FTP: как работает протокол передачи файлов

FTP, или File Transfer Protocol, — прикладной протокол для работы с файлами на удаленном сервере. Клиент может просматривать каталоги, загружать и скачивать файлы, переименовывать и удалять их в пределах выданных прав. В отличие от большинства привычных протоколов, FTP использует отдельные соединения для команд и передачи данных.

Главное ограничение: классический FTP не шифрует учетные данные и содержимое. Для доступа через недоверенную сеть выбирают FTPS с корректно проверяемым TLS или SFTP поверх SSH. Это разные протоколы, несмотря на похожие названия.

Как устроен FTP

Клиент открывает control connection к серверу и отправляет текстовые команды. Сервер отвечает трехзначными кодами и пояснениями. Когда требуется список каталога или содержимое файла, стороны отдельно создают data connection.

FTP-клиент ── control connection ── FTP-сервер
FTP-клиент ─── data connection ─── FTP-сервер

Управляющее соединение сохраняется во время сессии, а data connection может открываться заново для каждой операции. Именно эта схема вызывает большую часть сложностей с NAT и firewall.

Что делает FTP-сервер

Сервер слушает управляющий порт, аутентифицирует пользователя, интерпретирует команды и организует передачу данных. Он сопоставляет виртуальные FTP-пути с файловой системой, проверяет права и формирует ответы.

Сервер также управляет passive port range, ограничениями сессий, журналами, TLS-настройками и политикой доступа. Наличие запущенной службы не означает, что пользователь может читать весь диск: доступ определяют FTP-конфигурация и права ОС.

Управляющее соединение

Стандартный FTP control port — TCP 21. После соединения клиент получает приветствие, отправляет имя пользователя, пароль или иной разрешенный механизм, выбирает параметры и выполняет команды.

Управляющий канал передает команды, но не сам файл. Поэтому успешный вход еще не доказывает, что загрузка заработает: data connection может блокироваться отдельно.

Соединение для данных

Data connection используется командами, которые передают содержимое или листинг. Направление зависит от операции: при скачивании байты идут от сервера, при загрузке — к серверу. После завершения канал обычно закрывается.

FTP-клиент и сервер заранее согласуют адрес и порт. Способ согласования определяет active или passive mode. Firewall должен учитывать не только TCP 21, но и фактический путь data connection.

Active mode

В active mode клиент сообщает серверу адрес и порт, где готов принять data connection. Сервер инициирует обратное подключение к клиенту. Исторически сервер использовал соседний с control порт, но современные реализации и сетевые политики могут отличаться.

Для пользователя за NAT входящее соединение часто блокируется, а переданный локальный адрес недоступен серверу. Поэтому active mode требует явной настройки клиентской сети и применяется реже.

Passive mode

В passive mode сервер сообщает клиенту порт, на котором ожидает data connection, и клиент сам подключается к нему. Такой сценарий лучше проходит через клиентский NAT, поскольку оба TCP-соединения инициируются наружу.

Серверу нужен разрешенный диапазон passive ports. Этот диапазон открывают на firewall и пробрасывают через NAT на тот же сервер. В ответе должен фигурировать адрес, достижимый для клиента, либо клиент должен корректно обработать опубликованный endpoint.

PASV, EPSV и IPv6

Команда PASV возвращает адрес и порт в традиционном формате IPv4. Расширение EPSV обычно возвращает только номер порта текущего соединения и удобнее для NAT и IPv6. Для active mode расширенный аналог называется EPRT.

Поддержку EPSV/EPRT нужно проверять у клиента, сервера и промежуточных устройств. Не стоит строить новую конфигурацию на FTP ALG без необходимости: изменение control traffic сетевым устройством осложняется при TLS.

Калькулятор passive ports

Основные команды

Клиентское приложение обычно скрывает команды за кнопками. При диагностике полезен подробный protocol log, но перед отправкой в поддержку из него удаляют имя пользователя, адреса, пути и другие чувствительные данные.

