里云的金融云集群,针对金融用户做了很多主动式的防御手段,其中包含主动禁止外网连接,安全组默认是黑名单的形式,必须要显式的放行对应的端口或IP才可以向外通信。 问题的起点 大多数FTP客户端默认使用被动模式来进行连接,在这个模式下,客户端会去连接服务器的某个大于1024的随机端口,但在金融云下使用就不太方便,如之前所述,金融云端口需要显式放开,但又不可能为了FTP将所有端口放开,所以就需要使用FTP的主动模式。 FTP的主动模式工作流程 以下是使用lftp的一个典型的主动模式下的抓包与流程: 主动模式中,最关键的一句命令是PORT,这一句话告诉了服务器要连去连接客户端的哪一个端口,这个端口必须要在客户端ECS所在的安全组中开放,同时,和被动模式一样,在服务器ECS所在的安全组中,也要放开21端口,以便让客户端正常连入。 配置实战 初始配置 两台服