我們回到ISA的情況，如果采用被動(dòng)模式，由于IIS是完全隨機(jī)的選擇一個(gè)端口，并告知客戶，然后客戶進(jìn)行主動(dòng)連接，這就意味著在ISA上，你要讓所有的端口都允許動(dòng)態(tài)入站連接才行，這樣肯定不行，因?yàn)樘ｋU(xiǎn)了，等于打開了所有的端口連接。

　　如果采用主動(dòng)模式（PORT Mode)，IIS選擇好端口后，主動(dòng)與客戶進(jìn)行連接，這時(shí)候不需要像PASV模式那樣打開所有的動(dòng)態(tài)入站連接，而且正好相反，我們需要打開所有的動(dòng)態(tài)出站連接即可，安全性增加很多。而且由ISA的IP PACKET FILTER只對(duì)ISA本機(jī)起作用，不會(huì)造成局域網(wǎng)內(nèi)的客戶“放了羊”。

　　所以，我個(gè)人這樣做的：

　?。?）由于IIS和ISA都在一臺(tái)機(jī)器上，所以它倆都在偵聽(tīng)21號(hào)端口（IIS默認(rèn)情況下會(huì)偵聽(tīng)所有地址的21端口），所以我們首先要讓IIS只偵聽(tīng)內(nèi)網(wǎng)地址的PORT 21，在DOS下，你可以通過(guò)NETSTAT -NA > abc.txt，然后打開這個(gè)文件，你會(huì)看到0.0.0.0 21 LISTENING字樣。

　　輸入如下命令：

　　net stop msftpsvc （停止FTP服務(wù)）
　　進(jìn)入/Inetpub/adminscripts/目錄
　　cscript adsutil.vbs set msftpsvc/disablesocketpooling true （停止偵聽(tīng)）
　　net start msftpsvc （啟動(dòng)FTP服務(wù)）

　　（2）在IIS控制臺(tái)里面，ftp->Property->FTP Site->IP Address改為內(nèi)網(wǎng)地址?，F(xiàn)在，F(xiàn)TP服務(wù)只偵聽(tīng)內(nèi)網(wǎng)IP的21號(hào)端口了。

　　（3）大家可能這時(shí)候有疑問(wèn)，如果是IIS主動(dòng)連接客戶端，那客戶端的防火墻是不是會(huì)阻止這個(gè)連接（PASV模式不存在這個(gè)問(wèn)題）。為了防止這種情況，我們可以強(qiáng)制IIS不能與客戶端的任意端口進(jìn)行連接，而只有客戶端連接IIS的端口進(jìn)行數(shù)據(jù)傳輸。這樣就可以解決PORT MODE與客戶端防火墻的沖突。方法：修改注冊(cè)
表，HKEY_LOCAL_MACHINE/System/CurrentControlSet/Services/Msftpsvc/Parameters/，將EnablePortAttack的值由0改為1，然后重新啟動(dòng)FTP服務(wù)。

　?。?）在ISA里面，使用SERVER PUBLISH的方法發(fā)布FTP服務(wù)，其中：IP address of internal server 填寫ISA的內(nèi)部網(wǎng)卡的IP，IP address of external server 填寫ISA的外部網(wǎng)卡的IP，Mapped server protocol 選擇 FTP Server。

　?。?）然后在IP Packet Filter建立一條新RULES，Protocol->TCP,Direction->Outbound,Local Port->Dymanic,Remote Port->All。

　　這是我的解決辦法，但是并不完美，主要是：

　　（1）客戶不能使用PASV方法進(jìn)行連接，原因上面已經(jīng)講了。

　　（2）由于第五條，所以ISA服務(wù)器隨著保證了對(duì)外部訪問(wèn)的限制，卻無(wú)法限制ISA本機(jī)對(duì)外部的訪問(wèn)。