どっちを選ぶ？FTP接続のパッシブとアクティブを比較

どっちを選ぶ？FTP接続のパッシブとアクティブを比較：詳細な解説

ファイル転送プロトコル（FTP）は、インターネットが普及する遥か以前から利用されている、最も基本的なプロトコルの一つです。リモートのサーバーとローカルコンピューター間でファイルを送受信するために広く使われてきました。しかし、FTPには他の多くのプロトコルとは異なる独特の仕組みがあります。それは、「コントロールコネクション」と「データコネクション」という、役割の異なる二つの接続を同時に利用する点です。そして、このデータコネクションの確立方法には、「アクティブモード」と「パッシブモード」という二つの方式が存在します。

これらのモードの違いは、ファイル転送の成否だけでなく、特にファイアウォールやネットワークアドレス変換（NAT）といった現代のネットワーク環境において、接続の問題を引き起こす大きな原因となります。あなたがFTPを利用する際、意識せずともどちらかのモードを選択しているはずです。そして、もし接続に失敗した場合、このモード設定が原因である可能性は非常に高いのです。

この記事では、FTPのアクティブモードとパッシブモードについて、その仕組みからメリット・デメリット、そして現代のネットワーク環境における最適な選択肢まで、詳細かつ網羅的に解説します。約5000語というボリュームで、それぞれのモードがどのように動作し、なぜ問題が発生しやすいのか、そしてどのように問題を解決・回避すれば良いのかを深く掘り下げます。FTPの理解を深め、接続トラブルを解決し、より安全で効率的なファイル転送を実現するための知識を得るために、ぜひ最後までお読みください。

1. FTPの基本構造：コントロールコネクションとデータコネクション

FTPが他の多くのプロトコル（例えばHTTPやSSH）と決定的に異なるのは、一つの通信セッションに対して、役割の異なる二つの独立したTCPコネクションを使用する点です。

コントロールコネクション:
- これはFTPセッションが確立された際に最初に張られるコネクションです。
- 通常、クライアントはサーバーのTCPポート21に接続を試みることで確立されます。
- 役割は、コマンド（例: USER, PASS, LIST, RETR, STOR, QUIT など）の送信と、サーバーからの応答（ステータスコードやメッセージ）の受信です。
- FTPセッションが継続している間、このコネクションは通常維持されます。
- データの実際の転送は行われません。あくまで「制御」のための通信路です。
データコネクション:
- これは、実際のファイルデータやディレクトリリストなどの「データ」を転送するために使用されるコネクションです。
- データの転送要求コマンド（例: LIST でディレクトリリストを取得、RETR でファイルをダウンロード、STOR でファイルをアップロード）がコントロールコネクション上で送信された後、その転送のために別途確立されます。
- データ転送が完了すると、通常はこのコネクションは閉じられます。
- このデータコネクションをどちらの側（クライアントかサーバーか）から確立するかによって、アクティブモードとパッシブモードに分かれます。ここがFTPの理解において最も重要なポイントです。

FTPがこのような二つのコネクション構造を採用しているのは、歴史的な理由と、比較的簡単な仕組みでコマンドとデータ転送を分離するためです。しかし、現代のネットワーク環境、特にファイアウォールやNATの普及においては、この二重構造が複雑さや問題の原因となることが多くなっています。

2. FTPアクティブモードの詳細

アクティブモードは、FTPが最初に設計された際に想定されていたオリジナルのモードです。その最大の特徴は、データコネクションをサーバー側からクライアントに向けて確立する点にあります。

2.1. アクティブモードの仕組み

アクティブモードでのデータ転送は、以下の手順で進行します（例：クライアントがサーバーからファイルをダウンロードする場合 – RETR コマンド）：

コントロールコネクションの確立:
- クライアントはサーバーの標準FTPコントロールポート（通常21番）に接続します。
- ユーザー認証など、初期の制御コマンドがやり取りされます。
データ転送要求と PORT コマンドの送信:
- クライアントはサーバーに対し、ダウンロードしたいファイル名を指定して RETR コマンドをコントロールコネクションで送信します。
- この際、クライアントはデータを受け取る準備ができたことをサーバーに知らせるために、PORT コマンドも送信します。
- PORT コマンドには、クライアント自身のIPアドレスと、データコネクションのためにクライアントが開放して待ち受けている（リスニングしている）ポート番号が含まれます。例えば、PORT 192,168,1,10,200,1 のような形式です。これは「IPアドレス 192.168.1.10 の、ポート番号 200*256 + 1 = 51201 番で待ち受けていますよ」という意味になります。
サーバーからのデータコネクション確立:
- サーバーはクライアントから受け取ったIPアドレスとポート番号（PORT コマンドで通知された情報）を使って、サーバー側のデータポート（通常20番）からクライアントが通知したポートへ接続を試みます。
- この接続は、サーバーからクライアントへのアウトバウンド接続であり、クライアントにとってはインバウンド接続となります。
データ転送:
- データコネクションが確立されると、サーバーは要求されたファイルデータをこのコネクションを通じてクライアントに送信します。
- ディレクトリリストの取得 (LIST コマンド) の場合も同様に、サーバーがデータコネクションを確立し、リスト情報をクライアントに送信します。
データコネクションの終了:
- データ転送が完了すると、データコネクションは閉じられます。コントロールコネクションはセッション終了まで維持されます。

