实验环境
WINDOWS SERVERSP
ISA SERVER SP
IIS
SERU
IE
CUTFTP PRO
一理解FTP工作模式
当你在发布一个FTP服务端在ISA SERVER服务器上的时候你需要考虑一下FTP服务器工作模式的问题FTP客户端可以控制FTP服务端使用
PORT或者PASV模式在客户端使用PORT和PASV命令就可以转换FTP服务端工作模式
FTP服务器使用一个固定端口 TCP 来进行控制连接同时需要第二个连接来进行数据传送
在PORT模式下客户端通过PORT命令告诉服务端使用PORT模式同时给出一个客户端用来连接的指定端口由服务端的选择一个动态端口发起连接连接客户端指定端口进行数据传输在这种工作模式下需要打开ISA SERVER服务器上所有的动态出站
在PASV模式下客户端通过PASV命令告诉服务端使用PASV模式服务端返回一个动态端口由客户端发起连接连接服务端哪个已知的动态端口在这种情况下需要打开ISA SERVER服务器上所有入站
双方一旦建立了数据连接后在连接中的数据流是双向的此时不再受防火墙的规则限制
FTP客户端如果使用IE需要在INTERNET属性高级中选择为FTP站点起用文件夹视图不选为PORT模式选上为PASV模式
FTP客户端如果使用CUTFTP需要在站点属性数据连接类型中选择相应的工作模式就好了
二在ISA SERVER的服务器上使用SERU 发布FTP服务
此环境下是ISA SERVER和SERU安装在同一台机器上并正确安装ISA SERVER和SERU 设置好了SERU域帐号目录等
SERU工作在PORT模式时
默认状况下SERU使用的PORT模式工作是使用TCP 端口进行数据连接同时还有需要有几个动态端口进行数据连接来对付多用户此时需要在ISA SERVER的IP PACKET FILTERS里面添加三条FILTERS
（）TCP INBOUDN ALL
FILTER MODELALLOW PACKET TRANSMISSION
FILTER TYPECUSTOM
FILTER SETTINGSIP PROTOCOLTCP
DIRECIONIN
LOCAL PORTFIXED PROT
REMOTE PORTALL PORTS
LOCAL COMPUTERDEFAULT IP ADDRESS FOR EACH EXTERNAL INTERFACE ON TEH ISA SERVER COMPUTER
REMOTE COMPUTERSALL REMOTE COMPUTERS
（）TCP OUTBOUND ALL
FILTER MODELALLOW PACKET TRANSMISSION
FILTER TYPECUSTOM
FILTER SETTINGSIP PROTOCOLTCP
DIRECIONOUTBOUND
LOCAL PORT
REMOTE PORTALL PORTS
LOCAL COMPUTERDEFAULT IP ADDRESS FOR EACH EXTERNAL INTERFACE ON TEH ISA SERVER COMPUTER
REMOTE COMPUTERSALL REMOTE COMPUTERS
（）TCP DYMANIC OUTBOUND ALL
FILTER MODELALLOW PACKET TRANSMISSION
FILTER TYPECUSTOM
FILTER SETTINGSIP PROTOCOLTCP
DIRECIONOUTBOUND
LOCAL PORTDYMANIC
REMOTE PORTALL PORTS
LOCAL COMPUTERDEFAULT IP ADDRESS FOR EACH EXTERNAL INTERFACE ON TEH ISA SERVER COMPUTER
REMOTE COMPUTERSALL REMOTE COMPUTERS
存在问题
在PORT模式下ISA SERVER服务器需要打开所有的动态出站如果你一个人控制ISA SERVER服务器还不重要如果有多人同时使用那么ISA SERVER本身是没有什么限制的还存在一个问题因为是由服务端发起数据连接容易被客户端那里的放火墙给挡掉不过还好XP和ISA SERVRE都还比较聪明对于此种连接还是通行了但是对于什么天网什么的就不是很能够保证了
SERU工作在PASV模式时
为了解决FTP服务端工作在PORT模式下种种不足的情况我们需要使用第二种方法
（）设置SERU工作在PASV模式
本地服务器》设置》高级》PASV端口范围
域》设置》高级》允许被动模式传送使用IP输入您的IP地址如果是动态域名就用动态域名
（）在ISA SERVER中添加条关于PASV端口的BOTH FILTERS
TCP INBOUND ALL
FILTER MODELALLOW PACKET TRANSMISSION
FILTER TYPECUSTOM
FILTER SETTINGSIP PROTOCOLTCP
DIRECIONINBOUND
LOCAL PORT
REMOTE PORTALL PORTS
LOCAL COMPUTERDEFAULT IP ADDRESS FOR EACH EXTERNAL INTERFACE ON TEH ISA SERVER COMPUTER
REMOTE COMPUTERSALL REMOTE COMPUTERS
剩下的条需要把LOCAL PORT分别改为
（）在ISA SERVER中添加一条关于控制连接端口的IN FILTERS
