[发明专利]一种工控防火墙支持FTP穿越NAT的实现方法及系统

说明书

本发明公开一种工控防火墙支持FTP穿越NAT的实现方法及系统。所述方法包括：FTP主动模式，FTP客户端向FTP服务器发送PORT命令，工控防火墙配置NAT策略，转换PORT命令报文中的IP地址，并临时建立匹配PORT命令报文数据通道的NAT规则，FTP服务器连接FTP客户端指定的端口进行数据传输；FTP被动模式，FTP客户端向FTP服务器发送PASV命令通知FTP服务器自身处于被动模式，工控防火墙配置NAT策略，转换PASV命令报文中的IP地址，并临时建立匹配PASV命令报文数据通道的NAT规则，FTP服务器收到PASV命令后，通知FTP客户端自身的数据端口，FTP客户端连接FTP服务器所通知的数据端口进行数据传输。本申请技术方案使得NAT可支持FTP等含有动态端口的协议，实现FTP穿越NAT不被中断。

技术领域

本发明涉及工控安全领域，尤其涉及一种工控防火墙支持FTP穿越NAT的实现方法及系统。

背景技术

FTP(File Transfer Protocol，文件传输协议)是TCP/IP协议组中的协议之一。FTP协议包括两个组成部分，其一为FTP服务器，其二为FTP客户端。其中FTP服务器用来存储文件，用户可以使用FTP客户端通过FTP协议访问位于FTP服务器上的资源。

当在专用网内部的一些主机本来已经分配到了本地IP地址(即仅在本专用网内使用的专用地址)，但现在又想和因特网上的主机通信(并不需要加密)时，可使用NAT(Network Address Translation，网络地址转换)方法。

然而传统的NAT技术只能对IP层和传输层头部进行处理，对于应用层协议，NAT并不能使这些应用透明地完成NAT转换，因此在现有的NAT环境下FTP功能并不能正常工作。基于此本申请提供一种应用在工控安全领域中实现工控防火墙支持FTP穿越NAT的实现方法。

发明内容

本发明提供了一种工控防火墙支持FTP穿越NAT的实现方法，包括：

FTP主动模式下FTP穿越NAT的实现方法：

设置FTP主动模式，即FTP服务器主动连接FTP客户端的数据端口，FTP客户端经工控防火墙向FTP服务器发起连接，向FTP服务器发送PORT命令，工控防火墙配置NAT策略，转换PORT命令报文中的IP地址，并临时建立匹配PORT命令报文数据通道的NAT规则，FTP服务器连接FTP客户端指定的端口，进行数据传输；

FTP被动模式下FTP穿越NAT的实现方法：

设置FTP被动模式，即FTP服务器被动地等待FTP客户端连接自己的数据端口，FTP客户端经工控防火墙向FTP服务器发起连接，向FTP服务器发送PASV命令通知FTP服务器自身处于被动模式，工控防火墙配置NAT策略，转换PASV命令报文中的IP地址，并临时建立匹配PASV命令报文数据通道的NAT规则，FTP服务器收到PASV命令后，通知FTP客户端自身的数据端口，FTP客户端连接FTP服务器所通知的数据端口进行数据传输。

如上所述的工控防火墙支持FTP穿越NAT的实现方法，其中，在主动模式下，FTP客户端随机开启一个端口N，向FTP服务器端口发起连接，然后开放N+1号端口进行监听，并向服务器发出PORT N+1命令；FTP服务器接收到PORT N+1命令后，用FTP服务器本地的FTP数据端口来连接FTP客户端指定的端口N+1，进行数据传输。

如上所述的工控防火墙支持FTP穿越NAT的实现方法，其中，在主动模式下，FTP客户端经过工控防火墙向FTP服务器发起连接时，工控防火墙具体执行如下子步骤：

获取到PORT命令报文后，解析PORT命令报文，按照配置的NAT策略转换PORT命令报文中的IP地址；

建立一条临时的NAT规则，使得PORT命令协商出的数据通道能够匹配NAT规则；