FTP 代理

FTP 代理充当 FTP 客户端与 FTP 服务器之间的中介，同时处理控制连接和数据连接，从而实现通过代理服务器进行文件传输，尤其适用于跨越防火墙或网络地址转换（NAT）设备等网络边界的场景。

理解 FTP 连接模式

文件传输协议（FTP）在每个会话中使用两条不同的连接：
1. 控制连接： 在 TCP 端口 21（默认）上建立的持久连接，用于发送命令（例如 USER、PASS、LIST、GET、PUT）并接收响应。
2. 数据连接： 用于实际传输文件数据或目录列表的临时连接。该连接的建立方式取决于 FTP 模式。

主动模式 FTP

在主动模式下，FTP 客户端向服务器发起控制连接。请求数据传输时，客户端向服务器发送 PORT 命令，指定自己将用于监听数据连接的 IP 地址和端口号。随后 FTP 服务器从自身的 TCP 端口 20（默认）向客户端指定的 IP 和端口发起数据连接。

主动模式的问题：
主动模式在穿越防火墙时经常失败，因为服务器要反向向客户端发起连接。如果客户端位于会阻止未经请求的入站连接的防火墙之后，数据连接就无法建立。

Client (Port X) --------> Server (Port 21) [Control Connection]
Client (Port Y) <-------- Server (Port 20) [Data Connection - Blocked by Firewall]

被动模式 FTP

在被动模式下，控制连接和数据连接都由 FTP 客户端发起。建立控制连接后，客户端向服务器发送 PASV 命令。服务器返回自己将用于监听数据连接的 IP 地址和端口号，客户端随后向指定的服务器 IP 和端口发起数据连接。

被动模式的优势：
被动模式通常对防火墙更友好，因为所有连接都由客户端发起，从而简化了防火墙规则。

Client (Port X) --------> Server (Port 21) [Control Connection]
Client (Port Y) --------> Server (Port Z)  [Data Connection]

FTP 代理如何工作

FTP 代理服务器通过拦截 FTP 流量，并代表客户端处理控制连接与数据连接的复杂性来工作。这对于防火墙策略严格、存在 NAT 的环境，或需要实现安全管控与日志记录的场景至关重要。

代理充当应用层网关（ALG），能够理解 FTP 协议的命令和响应。

1. 客户端连接到代理： 将 FTP 客户端配置为连接到 FTP 代理服务器，而不是直接连接 FTP 服务器。
2. 代理连接到 FTP 服务器： 代理代表客户端与真实的 FTP 服务器建立控制连接。
3. 命令的拦截与改写：
   • 主动模式（PORT 命令）： 客户端发送 PORT 命令时会提供自身的 IP 和端口。代理拦截该命令，用自己的 IP 和一个可用端口替换客户端的 IP 与端口，再把改写后的 PORT 命令转发给 FTP 服务器，并在该端口上监听。当 FTP 服务器向代理发起数据连接时，代理接收连接并把数据转发给客户端。
   • 被动模式（PASV 命令）： 客户端发送 PASV 命令时，FTP 服务器返回用于数据连接的 IP 和端口。代理拦截该响应，用自己面向公网的 IP 和一个可用端口替换服务器的 IP 与端口，再把改写后的响应转发给客户端。客户端随后向代理发起数据连接，代理再与 FTP 服务器建立数据连接并中转数据。

该过程确保内网细节（客户端 IP、临时端口）不会对外暴露，并且防火墙规则只需放行与代理之间的连接。

FTP 代理的类型

SOCKS 代理

SOCKS（Socket Secure）代理是运行在 OSI 模型第 5 层（会话层）的通用代理，负责把客户端的 TCP 连接转发到目标服务器。虽然 SOCKS 可以代理 FTP 控制连接，但它不具备应用层感知能力，无法解析 FTP 命令，因此无论主动还是被动模式，它都无法直接处理数据连接的动态端口分配。

• 用于 FTP 的 SOCKS5： SOCKS5 代理可以承载最初的控制连接。对于数据连接，必须把 FTP 客户端显式配置为对控制连接和数据连接都使用 SOCKS 代理，并且 SOCKS 代理必须允许相应的出站连接。如果客户端能够把两条连接都通过 SOCKS 隧道传输，SOCKS5 代理通常与被动模式 FTP 配合得更好。

