FTP 防火牆支援 < firewallSupport>
概觀
當您使用 FTP PASV 命令來交涉被動連線，其中包含伺服器的 IP 位址和埠時，會 <system.ftpServer/firewallSupport> 使用 元素來設定 FTP 服務將用於資料通道活動的埠範圍。
使用 FTP PASV 命令交涉被動連線時，FTP 伺服器會傳送回應，其中包含伺服器的 IP 位址和埠。 藉由指定 lowDataChannelPort 和 highDataChannelPort 屬性，您可以指示 FTP 用戶端與防火牆通訊，這應該會將用戶端流量路由傳送至 FTP 伺服器。
TCP/IP 埠的有效範圍是 1025 到 65535。 (1 到 1024 的埠保留供系統服務使用。) 您可以輸入特殊埠範圍 「0-0」 來設定 FTP 伺服器使用 Windows TCP/IP 暫時埠範圍。 在舊版 Windows 中，TCP/IP 暫時埠範圍已設定為使用埠 1025 到 5000。 從 Windows Vista 和 Windows Server 2008 開始，TCP/IP 暫時埠範圍已變更為 49152 到 65535。 如需暫時埠範圍的詳細資訊，請參閱 Microsoft 知識庫中的下列文章：
929851：Windows Vista 和 Windows Server 2008 中 TCP/IP 的預設動態埠範圍已變更
注意
您可以使用 <ftpServer/firewallSupport> 來設定防火牆的每個月臺外部 IP 位址;這可讓您透過不同的防火牆路由傳送每個網站的防火牆流量。
相容性
| 版本 | 備註 |
|---|---|
| IIS 10.0 | 在 <firewallSupport> IIS 10.0 中未修改專案。 |
| IIS 8.5 | 未 <firewallSupport> 在 IIS 8.5 中修改專案。 |
| IIS 8.0 | 在 IIS 8.0 中未修改專案 <firewallSupport> 。 |
| IIS 7.5 | 元素 <firewallSupport> 的 <system.ftpServer> 元素會隨附為 IIS 7.5 的功能。 |
| IIS 7.0 | 元素 <firewallSupport> 的 <system.ftpServer> 元素是在 FTP 7.0 中引進，這是 IIS 7.0 的個別下載。 |
| IIS 6.0 | 元素 <firewallSupport> 會取代 IIS 6.0 MSFTPSVC/PassivePortRange 中繼基底屬性。 |
使用 Windows 7 和 Windows Server 2008 R2 時，FTP 7.5 服務會隨附為 IIS 7.5 的功能，因此不再需要下載 FTP 服務。
安裝程式
若要支援 Web 服務器的 FTP 發佈，您必須安裝 FTP 服務。 若要這樣做，請使用下列步驟。
Windows Server 2012 或 Windows Server 2012 R2
在工作列上，按一下 [伺服器管理員]。
在伺服器管理員中，按一下 [管理]功能表，然後按一下 [新增角色和功能]。
在 [ 新增角色和功能 精靈] 中，按 [下一步]。 選取安裝類型，然後按 [ 下一步]。 選取目的地伺服器，然後按 [ 下一步]。
在 [ 伺服器角色] 頁面上，展開 [Web 服務器] ([IIS) ]，然後選取 [ FTP 伺服器]。
注意
支援 ASP。FTP 服務的成員資格驗證或 IIS 管理員驗證，除了FTP 服務之外，您還需要選取FTP 擴充性。
選取的螢幕擷取畫面。.按 [下一步]，然後在 [ 選取功能 ] 頁面上，再次按 [ 下一步 ]。
在 [確認安裝選項] 頁面上，按一下 [安裝]。
在 [結果] 頁面上，按一下 [關閉]。
Windows 8 或Windows 8.1
在 [開始] 畫面上，將指標全部移至左下角，以滑鼠右鍵按一下 [開始] 按鈕，然後按一下[主控台]。
在主控台中，按一下 [程式和功能]，然後按一下 [開啟或關閉 Windows 功能]。
展開 [Internet Information Services]，然後選取 [FTP 伺服器]。
注意
支援 ASP。FTP 服務的成員資格驗證或 IIS 管理員驗證，您也必須選取 [FTP 擴充性]。
按一下 [確定]。
按一下 [關閉] 。
Windows Server 2008 R2
在工作列上，按一下 [開始]，指向 [系統管理工具]，然後按一下[伺服器管理員]。
在[伺服器管理員階層] 窗格中，展開 [角色]，然後按一下 [Web 服務器] (IIS) 。
在 [Web 服務器 (IIS) ] 窗格中，捲動至 [ 角色服務 ] 區段，然後按一下 [ 新增角色服務]。
在 [新增角色服務精靈] 的 [選取角色服務] 頁面上，展開[FTP 伺服器]。
選取 [FTP 服務]。
注意
支援 ASP。FTP 服務的成員資格驗證或 IIS 管理員驗證，您也必須選取 [FTP 擴充性]。
按一下 [下一步] 。
在 [確認安裝選項] 頁面上，按一下 [安裝]。
在 [結果] 頁面上，按一下 [關閉]。
Windows 7
在工作列上，按一下 [開始]，然後按一下[主控台]。
在主控台中，按一下 [程式和功能]，然後按一下 [開啟或關閉 Windows 功能]。
展開 [Internet Information Services]，然後展開 [FTP 伺服器]。
選取 [FTP 服務]。
注意
支援 ASP。FTP 服務的成員資格驗證或 IIS 管理員驗證，您也必須選取 [FTP 擴充性]。
按一下 [確定]。
Windows Server 2008 或 Windows Vista
從下列 URL 下載安裝套件：
請遵循下列逐步解說中的指示來安裝 FTP 服務：
作法
如何設定 FTP 服務的全域防火牆設定
(IIS) 管理員開啟 Internet Information Services：
如果您使用 Windows Server 2012 或 Windows Server 2012 R2：