2.2. アクティブモードの接続フロー（図解イメージ）

+-----------------+ +-----------------+ | クライアント | | サーバー | | (例: ポート 50000) | | (ポート 21, 20) | +-----------------+ +-----------------+ | | | 1. コントロールコネクション確立 (クライアント -> サーバー:21) |----------------------------------------->| | | | 2. 制御コマンド送信 (`RETR ファイル名`) | |----------------------------------------->| | 3. `PORT` コマンド送信 (クライアントIP, クライアントデータポート 51201) |----------------------------------------->| | | | 4. サーバー、データ送信準備 (ポート 20) | | | | 5. **データコネクション確立** | | **(サーバー:20 -> クライアント:51201)** | |<-----------------------------------------| <- **サーバーからクライアントへの接続!** | | | 6. データ転送 (ファイルデータ) | |<-----------------------------------------| | | | 7. データコネクション終了 | |< - - - - - - - - - - - - - - - - - - - | | | | 8. 制御コマンドやり取り継続 or セッション終了 | |----------------------------------------->|

2.3. アクティブモードのメリット

サーバー側のファイアウォール設定が比較的シンプル:
- サーバー側で開放する必要があるポートは、コントロールポート（21番）とデータ送信用のポート（通常20番）の、クライアントへのアウトバウンド接続を許可する設定のみです。サーバー自身は、クライアントが指定した任意の高位ポートに接続するだけなので、サーバー側で多数の待ち受けポートを開放する必要がありません（クライアント側で指定されるポート範囲は予測できないため、サーバー側で特定のポート範囲へのアウトバウンドを許可すれば十分です）。
歴史が古い: オリジナルのモードであり、基本的なFTPクライアント/サーバーでサポートされています。

2.4. アクティブモードのデメリット

アクティブモードの最大の欠点は、現代のネットワーク環境で一般的になっているファイアウォールやNATとの相性が非常に悪いという点に集約されます。

クライアント側のファイアウォールによるブロック:
- アクティブモードでは、データコネクションをサーバーからクライアントへ確立します。クライアント側のファイアウォールは、外部（サーバー）からの不審なインバウンド接続を防ぐために設定されていることがほとんどです。
- データコネクションのためのサーバーからの接続要求は、クライアント側のファイアウォールによって「外部からの未 solicited（要求されていない）接続」と判断され、デフォルト設定ではブロックされる可能性が非常に高いです。
- これを回避するためには、クライアント側のファイアウォールで、FTPサーバーからの特定の接続（通常はサーバーのデータポート20番から、クライアントが PORT コマンドで通知した任意の高位ポートへの接続）を許可するように設定する必要があります。しかし、クライアント側で利用される高位ポートの範囲は広いため、セキュリティリスクを高める可能性があります。
クライアント側のNATによる問題:
- 家庭や企業のネットワークでは、複数のデバイスがプライベートIPアドレスを持ち、一つのグローバルIPアドレスを共有するためにNAT（ネットワークアドレス変換）ルーターを使用することが一般的です。
- アクティブモードでは、クライアントはコントロールコネクション上で自身のプライベートIPアドレスとプライベートポート番号をサーバーに PORT コマンドで通知します。
- サーバーはこのプライベートIPアドレスとポート番号に対して接続を試みますが、サーバーから見るとそれはプライベートネットワーク内のアドレスであり、直接到達できません。サーバーはインターネット上のクライアントのグローバルIPアドレスに対して接続しようとしますが、PORT コマンドで通知された情報はプライベートアドレスであるため、接続が失敗します。
- このNAT問題を解決するために、一部のNATルーターやファイアウォールにはFTP ALG (Application-Level Gateway) / FTP Helperと呼ばれる機能が搭載されています。これは、コントロールコネクション上のFTPコマンド（特にPORT）を監視し、クライアントが送信したプライベートIPアドレスとポート番号を、ルーター自身が持つグローバルIPアドレスと、NAT変換された（ルーターが動的に割り当てた）グローバルポート番号に自動的に書き換えてからサーバーに転送する機能です。これにより、サーバーは正しいグローバルIPアドレスとポート番号を知ることができ、データコネクションを確立できるようになります。
- しかし、FTP ALGはすべてのルーターに搭載されているわけではなく、またFTPS（後述）のように暗号化されたコントロールコネクションではFTPコマンドを解析できないため機能しない、あるいは正しく動作しないといった問題も多く発生します。FTP ALGに依存することは、安定性や互換性の面で問題を抱える可能性があります。
クライアント側の設定負担: クライアントがアクティブモードを使用する場合、自身のネットワーク環境（ファイアウォールやNAT）を理解し、必要に応じて複雑な設定（ポート開放、FTP ALGの有効化など）を行う必要が出てきます。