应用层网关（ALG）／专用 FTP 代理

应用层网关（ALG）或专用 FTP 代理具备协议感知能力，理解 FTP 协议的细节，包括 PORT 和 PASV 命令。这使它能够动态改写 FTP 控制通道中的 IP 地址和端口号，从而有效管理数据连接的建立。防火墙常内置 FTP ALG，让 FTP 流量无需复杂的手工端口转发即可穿越。

透明 FTP 代理

透明 FTP 代理无需在客户端显式配置代理即可拦截 FTP 流量。通常通过把网络流量路由经过代理服务器来实现，往往借助防火墙规则（例如把 21 端口流量重定向到代理）。客户端会以为自己直接连接的是 FTP 服务器，而代理执行的命令拦截与改写与专用 FTP 代理完全相同。

使用 FTP 代理的好处

• 穿越防火墙： 通过中介数据连接的协商，使位于防火墙或 NAT 设备之后的 FTP 客户端能够连接外部 FTP 服务器，反之亦然。
• 安全性：
  • 匿名性： 对 FTP 服务器隐藏客户端的真实 IP 地址。
  • 访问控制： 集中管理谁可以访问哪些 FTP 服务器或资源。
  • 内容检查： 一些高级代理可检查传输的文件是否含有恶意软件或违反策略（在基础 FTP 代理中较少见）。
• NAT（网络地址转换）穿越： 解决 FTP 命令中携带不可路由私有 IP 地址所导致的问题。
• 日志与审计： 集中记录所有 FTP 会话，包括发出的命令和传输的文件，用于安全审计与合规。
• 缓存： 一些代理可缓存频繁访问的文件，提升后续请求的性能（在传统 FTP 代理中较少见，但可以实现）。

挑战与注意事项

• 性能开销： 代理增加了一跳和一层处理，与直连相比可能提高延迟并降低吞吐量。
• 配置复杂度： 部署并维护 FTP 代理，尤其是在复杂网络拓扑中，可能相当繁琐。
• 兼容性问题： 非标准的 FTP 客户端或服务器，或使用非标准端口范围的实现，在代理 ALG 不够健壮时可能出现问题。
• FTPS（基于 SSL/TLS 的 FTP）：
  • 显式 FTPS： 控制连接以非加密方式开始，随后通过 AUTH TLS 或 AUTH SSL 升级为 TLS，数据连接同样加密。FTP 代理或 ALG 必须理解并终止 TLS 会话（充当中间人）才能检查和改写命令。这要求代理持有服务器证书或签发自己的证书，且客户端必须信任该证书。
  • 隐式 FTPS： 整个 FTP 会话（控制与数据）从一开始就加密，通常使用 990 端口。由于命令已加密，FTP 代理无法检查或修改控制通道。此时代理只能充当简单的 TCP 隧道，失去应用层能力。隐式 FTPS 通常改用 SOCKS 代理或简单的端口转发。
• 资源消耗： 专用 FTP 代理可能消耗大量 CPU 和内存，尤其在并发连接数很高或传输大文件时。

客户端配置示例

大多数 FTP 客户端都支持代理配置，通常只需填写代理服务器的 IP 地址和端口。

使用环境变量（适用于 ftp 或 wget 等命令行客户端）：

export ftp_proxy="http://proxy.example.com:8080"
export FTP_PROXY="http://proxy.example.com:8080"
# SOCKS 代理
export all_proxy="socks5://proxy.example.com:1080"

特定客户端设置（示意）：

• FileZilla（图形客户端）： Edit > Settings > Connection > FTP Proxy。在此可选择代理类型（SOCKS5、HTTP 1.1、Custom）。
• lftp（命令行客户端）：
  set ftp:proxy-host proxy.example.com set ftp:proxy-port 8080

代理服务器配置（示意）

专用 FTP 代理或具备 FTP ALG 功能的防火墙会自动处理协议细节。对于 Squid 这类通用代理，可能需要专门配置；不过 Squid 主要作为 HTTP/HTTPS 代理，除基本隧道外，直接的 FTP ALG 能力有限。

防火墙中 FTP ALG 的示例（示意语法）：

firewall {
    rule 1 {
        action accept
        source any
        destination any
        service ftp
        application-gateway ftp
    }
}

该规则指示防火墙对所有 FTP 流量应用其内置的 FTP 应用层网关，使其能够检查并改写命令以完成数据连接协商。

对比：SOCKS 代理与专用 FTP 代理