- 在工作列上，依序按一下 [伺服器管理員]、[工具]，然後按一下 [Internet Information Services] ([IIS) 管理員]。
如果您使用 Windows 8 或 Windows 8.1：
- 按住Windows鍵，按字母X，然後按一下[主控台]。
- 按一下 [ 系統管理工具]，然後按兩下 [Internet Information Services] ([IIS) 管理員]。
如果您使用 Windows Server 2008 或 Windows Server 2008 R2：
- 在工作列上，按一下 [ 開始]，指向 [ 系統管理工具]，然後按一下 [ Internet Information Services (IIS) 管理員]。
如果您使用 Windows Vista 或 Windows 7：
- 在工作列上，按一下 [開始]，然後按一下[主控台]。
- 按兩下 [ 系統管理工具]，然後按兩下 [Internet Information Services] ([IIS) 管理員]。
在 [ 連線 ] 窗格中，按一下伺服器名稱。
在 [ 首頁] 窗格中，按兩下 [FTP 防火牆支援] 功能。
在 [ 資料通道埠範圍 ] 方塊中，使用下列其中一個選項來輸入被動資料通道連線的埠範圍：
- 針對埠範圍使用 [低埠]-[高埠]，其中每個埠都必須介於 1025 和 65535 之間。 例如，5000-6000。
- 使用 「0-0」 將 FTP 伺服器設定為使用 Windows TCP/IP 暫時埠範圍。
在 [ 防火牆的外部 IP 位址 ] 方塊中，輸入防火牆網際網路對應網路介面卡的 IPv4 位址。
在 [動作] 窗格中，按一下 [套用]。
如需如何設定 FTP 服務的防火牆設定的詳細資訊，請參閱 Microsoft IIS.net 網站上的下列主題：
設定 FTP 防火牆設定
https://www.iis.net/learn/publish/using-the-ftp-service/configuring-ftp-firewall-settings-in-iis-7
組態
元素 <firewallSupport> 是在全域層級設定ApplicationHost.config。
屬性
| 屬性 | 描述 |
|---|---|
lowDataChannelPort |
選擇性 int 屬性。 指定被動資料連線之資料通道活動的最低埠。 預設值是 0。 |
highDataChannelPort |
選擇性 int 屬性。 指定被動資料連線之資料通道活動的最低埠。 預設值是 0。 |
子元素
無。
組態範例
下列範例說明伺服器全域 <system.ftpServer> 元素中的數個組態設定。 更具體來說，此範例中的設定會示範如何：
啟用 FTP 認證快取，並指定 10 分鐘的逾時， (600 秒。)
將低埠設定為 5000，並將高埠設定為 6000 以進行資料通道通訊。
啟用記錄，並指定每個月臺都會保留記錄檔，而且記錄檔會每天以 UTC 時間輪替。
指定自訂 FTP 提供者，並指定該提供者的自訂參數。
指定允許從本機主機進行 FTP 存取的全域 IP 限制，並拒絕存取 169.254.0.0 到 169.254.255.255 的 IP 位址區塊。
使用下列選項設定要求篩選：
- 封鎖對_vti_bin虛擬目錄的 FTP 存取，此目錄會與 FrontPage Server Extensions 搭配使用。
- 封鎖數個與可執行檔相關聯的檔案類型。
- 將 100MB 指定為檔案大小上限。
新增允許系統管理員群組存取的全域授權規則。
指定可用於 FTP 虛擬主機名稱的功能變數名稱語法。
<system.ftpServer>
<caching>
<credentialsCache enabled="true" flushInterval="600" />
</caching>
<firewallSupport lowDataChannelPort="5000" highDataChannelPort="6000" />
<log centralLogFileMode="Site">
<centralLogFile period="Daily" localTimeRollover="false" enabled="true" />
</log>
<providerDefinitions>
<add name="FtpXmlAuthentication"
type="FtpXmlAuthentication, FtpXmlAuthentication, version=1.0.0.0, Culture=neutral, PublicKeyToken=426f62526f636b73" />
<activation>
<providerData name="FtpXmlAuthentication">
<add key="xmlFileName" value="C:\Inetpub\XmlSample\Users.xml" />
</providerData>
</activation>
</providerDefinitions>
<security>
<ipSecurity enableReverseDns="false" allowUnlisted="true">
<add ipAddress="169.254.0.0" subnetMask="255.255.0.0" allowed="false" />
<add ipAddress="127.0.0.1" allowed="true" />
</ipSecurity>
<requestFiltering>
<hiddenSegments>
<add segment="_vti_bin" />
</hiddenSegments>
<fileExtensions allowUnlisted="true">
<add fileExtension="exe" allowed="false" />
<add fileExtension="cmd" allowed="false" />