2.5. アクティブモードの利用シナリオ

現代の一般的なインターネット環境ではデメリットが大きいため、アクティブモードが第一選択肢となることは少ないです。しかし、以下のようなケースではアクティブモードが有効な場合があります。

クライアント側がファイアウォールやNATの影響を受けない環境: クライアントが固定のグローバルIPアドレスを持ち、ファイアウォール設定を自由に制御できる、非常にシンプルなネットワーク構成の場合。
サーバー側が厳格なセキュリティポリシーを持ち、クライアントからのアウトバウンド接続のみを許可する場合: サーバー側のファイアウォールで、クライアントからのインバウンドデータ接続用のポートを多数開放することが困難な場合。
レガシーシステムとの互換性が必要な場合: 一部の古いFTPクライアントやサーバーは、パッシブモードを正しくサポートしていない場合があります。

3. FTPパッシブモードの詳細

アクティブモードのデメリット、特にクライアント側のファイアウォールやNAT問題を克服するために開発されたのがパッシブモードです。パッシブモードの最大の特徴は、データコネクションをクライアント側からサーバーに向けて確立する点にあります。

3.1. パッシブモードの仕組み

パッシブモードでのデータ転送は、以下の手順で進行します（例：クライアントがサーバーからファイルをダウンロードする場合 – RETR コマンド）：

コントロールコネクションの確立:
- アクティブモードと同様に、クライアントはサーバーの標準FTPコントロールポート（通常21番）に接続します。
- ユーザー認証など、初期の制御コマンドがやり取りされます。
データ転送要求と PASV コマンドの送信:
- クライアントはサーバーに対し、ダウンロードしたいファイル名を指定して RETR コマンドをコントロールコネクションで送信します。
- アクティブモードの PORT コマンドの代わりに、クライアントはPASV コマンドをサーバーに送信します。これは「パッシブモードでデータ転送したいので、データコネクションを待ち受けるポート番号を教えてください」という要求です。
サーバーからの応答 (227 Entering Passive Mode) とポート番号の通知:
- サーバーは PASV コマンドを受信すると、データ転送のために自身が待ち受けるランダムな高位ポートを開放し（リスニング状態にし）、そのポート番号をクライアントに通知します。
- サーバーからの応答は 227 Entering Passive Mode (h1,h2,h3,h4,p1,p2) のような形式です。これは「パッシブモードに入ります。IPアドレス h1.h2.h3.h4 の、ポート番号 p1*256 + p2 で待ち受けていますよ」という意味になります。
- サーバーは通常、パッシブモード用に事前に設定されたポート範囲から利用可能なポートを選んで開放します。
クライアントからのデータコネクション確立:
- クライアントはサーバーから通知されたIPアドレスとポート番号を使って、クライアント自身の任意の高位ポートからサーバーの通知されたポートへ接続を試みます。
- この接続は、クライアントからサーバーへのアウトバウンド接続となります。
データ転送:
- データコネクションが確立されると、サーバーは要求されたファイルデータをこのコネクションを通じてクライアントに送信します。
- ディレクトリリストの取得 (LIST コマンド) の場合も同様に、サーバーがデータコネクションを待ち受け、クライアントが接続してリスト情報を受け取ります。
データコネクションの終了:
- データ転送が完了すると、データコネクションは閉じられます。コントロールコネクションはセッション終了まで維持されます。

3.2. パッシブモードの接続フロー（図解イメージ）

+-----------------+ +-----------------+ | クライアント | | サーバー | | (例: ポート 50000) | | (ポート 21, パッシブポート範囲) | +-----------------+ +-----------------+ | | | 1. コントロールコネクション確立 (クライアント -> サーバー:21) |----------------------------------------->| | | | 2. 制御コマンド送信 (`RETR ファイル名`) | |----------------------------------------->| | 3. `PASV` コマンド送信 (データポートを教えてください) |----------------------------------------->| | | | 4. サーバー、パッシブポート開放 (例: ポート 60000) | | | | 5. 応答送信 (サーバーIP, パッシブポート 60000) |<-----------------------------------------| | | | 6. **データコネクション確立** | | **(クライアント:51201 -> サーバー:60000)** | |----------------------------------------->| <- **クライアントからサーバーへの接続!** | | | 7. データ転送 (ファイルデータ) | |<-----------------------------------------| | | | 8. データコネクション終了 | |< - - - - - - - - - - - - - - - - - - - | | | | 9. 制御コマンドやり取り継続 or セッション終了 | |----------------------------------------->|