Как читать коды ответа

Например, успех входа и ошибка листинга указывают на разные этапы. Фиксируйте всю последовательность кодов, а не последнюю строку интерфейса.

ASCII и binary mode

FTP определяет разные типы представления. ASCII mode может преобразовывать окончания строк между системами, а image, обычно называемый binary, передает байты без такого преобразования.

Изображения, архивы, исполняемые файлы, шрифты и большинство современных assets передают в binary mode. Автоматическое определение клиента нужно проверять, если после загрузки меняется hash или файл перестает открываться.

FTP, FTPS и SFTP

SFTP не означает «secure FTP» и не совместим с FTP-сервером. Он использует другой протокол, а права и аутентификация связаны с SSH. Выбор в клиенте должен совпадать с тем, что предоставляет сервер.

Как работает FTPS

RFC 4217 описывает согласование TLS через команду AUTH TLS на обычном управляющем соединении. Затем клиент и сервер определяют защиту control и data channels. Шифрование только входа без защиты данных не делает всю передачу конфиденциальной.

Клиент обязан проверять имя узла, срок и цепочку сертификата. Нажатие «всегда доверять» при неизвестном сертификате устраняет смысл проверки подлинности. Режим TLS, политика PROT и passive ports должны быть согласованы.

Почему обычный FTP небезопасен

Без TLS команды, логин, пароль, имена и содержимое могут быть прочитаны или изменены участником сетевого пути. Ограничение FTP по IP или использование сложного пароля не добавляет шифрование.

Plain FTP допустим только в тщательно изолированном доверенном контуре, если риск явно принят и нет лучшего варианта. Для интернета и администрирования сайта предпочтительны SFTP или правильно настроенный FTPS.

Как выбрать протокол

Параметры подключения

До настройки соберите протокол, hostname, control port, имя пользователя, способ аутентификации, корневой каталог и требование passive mode. Для FTPS добавьте ожидаемое имя сертификата, для SFTP — SSH host key.

Не путайте адрес сайта и FTP hostname: они могут различаться. В каталоге хостингов уточняйте, какой файловый протокол доступен, как создаются отдельные пользователи и можно ли ограничить их одним сайтом.

Права и изоляция каталогов

FTP-аутентификация не заменяет файловые permissions. Пользователь должен видеть только нужный каталог и выполнять минимально необходимый набор операций. Для загрузки статики обычно не требуется доступ к системным файлам, логам других проектов и конфигурации с секретами.

Используйте отдельные учетные записи для людей и automation, запретите anonymous write, задайте quota и ограничьте опасные команды. Chroot или виртуальный root уменьшает область видимости, но его настройку проверяют вместе с правами ОС.

Безопасная публикация сайта

1. Создайте резервную копию текущей версии и базы данных.
2. Загрузите release в новый каталог или с временными именами.
3. Сверьте количество, размеры и hashes критичных файлов.
4. Проверьте права, владельца и отсутствие локальных секретов.
5. Переключите release атомарным механизмом хостинга, если он доступен.
6. Выполните smoke test и сохраните возможность rollback.

Загрузка поверх работающего каталога создает промежуточное состояние: часть файлов уже новая, часть еще старая. Это особенно опасно при обновлении кода и dependencies.

Возобновление и целостность

Некоторые серверы и клиенты поддерживают restart marker для продолжения прерванной передачи. Наличие функции не гарантирует правильный итог при изменившемся исходном файле. После resume сравнивайте размер и cryptographic hash, если обе стороны позволяют его получить надежным способом.

FTP сам по себе не является системой версионирования или резервного копирования. Ошибочная синхронизация может удалить корректные файлы на обеих сторонах, поэтому backup хранится отдельно.

Настройка firewall

Для passive FTP разрешают control port и ограниченный passive range к серверу. NAT публикует тот же диапазон, а FTP-сервис сообщает достижимый внешний адрес. Исходящие ответы и state tracking должны соответствовать политике firewall.

Для active mode серверу нужен исходящий data connection к клиенту, что часто конфликтует с клиентским firewall. FTPS мешает некоторым ALG читать команды, поэтому явный диапазон и обычные stateful rules надежнее скрытой магии.

