1. 概述
FTP（File Transfer Protocol）是互联网早期就诞生的协议之一，早在 TCP/IP 协议确立之前就已经存在。目前广泛使用的标准是 1985 年发布的 RFC 959，它属于 OSI 模型中的应用层协议。尽管在 2021 年后大多数浏览器逐步停止对 FTP 的原生支持，但在许多遗留系统和网站中，FTP 仍然被广泛使用。
本文将深入讲解 FTP 的两种操作模式：主动模式（Active Mode）与被动模式（Passive Mode），并分析它们在网络通信中的差异与适用场景。
2. FTP 协议概述
FTP 的设计初衷是在多厂商异构环境中实现文件的远程传输与管理。在当时，不同厂商之间的软硬件架构并不兼容，FTP 凭借其简单性成为了数据中心中自动化文件传输任务的重要标准之一。
FTP 支持多种文件编码（如二进制、ASCII、EBCDIC）、传输模式（流模式、块模式、压缩模式）以及操作模式（主动与被动）。它甚至允许客户端命令两个服务器之间直接传输文件，或在服务器端执行特定脚本。这些功能通常只在完整的 FTP 客户端中才完全可用。
FTP 的 URL 标准格式如下：
ftp://[user[:password]@]<host><.domain>/<path>/<file>
FTP 的通信机制依赖于两个独立的 TCP 连接：
✅ 控制连接（Control Connection）：
- 默认使用 TCP 端口 21
- 用于客户端发送命令、服务器返回响应
✅ 数据连接（Data Connection）：
- 用于文件传输或目录列表等数据操作
- 每次数据操作都会建立一个新的连接，完成后关闭
主动模式与被动模式之间的核心区别在于：谁发起数据连接，谁监听连接。
3. 主动模式 vs 被动模式的连接流程
被动模式是在 FTP 发展后期引入的，主要是为了应对防火墙和网络隔离的需求。早期网络管理员开始广泛使用防火墙（相关内容可参考我们的 防火墙入门教程），这时使用主动模式的回调连接变得复杂。
在主动模式下：
- 客户端通过控制连接告诉服务器自己的 IP 和监听端口
- 服务器主动从自己的 20 端口连接到客户端的指定端口
这种方式在客户端处于防火墙后时，容易被拦截，需要防火墙支持端口触发（port triggering）等高级功能。
在被动模式下：
- 服务器在控制连接中告诉客户端一个监听端口
- 客户端主动连接到服务器的这个端口来建立数据连接
这大大简化了客户端防火墙配置，仅需服务器端防火墙开放相关端口即可。
如下图所示，展示了两种模式下的连接流程：
📌 默认情况下，大多数 FTP 客户端（除浏览器外）都使用主动模式。但在现代网络环境中，推荐优先使用被动模式。
4. 如何选择使用哪种模式？
✅ 如果可以，尽量避免使用 FTP。原因如下：
- 明文传输：用户名、密码和文件内容都是明文传输，容易被中间人攻击
- 缺乏完整性校验：传输中断时可能留下不完整的文件，需手动验证
为了保证传输安全，建议使用以下替代方案：
- 加密协议：如 SFTP、SCP、HTTPS
- 通过 SSH 隧道或 VPN 使用 FTP
- 使用 RSYNC（尤其适合大量小文件）
⚠️ FTP 每次数据传输都建立一个新连接，这对大量小文件来说效率较低。此外，传输失败后需手动检查文件完整性，常见做法包括：
- 在文件中加入校验信息（如头部、尾部）
- 检查文件大小
- 使用哈希校验（MD5、SHA）
- 使用临时文件名，传输完成后重命名
如果必须使用 FTP，则推荐使用被动模式，因为它更容易穿透防火墙。但无论使用哪种模式，防火墙都应能识别 FTP 协议并进行相应过滤，特别是当控制连接或数据连接使用非标准端口时。
5. 总结
本文详细讲解了 FTP 的主动模式与被动模式的工作原理与区别。虽然 FTP 正在逐渐被现代协议取代，但在一些遗留系统和自动化脚本中仍广泛使用。理解这两种模式有助于我们在实际部署中做出更合理的网络配置与安全选择。
📌 关键点回顾：
| 模式 | 数据连接发起方 | 常见使用场景 | 防火墙配置难度 |
|---|---|---|---|
| 主动 | 服务器 | 旧环境、服务器防火墙严格 | 高（需客户端开放入站） |
| 被动 | 客户端 | 现代网络、客户端防火墙严格 | 低（仅需服务器开放入站） |
在实际部署中，推荐优先使用加密传输协议，FTP 仅在必要时使用，并优先选择被动模式以简化网络配置。