3.3. パッシブモードのメリット

クライアント側のファイアウォール問題を回避しやすい:
- パッシブモードでは、データコネクションはクライアントからサーバーへ確立されます。クライアント側のファイアウォールは、一般的に外部へのアウトバウンド接続を許可するように設定されています。
- したがって、クライアントがサーバーの指定したポートに接続するこの方式は、クライアント側のファイアウォールによってブロックされる可能性が非常に低くなります。クライアント側で特定のポートを開放する必要がないため、セキュリティリスクも低減されます。
クライアント側のNAT環境に対応しやすい:
- パッシブモードでは、クライアントはサーバーが通知したIPアドレスとポート番号に対して接続するだけです。クライアントがNATの内側にいても、クライアント自身が接続を開始するため、特別な設定（FTP ALGなど）が不要になることが多いです。クライアントからサーバーへのアウトバウンド接続は、NATルーターが適切に変換してくれます。
- サーバーがNATの内側にいる場合は、応答時に通知するIPアドレスをグローバルIPアドレスに設定する必要があり、この設定はサーバー側で行います（通常はFTPサーバーソフトウェアまたはNATルーターの設定で対応）。
現代のネットワーク環境に適している: ファイアウォールやNATが普及した現在では、クライアント側の接続問題を回避できるパッシブモードが実用的です。

3.4. パッシブモードのデメリット

パッシブモードのデメリットは、主にサーバー側に集中します。

サーバー側のファイアウォール設定が複雑になる可能性がある:
- サーバーはデータ転送のために多数のランダムな高位ポート（通常は特定の範囲）を開放してクライアントからの接続を待ち受ける必要があります。
- サーバー側のファイアウォールでは、このパッシブモード用のポート範囲へのインバウンド接続を許可する設定が必要になります。開放するポート範囲が広すぎると、潜在的なセキュリティリスクを高める可能性があります。適切なポート範囲を設定し、その範囲をファイアウォールで開ける必要があります。
サーバーがNATの内側にいる場合の設定:
- サーバーがNATの内側にいる場合、サーバーは自身のプライベートIPアドレスでリスニングポートを開放します。しかし、PASV コマンドの応答としてプライベートIPアドレスをクライアントに通知してしまうと、クライアントはそれに接続できないため失敗します。
- これを解決するためには、サーバー側で PASV コマンドの応答時に通知するIPアドレスを、NATルーターのグローバルIPアドレスに書き換える設定が必要です。これは多くのFTPサーバーソフトウェアが対応しています。また、NATルーター側でパッシブポート範囲のポートフォワーディング（外部からの特定のポートへの接続要求を、内部のFTPサーバーの該当ポートへ転送する設定）も必要になります。これはアクティブモードでのクライアント側のNAT設定よりも一般的で確立された方法です。
ポート枯渇の可能性: 非常に多数の同時データ転送が発生する場合、サーバー側でデータコネクション用のポートが枯渇する可能性が理論的にはありますが、現実的にはほとんど問題になりません。

3.5. パッシブモードの利用シナリオ

パッシブモードは、現代のインターネット環境において、特別な理由がない限り推奨されるデフォルトのモードです。

クライアント側がファイアウォールやNATの内側にいる場合: これが最も一般的なケースであり、パッシブモードが有効です。
一般的なインターネット経由でのファイル転送: 不特定多数のユーザーが様々なネットワーク環境から接続する場合、クライアント側で特別な設定を要求しないパッシブモードが適しています。
サーバー側でデータポート範囲の開放と管理が可能である場合: パッシブモードを運用するには、サーバー側のファイアウォールでパッシブポート範囲を開放する必要があります。これが許容される環境であれば問題ありません。

