액티브 모드

FTP는 파일 전송을 위한 초기 네트워크 프로토콜 중 하나로, 두 가지 주요 연결 모드를 정의한다. 그 중 하나가 액티브 모드이다. 이 모드는 FTP의 원래 표준 동작 방식으로, 서버가 클라이언트에게 데이터 연결을 적극적으로 개시하는 특징을 가진다.

액티브 모드는 제어 채널과 데이터 채널의 역할이 명확히 구분된다. 클라이언트는 임의의 포트(예: 1024 이상)에서 서버의 21번 포트로 제어 연결을 먼저 설정한다. 이후 파일 목록 요청이나 파일 전송 명령이 발생하면, 클라이언트는 자신의 IP 주소와 데이터 연결을 위해 열어둔 포트 번호를 서버에 알린다. 그러면 서버는 자신의 20번 포트(데이터 포트)에서 클라이언트가 지정한 IP와 포트로 연결을 시도한다. 이처럼 데이터 채널 연결의 방향이 서버에서 클라이언트로 향하기 때문에 '액티브'라는 명칭이 붙었다.

이 모드는 초기 네트워크 환경에서 설계되었으며, 클라이언트 측에 방화벽이 없거나 신뢰할 수 있는 네트워크 내부에서 사용하기에 적합했다. 그러나 현대의 네트워크 환경, 특히 NAT이나 방화벽이 보편화된 환경에서는 연결 설정에 문제가 발생할 수 있다. 클라이언트의 개인 네트워크 외부에서 들어오는 서버의 연결 시도를 방화벽이 차단하기 때문이다. 이러한 한계로 인해 이후 패시브 모드가 대안으로 제안되었다.

FTP 액티브 모드는 클라이언트가 서버에 명시적으로 데이터 채널 연결을 요청하는 전통적인 연결 방식을 의미한다. 이 모드에서 제어 채널은 항상 클라이언트가 서버의 21번 포트로 연결하여 시작하지만, 데이터 전송을 위한 데이터 채널은 반대 방향으로 연결된다.

데이터 전송이 필요할 때, 클라이언트는 자신의 IP 주소와 임시로 열어둔 포트 번호를 PORT 명령을 통해 서버에 알린다. 이후 서버는 알려진 그 IP와 포트로 액티브적으로 접속을 시도하여 데이터 채널을 연다. 예를 들어, 파일 목록 요청이나 파일 업로드/다운로드 명령이 실행되면, 서버는 제어 채널을 통해 클라이언트가 지정한 주소로 데이터 채널 연결을 시작한다.

이 과정에서 사용되는 포트는 다음과 같이 구분된다.

이러한 비대칭적인 연결 방식 때문에, 클라이언트 측에 방화벽이 설치되어 있거나 NAT 장비 뒤에 위치한 경우 서버의 인바운드 연결이 차단될 수 있다. 이는 액티브 모드의 주요한 동작 특성이자 한계점으로 작용한다.

액티브 모드의 주요 장점은 서버가 데이터 채널 연결을 시작한다는 점에서 비롯된다. 이 방식은 서버 측에서 연결을 적극적으로 관리하므로, 특히 서버가 신뢰할 수 있는 네트워크 환경에 위치하고 클라이언트 측에 방화벽이 없는 전통적인 환경에서 설정과 문제 해결이 비교적 간단하다. 또한, 서버가 데이터 포트를 직접 지정하여 연결을 시도하기 때문에, 특정 포트 범위를 사용하도록 서버를 구성하는 것이 용이하다.

그러나 이 방식은 현대의 네트워크 환경에서 심각한 한계를 보인다. 대부분의 클라이언트 사용자는 방화벽이나 NAT 장비 뒤에 위치해 있다. 액티브 모드에서 서버는 클라이언트의 지정된 데이터 포트로 들어오는 연결을 시도하는데, 이는 클라이언트 측 방화벽이 외부에서의 수신 연결을 차단하는 경우 실패하게 된다. 이 문제를 해결하려면 클라이언트는 방화벽에서 특정 포트 범위(예: 20-21번 포트 및 데이터 전송용 고정 포트)를 열어야 하며, 이는 보안상 취약점을 만들고 일반 사용자에게는 복잡한 작업이다.

이러한 단점으로 인해, 클라이언트가 방화벽이나 NAT 내부에 있는 경우 액티브 모드 연결은 빈번히 실패한다. 이는 패시브 모드가 더 널리 사용되게 된 결정적인 이유가 되었다.

패시브 모드는 액티브 모드와 대비되는 FTP의 주요 연결 방식이다. 두 방식의 근본적 차이는 데이터 채널 연결을 누가 시작하느냐에 있다. 액티브 모드에서는 서버가 클라이언트에 지정된 포트로 연결을 시도하지만, 패시브 모드에서는 클라이언트가 서버가 제공한 포트로 연결을 시작한다. 이 차이는 네트워크 구조에 따라 연결 성공 여부를 결정하는 핵심 요소가 된다.

주요 비교 항목은 다음과 같다.

