上一篇
思科虚拟主机访问ftp服务器
在思科设备上通过 虚拟主机访问 FTP服务器需配置NAT映射，开放对应端口，设置ACL控制权限，并确保 FTP主动/被动模式
环境准备
基础架构要求
| 组件 | 功能说明 |
|---|---|
| 思科路由器 | 承担NAT/PAT角色，实现内外网映射 |
| FTP服务器 | 部署于内网（建议使用Linux/Windows Server） |
| 虚拟主机 | 通过合法IP对外提供服务，实际指向内网真实主机 |
| VLAN/子网 | 需规划独立网段用于隔离业务流量（例：Facade VLAN + Trusted VLAN） |
必要条件
已启用Cisco IOS的ip nat功能模块
内网FTP服务器开启被动模式（Pasv Mode）
防火墙放行TCP 21号端口及数据连接端口范围（默认50000-65535）
DNS正向解析记录指向虚拟主机公网IP
核心配置步骤
定义访问控制列表（ACL）
access-list 101 permit tcp any host <FTP服务器内网IP> eq 21 access-list 101 permit tcp any any range 50000 65535 ! 被动模式数据通道
注：若采用动态端口组，需同步修改ACL范围
配置NAT映射规则
ip nat inside source list 101 interface GigabitEthernet0/0 overload ! 或指定固定翻译地址池 ip nat inside source list 101 pool ftp-pool 192.0.2.100 192.0.2.105 netmask 255.255.255.0
启用FTP协议优化
ip inspect name ftp-inspection ftp service policy-type inspect tcp-mapped class-map match-all ftp-traffic match access-group name ftp-acl policy-map type inspect policy-name ftp-policy class ftp-traffic inspect ftp
静态路由回指（可选）
ip route 0.0.0.0 0.0.0.0 <下一跳网关> permanent ! 确保返回路径可达
关键参数对照表
| 参数 | 取值范围 | 作用说明 |
|---|---|---|
| ACL编号 | 1-199 | 标准命名规范，避免冲突 |
| NAT超载阈值 | 默认无限制 | 根据并发连接数调整 |
| MSS钳制值 | 1460→1400 | 防止分片导致的传输失败 |
| 会话超时时间 | 30分钟~2小时 | 平衡安全性与性能需求 |
| 最大连接数 | 依硬件性能而定 | 典型值500-2000个 |
验证与调试
连通性测试
# 客户端视角 ftp ftp://<虚拟主机域名> open <目标文件> bin put testfile.txt
抓包分析要点
| 阶段 | 预期现象 | 异常表现 |
|---|---|---|
| 控制连接建立 | PORT命令响应正确 | RETR失败/QUIT立即断开 |
| 数据连接 | PASV指令返回合法数据端口 | “Connection refused”报错 |
| 文件传输 | 持续稳定的字节流 | 频繁重传/RST包终止 |
日志查看命令
show ip nat translations ! 实时查看NAT表项 show access-lists ! 验证ACL命中次数 debug ip packet detail ! 深度追踪报文处理过程
常见问题与解答
Q1: 多个虚拟主机共用同一个公网IP时如何处理？
A: 可通过创建扩展ACL区分不同服务的源端口，配合object-group定义复合匹配条件。
object-group network FtpServers network-object object 192.168.1.10 network-object object 192.168.1.20 ! access-list 101 permit tcp any object-group FtpServers eq 21
Q2: 为什么主动模式能上传但不能下载？
A: 主要因数据连接方向不一致导致，解决方案：
- 强制客户端使用被动模式（passive on）
- 在路由器上添加反向NAT规则： ip nat outside destination static <公网IP> 50000-65535 interface GigabitEthernet0/0
- 检查FTP服务器的pasv_min_port和pasv_max_port配置是否