4. アクティブ vs. パッシブ：比較表と詳細な対比

ここまで説明してきたアクティブモードとパッシブモードの違いを、比較表でまとめ、さらに詳細に対比してみましょう。

特徴/項目	アクティブモード (Active Mode)	パッシブモード (Passive Mode)	詳細な対比
データコネクションの確立元	サーバー	クライアント	データコネクションの接続要求を開始するのは、アクティブモードではサーバー、パッシブモードではクライアント。この違いが後続の様々な問題の根源となる。
データコネクションのポート	クライアントが `PORT` で指定した任意ポートへ (サーバーは通常20番ポートから接続)	サーバーが `PASV` で通知した任意ポートへ (クライアントは任意の高位ポートから接続)	アクティブはクライアント側が待ち受け、パッシブはサーバー側が待ち受ける。ポート番号の指定方法も異なるコマンドを使用する。
クライアント側のファイアウォール	サーバーからのインバウンド接続を許可する必要あり	クライアントからのアウトバウンド接続のみが必要	アクティブはデフォルトでブロックされやすい。パッシブは通常許可されるため、クライアント側での設定が容易。
サーバー側のファイアウォール	コントロール(21)およびデータ(20)からのアウトバウンド接続を許可	コントロール(21)へのインバウンド、パッシブポート範囲へのインバウンド接続を許可	アクティブは固定ポートからのアウトバウンド。パッシブは多数のポートへのインバウンド。パッシブモードではサーバー側のポート管理が重要になる。
クライアント側のNAT	非常に問題になりやすい。 `PORT` コマンドでプライベートIPを通知するため、FTP ALGなどの特殊な対応が必要。	問題になりにくい。クライアントからのアウトバウンド接続はNATルーターが適切に変換する。
サーバー側のNAT	問題になりにくい（ただしクライアントはサーバーのグローバルIPを知る必要がある）。	設定が必要になる場合がある。 `PASV` 応答でグローバルIPを通知する必要があり、NATルーターでのポートフォワーディングが必要。
設定の複雑さ (クライアント)	複雑化する可能性が高い（ファイアウォール/NAT設定）	シンプルな場合が多い	アクティブモードではクライアントのネットワーク環境設定がボトルネックになりやすい。パッシブはFTPクライアントソフトでのモード選択のみで済むことが多い。
設定の複雑さ (サーバー)	シンプルな場合が多い	パッシブポート範囲の管理やファイアウォール設定が必要	パッシブモードではサーバー側の設定負担が増える傾向がある。特にNAT環境下では外部IPアドレスの通知設定やポートフォワーディングが必須。
セキュリティ	クライアント側のポート開放リスク（アクティブポート予測困難性）	サーバー側のポート開放リスク（パッシブポート範囲）	どちらもポート開放を伴うリスクはあるが、現代ではクライアント側の方が多数かつ制御困難なケースが多く、サーバー側で集中管理するパッシブが有利とされる。
現代での一般的推奨	特別な理由がない限り推奨されない	推奨される	クライアント側のネットワーク環境に依存しないパッシブモードが主流。

詳細な対比の補足：

接続方向の根本的な違い:
- アクティブモードでは、クライアントが「データを受け取る準備ができたので、サーバーから接続してデータを送ってきてください」と要求します。
- パッシブモードでは、クライアントが「データが欲しいので、サーバーがデータを待ち受ける場所（ポート）を教えてください。そこに私が接続しに行きます」と要求します。
- この「どちらが接続を開始するか」という違いが、ファイアウォールやNATに対する挙動の差として現れます。ほとんどのファイアウォールやNATは、内部ネットワークから外部への接続（アウトバウンド）は比較的自由に許可しますが、外部から内部への未要求の接続（インバウンド）は厳しく制限します。アクティブモードのデータコネクションはサーバーからクライアントへのインバウンド接続であるためブロックされやすく、パッシブモードのデータコネクションはクライアントからサーバーへのアウトバウンド接続であるためブロックされにくいのです。
ポートの役割と管理:
- アクティブモードでは、サーバーはデータ送信のためにポート20番（標準データポート）を使用し、クライアントは PORT コマンドで通知するランダムな高位ポートで待ち受けます。サーバー側のファイアウォールは20番からのアウトバウンドを許可すれば済みますが、クライアント側のファイアウォールはサーバーのIPと20番からの特定の宛先ポートへのインバウンドを許可する必要があります。宛先ポートはセッションごとに変わるため、広範囲のポートを開放する必要があり、管理が難しいです。
- パッシブモードでは、サーバーは PASV コマンドの応答でランダムな高位ポートを通知し、そこで待ち受けます。クライアントは任意の高位ポートからサーバーの指定したポートへ接続します。クライアント側はアウトバウンド接続のみで特別なポート開放は不要ですが、サーバー側のファイアウォールは、パッシブモード用に指定したポート範囲へのインバウンド接続を許可する必要があります。サーバー側でパッシブポート範囲を適切に設定し、ファイアウォールでその範囲を管理する必要があります。サーバー管理者がポート範囲を決定し集中管理できるため、クライアント側が多数かつ多様な環境である場合には管理しやすくなります。
NAT問題の深掘り:
- クライアント側NAT + アクティブモード: クライアントはプライベートIPを通知します。サーバーはそのプライベートIPに接続しようとして失敗します。FTP ALGは、PORT x,y,z,w,p1,p2 のコマンドを検出して、x.y.z.w (プライベートIP) をルーターのグローバルIPに、p1*256+p2 (クライアントのプライベートポート) をルーターが動的に割り当てたグローバルポートに書き換えます。サーバーはこのグローバルIPとグローバルポートに接続すれば、ルーターがNATテーブルに基づいてクライアントのプライベートIPとポートに変換し、通信が可能になります。しかし、FTP ALGの実装は様々で、互換性の問題が発生しやすいです。
- サーバー側NAT + パッシブモード: サーバーはプライベートIPで待ち受け、PASV 応答でプライベートIPを通知します。クライアントはそのプライベートIPに接続しようとして失敗します。これを回避するには、FTPサーバーの設定で、PASV 応答時に通知するIPアドレスをサーバーのグローバルIPアドレスに設定します。そして、NATルーター側で、外部からのパッシブポート範囲への接続要求を、内部のFTPサーバーの該当プライベートIPとポートへ転送するポートフォワーディング設定が必要になります。これは比較的標準的な設定方法です。

