通过ISA防火墙允许FXP

FXP（File Exchange Protocol，文件交换协议）是用于在FTP服务器间交换文件的协议，属于FTP命令的子集。它的工作步骤如下：

• FTP控制客户端同时连接到FXP源和目的FTP服务器（无论FTP服务器工作在PORT模式还是PASV模式）；

  网管论坛bbs_bitsCN_com

• FTP控制客户端向FXP的源FXP服务器（被下载的FTP服务器）发送一个PASV指令，让它开放一个数据连接端口等待连接；

  网管论坛bbs_bitsCN_com

• FTP控制客户端向FXP的目的FXP服务器（上传到的FTP服务器）发送一个PORT指令，让它去连接源FXP服务器开放的数据连接端口； 网管网www_bitscn_com

• 当连接成功时，FXP服务器之间就可以进行文件传输操作了。 网管bitscn_com

为了完成FXP，FTP服务器和FTP控制客户端都必须支持使用FXP，并且至少有一方FTP服务器支持PASV模式。默认情况下，FXP的源FTP服务器工作在PASV模式，而FXP的目的FTP服务器工作在PORT模式，你可以通过修改FTP控制客户端的选项来修改它们的工作模式。

但是，FXP所使用的FTP命令不受ISA防火墙的FTP访问筛选器支持，所以如果要使用FXP，必须自行创建协议来允许FTP客户端对FTP服务器的访问；只要FTP客户端可以正常访问FTP服务器，就可以进行FXP传输。但是，当取消使用FTP访问筛选器时，如果FTP服务器工作在PORT模式，ISA防火墙不能正确识别FTP服务器到FTP客户端的FTP数据连接，从而导致PORT模式下FTP连接失败，所以，你需要额外创建一条访问规则允许FTP服务器到FTP客户端的数据连接。 网管u家u.bitscn@com

在这篇文章中，我使用的FTP控制客户端软件是FlashFXP，使用的FTP服务器是Serv-U，默认情况下它们均支持FXP。试验中所使用的FTP服务器的服务控制端口均为21，并且允许了使用PASV模式。为了便于在ISA防火墙上进行发布，我将FTP服务器所使用的PASV端口限制为31000～31020，如下图所示。

中国网管论坛bbs.bitsCN.com

根据FTP服务器的配置，我在ISA防火墙中创建了以下三个规则元素，并在不同的环境中使用：

网管下载dl.bitscn.com

1、入站协议FTP 21 Server（TCP入站端口21，TCP入站端口31000～31020），用于FTP服务器发布； 中国网管联盟bitsCN.com

中国网管论坛bbs.bitsCN.com

2、出站协议FTP 21（TCP出站端口21，TCP出站端口31000～31020），用于允许到FTP服务器的访问； 网管网www.bitscn.com

网管下载dl.bitscn.com

3、出站协议TCP 1025-65535（TCP出站端口1025～65535），用于允许FTP服务器到FTP客户端的数据连接；

网管论坛bbs_bitsCN_com

网管联盟bitsCN_com

网管u家u.bitsCN.com

根据FTP服务器和ISA防火墙之间不同的部署环境，我分为三个部分进行阐述。在这篇文章中，我将省略创建访问规则和发布规则的具体步骤，关于这方面的详细信息，请参见ISA中文站上的相关技术文章。 网管u家u.bitscn@com