FTPS与SFTP在防火墙穿透和端口配置上有何关键区别？

Question

常见技术问题： 在企业网络中部署文件传输服务时，常因防火墙策略导致FTPS或SFTP连接失败。FTPS（FTP over SSL/TLS）沿用传统FTP的双通道架构：控制连接（默认TCP 21）与数据连接（主动模式用TCP 20，被动模式则需额外开放一个端口范围，如1024–65535中的动态端口），导致防火墙需放行多个端口并深度解析FTP协议以修改PASV响应中的IP/端口，穿透复杂且易被拦截。而SFTP（SSH File Transfer Protocol）是SSH协议子系统，仅需单一加密隧道（默认TCP 22），所有控制与数据流量复用同一连接，无需额外端口或协议感知型NAT/ALG支持，防火墙策略简洁、穿透性强。因此，当内网出口受限或使用状态检测防火墙（如iptables、AWS Security Group）时，SFTP通常开箱即用，FTPS却常因端口配置遗漏或ALG失效而“连接超时”或“列表失败”。如何根据现有防火墙能力合理选型并配置端口策略，是运维落地的关键挑战。

Answer 1

```html

一、现象层：典型连接失败场景与日志特征

• FTPS被动模式失败：客户端日志显示“Entering Passive Mode (10,1,2,3,194,67)”，但后续数据连接超时；Wireshark抓包可见控制通道（21端口）完成TLS握手，但无后续SYN包发往10.1.2.3:49731（194×256+67=49731）
• SFTP连接成功但传输卡顿：SSH登录正常，sftp user@host可列出目录，但get largefile.zip在85%处停滞——实为TCP窗口缩放被防火墙策略误限（非端口问题，属QoS/流控范畴）
• AWS Security Group配置陷阱：入站规则开放了TCP 21+22，却未对FTPS的被动端口段（如50000-50100）设置安全组引用或IP范围白名单，导致PASV响应IP被NAT后不可达

二、协议层：双通道 vs 单隧道的本质差异

维度	FTPS（Explicit TLS）	SFTP（SSH-2 subsystem）
协议栈归属	应用层协议扩展（RFC 4217），基于FTP明文协议加TLS封装	SSH协议第2版的子系统（RFC 4253/RFC 4254），与shell、port-forwarding同级
连接模型	控制通道（21）+ 数据通道（20或PASV动态端口），严格分离	单一TCP连接（22），所有操作（ls/get/put/mkdir）均通过SSH信道复用帧（SSH_MSG_CHANNEL_DATA）
ALG依赖性	强依赖：需FTP ALG解析PASV/PORT命令并重写响应中的IP:Port	零依赖：SSH流量为加密字节流，防火墙仅需允许TCP 22，无需深度包检测

三、防火墙层：状态检测机制对协议适配的硬约束

现代防火墙（iptables/nftables、AWS SG、FortiGate）采用连接跟踪（conntrack）机制，其对协议感知能力决定选型边界：

• iptables + nf_conntrack_ftp模块：可动态学习PASV端口并自动添加临时ACCEPT规则，但要求内核启用且模块加载顺序正确；若使用nftables则需手动编写ct state established,related规则链
• AWS Security Group：无ALG能力，必须显式声明被动端口范围；更严峻的是，当服务器部署在NAT网关后时，PASV响应中返回的是私有IP（如10.0.1.5），客户端无法直连——此时必须配置vsftpd.conf中pasv_address和pasv_addr_resolve=NO

四、诊断层：五步精准定位法

1. 确认服务监听状态：ss -tlnp | grep -E ':(21|22|50000)'
2. 验证防火墙轨迹：iptables -t raw -L PREROUTING -n -v 查看raw表是否拦截
3. 抓包分层分析：在服务端执行tcpdump -i any port 21 or port 22 -w ftps_sftp.pcap，用Wireshark过滤ftp.response.code == 227提取PASV端口
4. ALG有效性测试：关闭ALG后重试FTPS，若PASV响应IP仍为内网地址即证实ALG失效
5. 路径MTU探测：ping -M do -s 1472 example.com 排查因分片丢弃导致的SFTP传输中断

五、决策层：选型矩阵与落地建议

graph TD
  A[企业防火墙能力] -->|支持FTP ALG且可控| B(FTPS可选)
  A -->|纯状态检测/云安全组/NGFW无ALG| C[SFTP强制首选]
  B --> D[需额外维护PASV端口段+ALG健康检查脚本]
  C --> E[仅需开放TCP 22 + SSH密钥管理流程]
  F[合规要求] -->|PCI-DSS 4.1| B
  F -->|等保2.0三级| C
  G[客户端生态] -->|遗留系统仅支持FTP/FTPS| B
  G -->|支持OpenSSH 8.0+| C

六、配置层：生产环境最小化策略范例

示例1：CentOS 8 iptables最小规则集（FTPS）

# 启用ALG模块
modprobe nf_conntrack_ftp
echo "nf_conntrack_ftp" >> /etc/modules-load.d/ftp.conf

# 规则链
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# 被动端口段（必须与vsftpd.conf中pasv_min_port/pasv_max_port一致）
iptables -A INPUT -p tcp --dport 50000:50100 -j ACCEPT

示例2：AWS Security Group（SFTP专用）

• Inbound Rule: TCP 22 → Source: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16（按需细化）
• Outbound Rule: All traffic → Destination: 0.0.0.0/0（SFTP服务端无需出站限制）

```