TCP INBOUND ALL
FILTER MODELALLOW PACKET TRANSMISSION
FILTER TYPECUSTOM
FILTER SETTINGSIP PROTOCOLTCP
DIRECIONIN
LOCAL PORT
REMOTE PORTALL PORTS
LOCAL COMPUTERDEFAULT IP ADDRESS FOR EACH EXTERNAL INTERFACE ON TEH ISA SERVER COMPUTER
REMOTE COMPUTERSALL REMOTE COMPUTERS
存在问题
这样设置的FTP服务器就充分考虑了安全的需要完全限制了入站的端口范围但是有个非常致命的问题我这里开了个入站的端口我就写了条FILTERS如果是个入站端口呢？写条FILTERS那不是要死人如果你要我打开所有的动态入站端口那么你装ISA SERVER有什么意义呢？
实验的感觉两种方式都有问题啊！再想别的解决方法非常感谢TONY在这两种情况下均实验通过了
三在ISA SERVER的服务器上使用IIS 发布FTP服务
此环境下是ISA SERVER和IIS 安装在同一台机器上并正确安装ISA SERVER和IIS 设置好了IP地址为WAN地址端口主目录等
IIS 默认工作模式是在混合模式下的就是同时提供PORT和PASV模式连接由客户端连选择使用何种模式
我们需要在ISA SERVER上添加数条FILTERS使得IIS 的FTP服务可以正常访问
（）TCP INBOUDN ALL
FILTER MODELALLOW PACKET TRANSMISSION
FILTER TYPECUSTOM
FILTER SETTINGSIP PROTOCOLTCP
DIRECIONIN
LOCAL PORTFIXED PROT
REMOTE PORTALL PORTS
LOCAL COMPUTERDEFAULT IP ADDRESS FOR EACH EXTERNAL INTERFACE ON TEH ISA SERVER COMPUTER
REMOTE COMPUTERSALL REMOTE COMPUTERS
（）TCP OUTBOUND ALL
FILTER MODELALLOW PACKET TRANSMISSION
FILTER TYPECUSTOM
FILTER SETTINGSIP PROTOCOLTCP
DIRECIONOUTBOUND
LOCAL PORT
REMOTE PORTALL PORTS
LOCAL COMPUTERDEFAULT IP ADDRESS FOR EACH EXTERNAL INTERFACE ON TEH ISA SERVER COMPUTER
REMOTE COMPUTERSALL REMOTE COMPUTERS
（）TCP DYMANIC OUTBOUND ALL
FILTER MODELALLOW PACKET TRANSMISSION
FILTER TYPECUSTOM
FILTER SETTINGSIP PROTOCOLTCP
DIRECIONOUTBOUND
LOCAL PORTDYMANIC
REMOTE PORTALL PORTS
LOCAL COMPUTERDEFAULT IP ADDRESS FOR EACH EXTERNAL INTERFACE ON TEH ISA SERVER COMPUTER
REMOTE COMPUTERSALL REMOTE COMPUTERS
（）TCP DYMANIC INBOUND ALL
FILTER MODELALLOW PACKET TRANSMISSION
FILTER TYPECUSTOM
FILTER SETTINGSIP PROTOCOLTCP
DIRECIONINBOUDN
LOCAL PORTDYMANIC
REMOTE PORTALL PORTS
LOCAL COMPUTERDEFAULT IP ADDRESS FOR EACH EXTERNAL INTERFACE ON TEH ISA SERVER COMPUTER
REMOTE COMPUTERSALL REMOTE COMPUTERS
这样设置的情况下IIS 的FTP服务是处于混合模式的从第三条FILTERS（TCP DYMANIC OUTBOUND ALL）可以看出ISA SERVER服务器本身对
外访问基本上是没有什么限制的从第四条FILTERS（TCP DYMANIC INBOUND ALL）可以看出ISA SERVER服务器上的动态端口都在敌人的火力之下
DISABLE 掉第四条FILTERSIIS 上的FTP模式将使用PORT模式
DISABLE 掉第三条FILTERSIIS 上的FTP模式将使用PASV模式这些还没有实验过按道理行的对于ISA SERVER来说两种模式下的FTP服务都各有其优缺点我们需要寻找一个比较完美的解决方法还在思索中希望大家给我点意见生怕自己理解的问题写错了
FW:回复PORT和PASV模式下的FTP服务器设置实验报告[原创]
有两个错误
quote:
在PORT模式下客户端通过PORT命令告诉服务端使用PORT模式同时给出一个客户端用来连接的指定端口由服务端的选择一个动态端口发起连接连接客户端指定端口进行数据传输在这种工作模式下需要打开ISA SERVER服务器上所有的动态出站
服务器端不是选择动态端口连接而总是管理端口减一
quote:
FTP客户端如果使用IE需要在INTERNET属性高级中
