万花筒写轮眼之防火墙ALG技术之FTP协议穿墙术

FTP穿越SNAT与DNAT：主动与被动模式的防火墙策略

最新推荐文章于 2024-10-11 17:35:58 发布

原创

最新推荐文章于 2024-10-11 17:35:58 发布 · 901 阅读

9 ·

CC 4.0 BY-SA版权

文章标签：

#linux #数据库 #网络安全 #渗透测试 #信息安全

本文详细解释了FTP主动模式和被动模式如何分别在SNAT和DNAT环境下工作，强调了ALG在不同场景中的必要性。重点讨论了SNAT中主动模式需要ALG，而被动模式无需，以及DNAT中主动模式同样无需ALG的情况。

FTP协议主动模式穿越SNAT

主动模式穿越SNAT主要用于FTP服务器部署在公网，客户端需要通过SNAT转换访问服务器。如图1-1所示，描述了FTP主动模式穿越SNAT时的工作流程，此时需要借助ALG技术才可以完成穿越防火墙。

防火墙ALG技术之FTP协议穿墙术

图1-1 FTP主动模式穿越SNAT流程图

防火墙设备上配置了私网地址192.168.12.2到公网地址106.120.22.2/FTP服务的映射，实现IP地址的转换，以支持私网客户端对公网服务器的访问。组网中，若没有ALG对报文载荷的处理（图1-1中红色字体部分内容的变化），私网客户端发送的PORT报文到达公网服务器端后，服务器无法根据私网地址进行路由，也就无法正常地建立数据连接，从而导致私网客户端访问公网FTP服务器失败。如图1-2-(a)和图1-2-(b)所示，整个通信过程包括以下几个阶段：

私网客户端与公网服务器之间TCP的三次握手建立控制连接；
私网客户端发送PORT命令，携带私网客户端指定的用于数据连接的IP和PORT信息；
PORT命令到达防火墙时，报文载荷中的私网IP（192.168.12.2）和PORT（Y=31272=122*256+40）会被转换成为公网IP（106.120.22.2）和PORT（Y'=31272=122*256+40）；
公网服务器收到PORT命令后解析其内容，并主动向私网客户端发送数据连接（源IP-106.120.12.2、目的IP-106.120.22.2、源端口-20、目的端口-Y'=31272），经防火墙NAT转换后（源IP-106.120.12.2、目的IP-192.168.12.2、源端口-20、目的端口Y=31272）发送至公网服务器，从而实现私网客户端访问公网服务器。
</