主動FTP
主動方式的FTP是這樣的：客戶端從一個任意的非特權(quán)端口N（N>1024）連接到FTP服務器的命令端口，也就是21端口。然后客戶端開始監(jiān)聽端口N+1，并發(fā)送FTP命令“port N+
1. 任何端口到FTP服務器的21端口 （客戶端初始化的連接 S<-C）
2. FTP服務器的21端口到大于1024的端口（服務器響應客戶端的控制端口 S->C）
3. FTP服務器的20端口到大于1024的端口（服務器端初始化數(shù)據(jù)連接到客戶端的數(shù)據(jù)端口 S->C）
4. 大于1024端口到FTP服務器的20端口（客戶端發(fā)送ACK響應到服務器的數(shù)據(jù)端口
S<-C） 在第1步中，客戶端的命令端口與FTP服務器的命令端口建立連接，并發(fā)送命令
“PORT 1027”。然后在第2步中，FTP服務器給客戶端的命令端口返回一個\"ACK\"。在第3步中，FTP服務器發(fā)起一個從它自己的數(shù)據(jù)端口（20）到客戶端先前指定的數(shù)據(jù)端口（1027）的連接，最后客戶端在第4步中給服務器端返回一個\"ACK\"。
主動方式FTP的主要問題實際上在于客戶端。FTP的客戶端并沒有實際建立一個到服務器數(shù)據(jù)端口的連接，它只是簡單的告訴服務器自己監(jiān)聽的端口號，服務器再回來連接客戶端這個指定的端口。對于客戶端的防火墻來說，這是從外部系統(tǒng)建立到內(nèi)部客戶端的連接，這是通常會被阻塞的。
被動FTP
為了解決服務器發(fā)起到客戶的連接的問題，人們開發(fā)了一種不同的FTP連接方式。這就是所謂的被動方式，或者叫做PASV，當客戶端通知服務器它處于被動模式時才啟用。
在被動方式FTP中，命令連接和數(shù)據(jù)連接都由客戶端，這樣就可以解決從服務器到客戶端的數(shù)據(jù)端口的入方向連接被防火墻過濾掉的問題。當開啟一個 FTP連接時，客戶端打開兩個任意的非特權(quán)本地端口（N > 1024和N+1）。第一個端口連接服務器的21端口，但與主動方式的FTP不同，客戶端不會提交PORT命令并允許服務器來回連它的數(shù)據(jù)端口，而是提交 PASV命令。這樣做的結(jié)果是服務器會開啟一個任意的非特權(quán)端口（P > 1024），并發(fā)送PORT P命令給客戶端。然后客戶端發(fā)起從本地端口N+1到服務器的端口P的連接用來傳送數(shù)據(jù)。
對于服務器端的防火墻來說，必須允許下面的通訊才能支持被動方式的FTP:
1. 從任何端口到服務器的21端口 （客戶端初始化的連接 S<-C）
2. 服務器的21端口到任何大于1024的端口 （服務器響應到客戶端的控制端口的連接 S->C）
3. 從任何端口到服務器的大于1024端口 （入；客戶端初始化數(shù)據(jù)連接到服務器指定的任意端口 S<-C）
4. 服務器的大于1024端口到遠程的大于1024的端口（出；服務器發(fā)送ACK響應和數(shù)據(jù)到客戶端的數(shù)據(jù)端口 S->C