5. どちらのモードを選ぶべきか

ここまで見てきたように、アクティブモードとパッシブモードにはそれぞれメリットとデメリットがあります。しかし、現代のインターネット環境においては、どちらのモードがより実用的であるかという点で明確な傾向があります。

5.1. 現代における一般的な推奨：パッシブモード

特別な理由がない限り、現代のネットワーク環境ではパッシブモードを選択することが強く推奨されます。

その主な理由は、クライアント側のネットワーク環境に起因する接続問題を回避できる可能性が高いからです。多くのFTPクライアントは、デフォルトでパッシブモードを使用するように設定されています。これは、ユーザーが自身のファイアウォールやNATの設定を意識することなく、FTP接続を成功させやすくするためです。

インターネットユーザーの多くは、自宅や職場のファイアウォールやNATの内側からインターネットにアクセスしています。これらの環境下でアクティブモードを使おうとすると、サーバーからのデータコネクションがファイアウォールにブロックされたり、NAT変換の問題で接続できなかったりといったトラブルが頻繁に発生します。ユーザーにこれらのネットワーク機器の設定変更を求めるのは現実的ではありません。

一方、パッシブモードであれば、クライアントからサーバーへのアウトバウンド接続のみでデータ転送が可能です。アウトバウンド接続は通常ファイアウォールで許可されていますし、NATルーターもアウトバウンド接続に対する変換は標準的に行います。したがって、ユーザー側で特別な設定をする必要が大幅に減ります。

ただし、パッシブモードを運用するには、サーバー側でパッシブポート範囲の開放とファイアウォール設定が必要になります。もしあなたがFTPサーバーの管理者であれば、ユーザーの利便性を考慮し、適切なパッシブポート範囲を設定・開放することを検討すべきです。

5.2. アクティブモードを選ぶべきケース

パッシブモードが主流であるとはいえ、アクティブモードが適している、あるいは選択せざるを得ないケースも存在します。

クライアント側がファイアウォールやNATの影響を受けない、あるいは制御可能な特殊な環境にある場合:
- クライアントが固定グローバルIPを持ち、ファイアウォールの設定を自由に制御できる（サーバーからのデータコネクションを許可できる）環境であれば、アクティブモードも問題なく利用できます。例えば、データセンター内のサーバー同士でのFTP転送など、特定の閉じられたネットワーク環境での利用。
サーバー側でデータポートを複数開放することが極めて困難またはセキュリティポリシー上許されない場合:
- サーバー側のセキュリティポリシーが非常に厳しく、データ転送のために多数のパッシブポートを開放することが許可されない場合。この場合、サーバー側のファイアウォールは21番と20番からのアウトバウンドのみを許可し、クライアント側でアクティブモードを強制するという運用が考えられます。ただし、これはクライアント側の環境を強く制限することになるため、一般的なサービス提供には向きません。
非常に古い、パッシブモードをサポートしていないFTPクライアント/サーバーとの互換性が必要な場合:
- 現代では稀ですが、ごく古いシステムではパッシブモードが実装されていないことがあります。

5.3. パッシブモードを選ぶべきケース

以下のようなケースでは、パッシブモードが推奨されます。

クライアント側がファイアウォールやNATの内側にいる、一般的なインターネットユーザーである場合:
- これが最も典型的で、パッシブモードが開発された主要な理由です。多くのユーザーが自宅や会社のネットワークからインターネット経由でFTPサーバーに接続する場合、パッシブモード以外では接続できないか、ユーザー側に複雑な設定を要求することになります。
一般的なインターネット経由でのファイル転送サービスを提供するサーバーの場合:
- 不特定多数のクライアントが様々なネットワーク環境から接続することを想定する場合、クライアント側の接続成功率を高めるために、サーバー側はパッシブモードをサポートし、推奨する必要があります。
サーバー側でパッシブポート範囲の開放が許容される場合:
- サーバー管理者として、セキュリティリスクを管理可能な範囲でパッシブポート範囲を開放し、ファイアウォール設定を行える環境であれば、パッシブモードの運用は十分に可能です。

6. 各モードの設定方法（概要）

FTPクライアントおよびサーバーソフトウェアでは、通常、どちらのモードを使用するかを設定できます。ここでは一般的な設定の概要を説明します。具体的な設定方法は、使用するソフトウェアやネットワーク機器によって異なりますので、各製品のマニュアルを参照してください。

6.1. FTPクライアント側での設定

ほとんどのモダンなFTPクライアントソフトウェア（例: FileZilla, WinSCP, Cyberduckなど）では、接続設定の一部としてFTPモードを選択できます。

設定項目名: 「転送モード」「データ接続モード」「Passive mode」「Active mode」など。
選択肢: 通常は「自動検出」「パッシブモード (Passive)」「アクティブモード (Active)」の中から選択します。
「自動検出」: これはクライアントがまずパッシブモードを試み、失敗した場合にアクティブモードを試す、という賢い挙動をすることが多いです。しかし、環境によっては自動検出がうまくいかず、どちらかのモードを明示的に指定する必要がある場合もあります。
推奨設定: 特に問題がなければ「自動検出」または「パッシブモード」を選択するのが一般的です。アクティブモードを明示的に選択するのは、サーバー側からそのように指示された場合や、パッシブモードでどうしても接続できない場合に限定されるでしょう。