방화벽과 NAT 환경에서의 동작 차이가 가장 두드러진다. 액티브 모드는 서버가 클라이언트의 높은 번호 포트(1024 이상)로 들어오는 연결을 요구하기 때문에, 클라이언트 측에 있는 방화벽이 이러한 인바운드 연결을 차단하면 데이터 전송이 실패한다. 반면 패시브 모드는 데이터 채널 연결도 클라이언트가 아웃바운드로 시작하기 때문에, 클라이언트 측 방화벽은 일반적으로 웹 브라우징과 유사한 아웃바운드 트래픽을 허용하므로 연결에 더 유리하다.

그러나 패시브 모드는 서버 측에 새로운 과제를 부과한다. 서버는 클라이언트에 연결할 수 있는 무작위의 높은 번호 포트 범위를 열어두고 관리해야 하며, 이는 서버 측 방화벽 설정을 복잡하게 만들 수 있다. 현대의 네트워크 환경, 특히 가정이나 사무실 네트워크처럼 클라이언트가 NAT 뒤에 있는 경우가 흔하기 때문에, 패시브 모드가 기본 동작 방식으로 더 널리 사용되는 경향이 있다.

액티브 모드는 클라이언트가 수신 대기하는 포트로 서버가 연결을 시도하는 방식이기 때문에, 클라이언트 측의 네트워크 환경에 큰 영향을 받는다. 특히 방화벽과 NAT가 널리 사용되는 현대 네트워크에서는 연결 실패가 빈번하게 발생한다.

대부분의 가정이나 사무실 네트워크는 NAT 라우터 뒤에 위치하며, 외부에서 내부 네트워크로 들어오는 임의의 연결을 차단하는 방화벽 정책을 갖추고 있다. 액티브 모드에서 FTP 서버는 데이터 채널을 열기 위해 클라이언트가 알려준 IP 주소와 포트(예: 클라이언트의 사설 IP와 5001번 포트)로 연결을 시도한다. 이때 서버의 연결 시도 패킷은 클라이언트의 NAT 장비에 의해 차단되는 경우가 많다. 클라이언트의 방화벽이 해당 포트에서의 수신 연결을 허용하도록 사전에 구성되어 있지 않다면 연결은 실패한다.

이러한 문제를 해결하기 위한 클라이언트 측 설정은 복잡하고 실용적이지 않은 경우가 많다. 클라이언트는 데이터 채널용으로 사용할 특정 포트 범위를 방화벽에서 열어두고, FTP 클라이언트 소프트웨어가 해당 포트를 사용하도록 고정적으로 구성해야 할 수 있다. 더 큰 문제는 클라이언트의 IP 주소가 공인 IP가 아닌 사설 IP인 경우, 서버가 올바른 대상에 연결할 수 없다는 점이다. 클라이언트가 서버에 알려주는 IP는 내부 사설 IP(예: 192.168.0.10)일 수 있어, 서버는 이 주소로 라우팅할 수 없다. 일부 FTP 클라이언트는 NAT 환경을 감지하고 서버에 공인 IP를 알리려 시도하지만[4], 이 방법은 항상 성공하지는 않는다.

따라서 액티브 모드는 서버와 클라이언트가 모두 방화벽 제약 없이 직접 통신할 수 있는 폐쇄된 네트워크나, 클라이언트 측 방화벽을 세밀하게 제어할 수 있는 엔터프라이즈 환경에서 더 적합하다. 반면, 일반적인 가정용 인터넷이나 공용 와이파이, 제한적인 방화벽 정책이 있는 네트워크에서는 패시브 모드가 훨씬 더 안정적으로 동작하는 표준 선택지가 된다.

액티브 모드는 FTP 서버가 클라이언트에게 데이터 채널 연결을 시도하는 방식으로, 이는 근본적인 보안 취약점을 야기할 수 있다. 가장 큰 문제는 서버가 클라이언트 측의 지정된 포트로 임의의 연결을 시작한다는 점이다. 이는 클라이언트 측 방화벽이 내부 네트워크로 들어오는 연결을 엄격히 제한하는 경우 차단될 뿐만 아니라, 악의적인 서버가 클라이언트 시스템의 다른 포트를 스캔하거나 공격할 수 있는 잠재적 경로를 제공한다[5].

데이터 전송 과정에서 제어 채널과 데이터 채널이 분리되어 있으며, 인증 및 명령은 제어 채널을 통해 이루어지지만 실제 데이터는 별도의 데이터 채널을 통해 흐른다. 이 구조는 중요한 인증 정보(사용자명과 비밀번호)가 암호화되지 않은 일반 텍스트로 제어 채널을 통해 전송된다는 점에서 보안 위협을 증폭시킨다. 네트워크 상에서 패킷 스니핑 도구를 사용하면 이러한 자격 증명을 쉽게 탈취할 수 있다.

액티브 모드를 사용할 때 고려해야 할 주요 보안 조치는 다음과 같다.

따라서 현대의 네트워크 보안 환경에서는 액티브 모드의 사용을 지양하고, 반드시 필요한 경우라도 VPN 터널 내에서 사용하거나 강력한 애플리케이션 계층 방화벽 정책과 함께 사용하는 것이 권장된다.

• Wikipedia - Active mode

• 나무위키 - FTP

• RFC 959 - File Transfer Protocol

• Mozilla Developer Network - FTP

• KISA - 파일전송프로토콜(FTP) 보안 가이드

• IBM Documentation - FTP active and passive modes