Диагностика по этапам

1. DNS: hostname разрешается в ожидаемый адрес.
2. TCP: control port доступен с точки клиента.
3. TLS: версия, сертификат и имя проходят проверку.
4. Login: учетная запись активна и способ разрешен.
5. Directory: PWD и listing работают.
6. Data channel: passive endpoint доступен через firewall.
7. Write: тестовый файл создается и удаляется по регламенту.
8. Integrity: размер и hash совпадают.

Такой порядок отделяет сетевую проблему от permissions. Ошибка «таймаут после входа» часто относится к data connection, а не к паролю.

Выбор хостинга для файлового доступа

Проверяйте поддержку SFTP/FTPS, отдельные users, SSH keys, ограничения каталогов, резервные копии, журналы и восстановление. Карточки TIMEWEB и BEGET можно использовать как отправные точки сравнения, но фактические протоколы и условия тарифа подтверждайте в документации провайдера.

Для production важнее управляемость и rollback, чем наличие кнопки «FTP». Уточните лимиты соединений, passive policy, блокировки после ошибок входа и процесс восстановления доступа.

Журналы и мониторинг

Логируйте время, пользователя, source IP, результат входа, команды изменения и объем transfer. Секреты в журнал попадать не должны. Синхронизируйте часы сервера и централизованного хранилища.

Настройте оповещения о переборе паролей, необычном объеме, входе из нового сегмента, массовом удалении и изменении конфигурации. Срок хранения логов связывают с риском и политикой данных.

Типичные ошибки

• считать SFTP разновидностью FTP;
• передавать пароль через plain FTP в интернете;
• открывать только TCP 21 и забывать data ports;
• публиковать огромный passive range без причины;
• возвращать private IP в PASV за NAT;
• не проверять TLS-сертификат;
• использовать active mode за клиентским firewall;
• загружать binary-файл в ASCII mode;
• выдавать пользователю корень всех сайтов;
• хранить пароль в общем конфигурационном файле;
• обновлять production поверх текущей версии;
• считать успешный transfer доказательством backup.

Чек-лист FTP-сервера

• plain FTP отключен либо обоснован закрытым контуром;
• выбран SFTP или FTPS с проверкой подлинности;
• anonymous write запрещен;
• пользователи персональные и ограничены каталогами;
• passive range минимален и совпадает с firewall;
• внешний адрес сервера настроен корректно;
• TLS certificate и policy актуальны;
• лимиты сессий, скорости и quota заданы;
• логи централизованы и не содержат secrets;
• backup и rollback проверены;
• integrity контролируется после передачи;
• legacy-доступ имеет срок миграции.

Частые вопросы

Какой порт использует FTP?

Управляющее соединение обычно использует TCP 21. Для данных нужен отдельный порт, зависящий от active/passive mode и конфигурации сервера.

Чем FTP отличается от SFTP?

FTP использует собственные control и data connections. SFTP работает как файловая подсистема через SSH и обычно использует один защищенный transport.

Почему вход успешен, а список файлов не открывается?

Аутентификация проходит по control connection, а listing требует data connection. Проверьте passive mode, диапазон портов, NAT, firewall и адрес в ответе сервера.

Можно ли использовать FTP для резервной копии?

Протокол передает файлы, но не создает полноценную backup-систему. Нужны версии, retention, контроль целостности, отдельное хранение и регулярная проверка восстановления.

Что выбрать для загрузки сайта?

При наличии SSH обычно удобнее SFTP с отдельным пользователем или deployment через систему версий. Если нужен FTP-совместимый workflow, используйте FTPS и проверяемый TLS.

Вывод

FTP остается понятным инструментом передачи файлов, но его архитектура с двумя соединениями требует точной настройки сети. Для нового внешнего доступа выбирайте SFTP или FTPS, ограничивайте пользователей и passive ports, проверяйте сертификаты и целостность. Безопасная публикация — это не просто успешная загрузка, а воспроизводимый процесс с изоляцией, журналом, проверкой и rollback.