PASVモードとは？FTP接続における受動モードの仕組みと設定方法

PASVモードはFTPの受動モードで、クライアントがサーバーに接続要求を送った後、サーバーがデータ転送用のポートを開放します。

これにより、ファイアウォールやNAT環境下でも安定してデータ通信が可能になります。

設定方法はFTPサーバーの設定ファイルで受動ポート範囲を指定し、必要なポートをファイアウォールで許可することが一般的です。

また、サーバーのグローバルIPアドレスを正しく設定することも重要です。

目次から探す

PASVモードの基本概要
- FTPの接続方式の種類
- PASVモードの利点
FTPにおける受動モードの動作原理
- PASVモードとアクティブモードの比較
PASVモードの設定手順
ファイアウォールとPASVモードの関係
まとめ

PASVモードの基本概要

PASVモード(Passive Mode)は、FTP(ファイル転送プロトコル)における接続方式の一つで、特にファイアウォールやNAT(ネットワークアドレス変換)が介在する環境下での通信を円滑に行うために設計されています。

FTPは、デフォルトではアクティブモード(Active Mode)と呼ばれる接続方式を採用していますが、PASVモードはクライアント側が接続を開始する受動的な方法を提供することで、セキュリティ上の制約を克服します。

FTPの接続方式の種類

FTPには主に以下の二つの接続方式があります：

アクティブモード(Active Mode)：クライアントがサーバに対してコマンド接続(通常ポート21)を確立し、サーバがクライアントの指定したポートにデータ接続を試みます。この方式では、クライアント側のファイアウォール設定により接続がブロックされる可能性があります。
受動モード(Passive Mode/PASVモード)：クライアントがコマンド接続を確立した後、サーバからデータ接続用のポート情報を受け取り、クライアント自身がサーバの指定したポートへデータ接続を開始します。これにより、クライアント側のファイアウォールやNATの影響を受けにくくなります。

PASVモードの利点

ファイアウォールの互換性：受動的な接続方式により、クライアント側のファイアウォール設定をあまり変更する必要がありません。
セキュリティの向上：データ接続がクライアントから始まるため、サーバからクライアントへの不正な接続試行を防ぐことができます。
NAT環境との相性が良い：クライアントがサーバに対して直接接続を確立するため、NAT環境下でも安定した通信が可能です。

FTPにおける受動モードの動作原理

PASVモードでは、FTPクライアントとサーバ間での接続が以下のように確立されます：

コマンド接続の確立：クライアントはサーバのFTPポート(通常21番)に対してコマンド接続を開始します。この接続は制御用の通信路として使用されます。
PASVコマンドの送信：クライアントはコマンド接続を通じて「PASV」コマンドをサーバに送信し、受動モードでのデータ接続を要求します。
サーバのポート情報の提供：サーバはPASVコマンドを受け取ると、データ接続用に一時的なポートを開放し、そのポート番号をクライアントに通知します。通常、このポート番号はランダムに選ばれます。
データ接続の確立：クライアントは受け取ったポート番号を使用して、サーバの指定したポートへデータ接続を開始します。この接続はコマンド接続とは別の通信路として機能します。
データ転送：データ接続が確立されると、クライアントとサーバ間でファイルのアップロードやダウンロードが行われます。
接続の終了：データ転送が完了すると、データ接続は閉じられますが、コマンド接続は維持され、必要に応じて追加の操作が可能です。

PASVモードとアクティブモードの比較

特徴	アクティブモード	受動モード(PASV)
データ接続の開始	サーバがクライアントへ接続	クライアントがサーバへ接続
ファイアウォールの設定	クライアント側での許可が必要	サーバ側での許可が必要
NAT環境下での利便性	低い	高い

PASVモードの設定手順

PASVモードを有効にするための具体的な設定手順は、使用するFTPサーバソフトウェアによって異なります。

ここでは、代表的なFTPサーバソフトウェアであるFileZilla Serverとvsftpdを例に挙げて説明します。

FileZilla ServerでのPASVモード設定

FileZilla Serverを起動し、管理インターフェースにアクセスします。
「Edit(編集)」メニューから「Settings(設定)」を選択します。
左側のメニューから「Passive mode settings(受動モード設定)」をクリックします。
次の項目を設定します：