<add fileExtension="com" allowed="false" />
<add fileExtension="bat" allowed="false" />
</fileExtensions>
<requestLimits maxAllowedContentLength="104857600" />
</requestFiltering>
<authorization>
<add accessType="Allow" roles="administrators" permissions="Read, Write" />
</authorization>
</security>
<serverRuntime>
<hostNameSupport useDomainNameAsHostName="true" />
</serverRuntime>
</system.ftpServer>
範例程式碼
下列範例會將 FTP 服務設定為在使用被動連線時，針對資料通道活動使用 5000 到 6000 的埠範圍。
AppCmd.exe
appcmd.exe set config -section:system.ftpServer/firewallSupport /lowDataChannelPort:"5000" /commit:apphost
appcmd.exe set config -section:system.ftpServer/firewallSupport /highDataChannelPort:"6000" /commit:apphost
注意
當您使用 AppCmd.exe 來設定這些設定時，請務必將 認可 參數 apphost 設定為 。 這會將組態設定認可至ApplicationHost.config檔案中的適當位置區段。
C#
using System;
using System.Text;
using Microsoft.Web.Administration;
internal static class Sample
{
private static void Main()
{
using (ServerManager serverManager = new ServerManager())
{
Configuration config = serverManager.GetApplicationHostConfiguration();
ConfigurationSection logSection = config.GetSection("system.ftpServer/log");
logSection["centralLogFileMode"] = @"Central";
ConfigurationElement centralLogFileElement = logSection.GetChildElement("centralLogFile");
centralLogFileElement["enabled"] = true;
serverManager.CommitChanges();
}
}
}
VB.NET
Imports System
Imports System.Text
Imports Microsoft.Web.Administration
Module Sample
Sub Main()
Dim serverManager As ServerManager = New ServerManager
Dim config As Configuration = serverManager.GetApplicationHostConfiguration
Dim firewallSupportSection As ConfigurationSection = config.GetSection("system.ftpServer/firewallSupport")
firewallSupportSection("lowDataChannelPort") = 5000
firewallSupportSection("highDataChannelPort") = 6000
serverManager.CommitChanges()
End Sub
End Module
JavaScript
var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST";
var firewallSupportSection = adminManager.GetAdminSection("system.ftpServer/firewallSupport", "MACHINE/WEBROOT/APPHOST");
firewallSupportSection.Properties.Item("lowDataChannelPort").Value = 5000;
firewallSupportSection.Properties.Item("highDataChannelPort").Value = 6000;
adminManager.CommitChanges();
VBScript
Set adminManager = createObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST"
Set firewallSupportSection = adminManager.GetAdminSection("system.ftpServer/firewallSupport", "MACHINE/WEBROOT/APPHOST")
firewallSupportSection.Properties.Item("lowDataChannelPort").Value = 5000
firewallSupportSection.Properties.Item("highDataChannelPort").Value = 6000
adminManager.CommitChanges()