V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
V2EX 提问指南
riozhu
V2EX  ›  问与答

防火墙是如何区分数据我是请求返回的, 还是从服务器主动向我发送的?

  •  
  •   riozhu · 2020-09-30 10:22:55 +08:00 · 1174 次点击
    这是一个创建于 1276 天前的主题,其中的信息可能已经有所发展或是发生改变。

    这个问题来源于今天对于 FTP 被动模式和主动模式的理解, 我尝试理解为什么需要被动模式.我看到这句话"当 FTP 客户端是在内网的时候,通过 NAT 或者其他防火墙配置,主动模式很难进入。所以主动模式已经不流行了。"

    我的问题: 比如我在内网的电脑(在防火墙后面), 是如何区分返回的数据是来自我请求的(比如我主动去访问一个网页, 网页服务器返回网页数据, 防火墙没有拦截) 但是,其他电脑(或者服务器)主动向我发送请求(在我的电脑看起来同样是一串数据), 这样的请求会被防火墙拦截. 请教一下这是如何做到的? 谢谢各位.

    7 条回复    2020-09-30 11:57:48 +08:00
    kuro1
        1
    kuro1  
       2020-09-30 10:24:48 +08:00   ❤️ 1
    TCP 握手阶段
    cycloner
        2
    cycloner  
       2020-09-30 11:32:42 +08:00
    看看 tcpip 原理你就解惑了
    kangsheng9527
        3
    kangsheng9527  
       2020-09-30 11:37:25 +08:00
    回复的都装大神,,,哎。。。
    whywhywhy
        4
    whywhywhy  
       2020-09-30 11:48:56 +08:00
    一个是 TCP 握手阶段的原理,网上应该很多科普视频

    还有就是 NAT 的原理,也有很多视频。。。

    看一看吧,也许你会明白,也许你始终明白不了,也没办法了。


    @kangsheng9527 讲起来太长,理解起来不容易的。这个不是装不装,,不了解二层交换三层网络数据交换技术,想要理解真的有难度。
    ddefewfewf
        5
    ddefewfewf  
       2020-09-30 11:51:49 +08:00 via iPhone
    哪个防火墙 gfw
    Jirajine
        6
    Jirajine  
       2020-09-30 11:55:33 +08:00 via Android
    因为有连接追踪机制。
    简单来讲就是一方先发送的包(任意协议)过防火墙时会被记录下来,从而可以识别对方回复的包。
    如果是 TCP 因为 TCP 握手和回复有固定格式所以识别起来更容易,UDP 的话就得靠超时机制了。
    你可以 cat /proc/net/nf_conntrack 查看当前系统追踪的连接。
    zhs227
        7
    zhs227  
       2020-09-30 11:57:48 +08:00
    conntrack,在 conntrack 里有记录的反向才能通过。
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   2884 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 27ms · UTC 11:17 · PVG 19:17 · LAX 04:17 · JFK 07:17
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.