无法在连接到 vsftpd 的 Filezilla 中检索目录列表

Question

FTP 协议有点奇怪。它使用两个 TCP 连接，而不是大多数协议使用的一个连接。你有 TCP端口 21、命令和登录连接，以及第二个（随机） TCP 端口，用于数据连接。

使用被动 FTP 时，第二个连接是随机分配的 1024 以上的可用 TCP 端口。

您的问题似乎表明您的防火墙没有打开第二个端口。

有多种方法可以解决这个问题：

修复 PASV 端口（-range）

一种解决方案是将 VSFTPD 配置为使用一小段端口，或者仅使用单个端口，并创建防火墙规则来打开这些端口：

# /etc/vsftpd/vsftpd.conf
# reserve TCP ports 2121-2142 for passive FTP
pasv_min_port=2121
pasv_max_port=2142

进而在防火墙中打开固定端口范围。

在 Linux iptables 防火墙中，多端口模块允许使用一个端口范围，而不是每行 20 行打开一个端口：

iptables -I INPUT -p tcp -m state --state NEW -m tcp -m multiport --dports 2121:2142 -j ACCEPT

该方法的优点是它还可以适用于多个防火墙、端口转发等更复杂的设置。

使用智能防火墙

使用智能防火墙，您无需打开其他端口。
由于 FTP 是明文协议，因此您的防火墙可以扫描端口 21 上的命令连接上的流量。它将识别将要分配的 PASV 端口并动态打开防火墙。

对于 Linux netfilter (iptables) 防火墙，有一个内核模块可以为您完成此操作：nf_conntrack_ftp也称为ip_conntrack_ftp。加载该模块，您的问题就会消失：

modprobe -i ip_conntrack_ftp

如果您有一个状态防火墙，接受RELATED流量将自动允许连接到数据端口。

如果这解决了您的 FTP 连接问题，请配置要在启动时加载的模块。在这种情况下，RHEL6 和 CentOS 6 执行此操作的方法是：

# /etc/sysconfig/iptables-config 
# Space separated list of nat helpers (e.g. 'ip_nat_ftp ip_nat_irc'), which
# are loaded after the firewall rules are applied. Options for the helpers are
# stored in /etc/modprobe.conf.
IPTABLES_MODULES="nf_conntrack_ftp"

编辑和更新即使到了 2023 年，这个问答仍然会定期受到访问：

FTPS - 带有 TLS / SSL 的 FTP

当您使用带有 SSL 证书的 FTP 时，它显然不再是明文协议。这通常被认为是一件好事，只是上述“智能防火墙”解决方案将不再有效。

如需更长的解释，请参阅我的相关答案以获取解决方案：
FTPS - 通过 TLS 显式 FTP - 无法获取目录列表

Answer 1

FTP 协议有点奇怪。它使用两个 TCP 连接，而不是大多数协议使用的一个连接。你有 TCP端口 21、命令和登录连接，以及第二个（随机） TCP 端口，用于数据连接。

使用被动 FTP 时，第二个连接是随机分配的 1024 以上的可用 TCP 端口。

您的问题似乎表明您的防火墙没有打开第二个端口。

有多种方法可以解决这个问题：

修复 PASV 端口（-range）

一种解决方案是将 VSFTPD 配置为使用一小段端口，或者仅使用单个端口，并创建防火墙规则来打开这些端口：

# /etc/vsftpd/vsftpd.conf
# reserve TCP ports 2121-2142 for passive FTP
pasv_min_port=2121
pasv_max_port=2142

进而在防火墙中打开固定端口范围。

在 Linux iptables 防火墙中，多端口模块允许使用一个端口范围，而不是每行 20 行打开一个端口：

iptables -I INPUT -p tcp -m state --state NEW -m tcp -m multiport --dports 2121:2142 -j ACCEPT

该方法的优点是它还可以适用于多个防火墙、端口转发等更复杂的设置。

使用智能防火墙

使用智能防火墙，您无需打开其他端口。
由于 FTP 是明文协议，因此您的防火墙可以扫描端口 21 上的命令连接上的流量。它将识别将要分配的 PASV 端口并动态打开防火墙。

对于 Linux netfilter (iptables) 防火墙，有一个内核模块可以为您完成此操作：nf_conntrack_ftp也称为ip_conntrack_ftp。加载该模块，您的问题就会消失：

modprobe -i ip_conntrack_ftp

如果您有一个状态防火墙，接受RELATED流量将自动允许连接到数据端口。

如果这解决了您的 FTP 连接问题，请配置要在启动时加载的模块。在这种情况下，RHEL6 和 CentOS 6 执行此操作的方法是：

# /etc/sysconfig/iptables-config 
# Space separated list of nat helpers (e.g. 'ip_nat_ftp ip_nat_irc'), which
# are loaded after the firewall rules are applied. Options for the helpers are
# stored in /etc/modprobe.conf.
IPTABLES_MODULES="nf_conntrack_ftp"

编辑和更新即使到了 2023 年，这个问答仍然会定期受到访问：

FTPS - 带有 TLS / SSL 的 FTP

当您使用带有 SSL 证书的 FTP 时，它显然不再是明文协议。这通常被认为是一件好事，只是上述“智能防火墙”解决方案将不再有效。

如需更长的解释，请参阅我的相关答案以获取解决方案：
FTPS - 通过 TLS 显式 FTP - 无法获取目录列表

无法在连接到 vsftpd 的 Filezilla 中检索目录列表

答案1

修复 PASV 端口（-range）

使用智能防火墙

FTPS - 带有 TLS / SSL 的 FTP

相关内容