6.2. FTPサーバー側での設定

FTPサーバーソフトウェア（例: Pure-FTPd, vsftpd, FileZilla Serverなど）では、パッシブモードの運用に必要な設定を行います。

アクティブモード関連設定:
- アクティブモードを許可するかどうか。
- PORTコマンドで通知されたIPアドレスがサーバー自身のIPアドレスと異なる場合に接続を拒否するかどうか（PORTスキャンなどの悪用を防ぐためのセキュリティ設定）。
パッシブモード関連設定:
- パッシブポート範囲 (Passive Port Range): データコネクションのためにサーバーが待ち受けるポート番号の範囲を指定します（例: 50000-51000）。この範囲は、予約済みポートや他のサービスが使用するポートと衝突しないように慎重に選びます。セキュリティ上の理由から、必要最小限の範囲にすることが推奨されます。
- パッシブ応答IPアドレス (Passive IP Address / External IP Address): サーバーがNATの内側にいる場合に、PASV コマンドの応答で通知するグローバルIPアドレスを指定します。サーバーソフトウェアによっては、設定ファイルに直接IPアドレスを記述したり、動的に外部IPを取得するオプションがあったりします。この設定を怠ると、NAT環境下のクライアントはサーバーに接続できなくなります。
ファイアウォール設定 (サーバー側):
- TCPポート21 (コントロールコネクション) へのインバウンド接続を許可します。
- アクティブモードをサポートする場合：TCPポート20 (データコネクション用) からのクライアントへのアウトバウンド接続を許可します。
- パッシブモードをサポートする場合：指定したパッシブポート範囲 (例: TCPポート50000-51000) へのクライアントからのインバウンド接続を許可します。これは最も重要な設定であり、この範囲がファイアウォールで閉鎖されていると、クライアントはデータコネクションを確立できません。

6.3. ファイアウォール/NATルーターでの設定

ネットワークの境界にあるファイアウォールやNATルーターでも、FTP関連の設定が必要になる場合があります。

クライアント側のファイアウォール/NAT:
- アクティブモードを使用する場合、サーバーからのデータコネクション（通常サーバーポート20からクライアントが指定したポートへのインバウンド）を許可する必要があります。特定のIPアドレスとポート範囲を許可する、またはFTP ALG/Helper機能を有効にするなどの設定が必要です。セキュリティや安定性の問題から、この方法は推奨されません。
サーバー側のファイアウォール/NAT:
- コントロールコネクション (TCPポート21) へのインバウンド接続に対して、FTPサーバーのプライベートIPアドレスとポート21へ転送するポートフォワーディング設定が必要になります。
- パッシブモードを使用する場合、サーバーで指定したパッシブポート範囲 (例: TCPポート50000-51000) へのインバウンド接続に対して、FTPサーバーのプライベートIPアドレスと該当ポート範囲へ転送するポートフォワーディング設定が必要になります。これはサーバーがNATの内側にいる場合の必須設定です。
- FTP ALG/Helper機能は、サーバー側のNATでも利用されることがありますが、PASV 応答のIP書き換えはサーバーソフトウェアの設定で行う方が一般的です。パッシブポートのポートフォワーディング設定は、FTP ALGに頼らずとも明示的に設定することで安定した運用が可能になります。

7. 関連技術・補足事項

FTPのアクティブモードとパッシブモードを理解する上で、関連する技術やプロトコルについても知っておくと役立ちます。

7.1. FTPS (FTP over SSL/TLS)

FTPSは、FTPのコントロールコネクションやデータコネクションをSSL/TLSで暗号化することで、通信のセキュリティを高めたプロトコルです。FTPの上にSSL/TLSレイヤーを追加したものであり、基本的なコネクション構造（コントロールとデータ、アクティブ/パッシブモード）はFTPと同じです。

FTPSには大きく分けて以下の2つのモードがあります。

Explicit (明示的) FTPS: FTPの標準ポート (21) で接続を開始し、クライアントが AUTH TLS または AUTH SSL コマンドを発行して暗号化ネゴシエーションを行います。ネゴシエーションが成功すると、コントロールコネクションおよびその後のデータコネクションが暗号化されます。
Implicit (暗黙的) FTPS: 最初から暗号化された接続を確立することを前提とし、通常は専用のポート（コントロールは990番、データは989番など）を使用します。この方式はRFC標準ではありませんが、広く実装されています。