「Use the following IP address」：外部クライアントからアクセス可能なサーバのIPアドレスを入力します。自動検出を選択することも可能です。
「Use custom port range」：データ接続に使用するポート範囲を指定します。例：50000-50100。

「OK」ボタンをクリックして設定を保存します。
必要に応じて、ファイアウォールやルーターで指定したポート範囲を開放します。

vsftpdでのPASVモード設定

vsftpdの設定ファイル(通常は/etc/vsftpd.conf)をテキストエディタで開きます。
以下の設定を追加または編集します：

pasv_enable=YES
pasv_min_port=50000
pasv_max_port=50100
pasv_address=your.server.ip.address

pasv_enable=YES：受動モードを有効にします。
pasv_min_portとpasv_max_port：データ接続に使用するポート範囲を指定します。
pasv_address：外部クライアントからアクセス可能なサーバのIPアドレスを入力します。

設定ファイルを保存し、vsftpdサービスを再起動します：

sudo systemctl restart vsftpd

ファイアウォールやルーターで指定したポート範囲を開放します。

クライアント側の設定

多くのFTPクライアントソフトウェアでは、デフォルトでPASVモードが有効になっていますが、以下の手順で確認または変更できます。

FTPクライアントを起動し、接続設定を開きます。
「接続モード」や「転送モード」の項目を探します。
「受動モード(Passive Mode)」を選択します。
設定を保存し、接続を試みます。

ファイアウォールとPASVモードの関係

ファイアウォールは、ネットワークセキュリティを確保するために、未承認の接続や通信をブロックする役割を果たします。

しかし、FTPの通信には複数の接続ポートが使用されるため、ファイアウォール設定との相性が重要になります。

特にPASVモードでは以下の点に注意が必要です。

PASVモードにおけるファイアウォールの役割

コマンド接続(ポート21)の許可：クライアントからサーバへのコマンド通信は、通常ポート21を使用します。ファイアウォールでこのポートの通信を許可する必要があります。
データ接続用ポートの許可：PASVモードでは、サーバが指定したポート範囲(例：50000-50100)でデータ接続を受け入れます。ファイアウォール上でこのポート範囲を開放し、外部からの接続を許可する必要があります。

ファイアウォール設定の具体例

Linuxのufwを使用する場合：

# コマンド接続用のポート21を許可

sudo ufw allow 21/tcp

# データ接続用のポート範囲を許可

sudo ufw allow 50000:50100/tcp

Windowsファイアウォールの場合：

「Windows Defender ファイアウォール」を開きます。
「詳細設定」をクリックします。
「受信の規則」で新しい規則を作成します。

「ポート」を選択し、TCPを選択します。
「特定のローカルポート」に21, 50000-50100を入力します。
「接続を許可する」を選択します。
適用するプロファイルを選択し、規則に名前を付けて保存します。

セキュリティ上の考慮点

ポート範囲の最小化：データ接続に使用するポート範囲は必要最小限に留めることで、不正アクセスのリスクを低減します。
ファイアウォールの監視：定期的にファイアウォール設定を確認し、不審な接続試行がないか監視します。
暗号化の導入：FTPSやSFTPなど、暗号化されたファイル転送プロトコルを併用することで、データの盗聴や改ざんを防止します。

トラブルシューティング

接続が確立できない場合：
- サーバ側のPASVモード設定が正しく行われているか確認します。
- ファイアウォールやルーターでデータ接続用ポートが開放されているか確認します。
- サーバの外部IPアドレス設定が正しいか確認します。
データ転送が途中で切断される場合：
- 指定したポート範囲が広すぎたり、狭すぎたりしていないか確認します。
- ネットワークの安定性や帯域幅を確認します。

PASVモードは、セキュアな環境下でのFTP通信を実現するための重要な機能です。

適切な設定とファイアウォールの調整を行うことで、信頼性の高いファイル転送を実現できます。

まとめ

ファイル転送におけるPASVモードの重要性とその運用方法について解説しました。

受動モードを適切に設定し、ファイアウォールとの連携を図ることで、安全かつ効率的なFTP通信が実現可能です。

ぜひ、本記事の内容を参考に、ご自身のFTPサーバの設定を見直してみてください。