FTPSを利用する場合も、データコネクションにはアクティブモードとパッシブモードがあります。FTPSでもアクティブモードのクライアント側NAT問題は発生します。さらに、コントロールコネクションが暗号化されているため、前述のFTP ALG/Helper機能がコントロールコマンド（PORTやPASV）を解析できず、データコネクション確立のための動的な穴あけやNAT変換が失敗する可能性が高まります。このため、FTPS環境でも、パッシブモードが推奨される傾向がより強いです。パッシブモードであれば、FTP ALGが不要になるか、またはサーバー側のパッシブポート範囲に対する静的なポートフォワーディング設定で対応できるため、暗号化された通信でも問題なくデータコネクションを確立しやすくなります。

7.2. SFTP (SSH File Transfer Protocol)

SFTPはFTPとは全く異なるプロトコルです。SSH (Secure Shell) の上で動作するファイル転送プロトコルであり、FTPのようにコントロールコネクションとデータコネクションを分離する構造を持ちません。SSHの単一の暗号化されたコネクション（通常TCPポート22）上で、制御コマンドとデータ転送の両方を行います。

SFTPの主な特徴は以下の通りです。

単一コネクション: 全ての通信がSSHの1つのコネクションで行われるため、FTPのようなデータコネクションの確立方向に関する問題（アクティブ/パッシブモードの問題）は存在しません。
ファイアウォール/NATフレンドリー: サーバー側のSSHポート22へのインバウンド接続（クライアントからのアウトバウンド接続）のみを許可すれば良いため、ファイアウォールやNATの設定がFTP/FTPSよりもはるかにシンプルになります。FTP ALGなどの特殊な機能は不要です。
高いセキュリティ: 通信全体がSSHによって強力に暗号化・認証されるため、盗聴や改ざん、なりすましに対して非常に強いです。パスワード認証だけでなく、公開鍵認証も利用可能です。
FTPとは異なるプロトコル: SFTPはFTPコマンド（LIST, RETR など）を理解しません。SFTPクライアントとSFTPサーバーの間でのみ通信可能です。FTPクライアントでSFTPサーバーに接続したり、その逆を行ったりすることはできません（まれにクライアントソフトウェアがFTPとSFTPの両方に対応している場合、見た目上同じクライアントで扱えることがありますが、プロトコルとしては別物です）。

FTP/FTPSとSFTP、どちらを選ぶべきか？

セキュリティ、ファイアウォール/NATへの対応、設定の容易さといった観点からは、可能であればSFTPの利用を強く推奨します。特に新規にファイル転送システムを構築する場合や、セキュリティが重視される環境では、SFTPを第一候補とすべきです。

しかし、既存のシステムとの互換性が必要な場合、相手側がSFTPに対応していない場合、あるいは特定の理由でFTP/FTPSを使用する必要がある場合もあります。そのような場合には、本記事で解説したアクティブモードとパッシブモードの違いを理解し、環境に最適なモードを選択することが重要になります。特にインターネット越しに不特定多数が利用するサーバーでは、パッシブモードの適切な設定が不可欠です。FTPSは、セキュリティを考慮しつつもFTPベースのシステムを利用したい場合に選択肢となりますが、パッシブモード運用を基本とする必要があります。

8. まとめ

FTP接続におけるアクティブモードとパッシブモードは、データ転送のためのTCPコネクションをどちらの側（サーバーまたはクライアント）が確立するかという、根本的な違いに基づいています。

アクティブモードでは、サーバーがクライアントにデータコネクションを確立しに行きます。これはクライアント側のファイアウォールやNATによってブロックされやすく、現代の多くのネットワーク環境では接続問題を頻繁に引き起こします。
パッシブモードでは、クライアントがサーバーにデータコネクションを確立しに行きます。これはクライアントからのアウトバウンド接続となるため、クライアント側のファイアウォールやNATの影響を受けにくく、現代の一般的なインターネット環境に適しています。

このため、特別な理由がない限り、FTPを利用する際にはパッシブモードを選択することが強く推奨されます。多くのFTPクライアントはデフォルトでパッシブモードを使用するか、自動検出機能を持っています。FTPサーバー管理者としては、パッシブモードをサポートするために適切なパッシブポート範囲を設定し、サーバー側のファイアウォールと（必要であれば）NATルーターでその範囲へのインバウンド接続を許可する設定が重要になります。

ただし、アクティブモードが適する特定の環境や、レガシーシステムとの互換性の問題も存在します。また、サーバー側でのパッシブポート範囲の開放は、アクティブモードに比べてサーバー側の設定負担やセキュリティリスクを高める側面も無視できません。

最後に、セキュリティと利便性の観点から、可能であればFTPやFTPSに代わるプロトコルとしてSFTPの利用を検討することも重要です。SFTPはSSH上で動作し、単一の暗号化されたコネクションを使用するため、FTPのアクティブ/パッシブ問題は存在せず、ファイアウォールやNATへの対応も容易で、高いセキュリティを提供します。

FTPのアクティブモードとパッシブモードの違いを理解することは、FTP接続に関するトラブルシューティングや、安全かつ安定したファイル転送環境の構築において非常に重要です。本記事で提供した詳細な情報を活用し、あなたのネットワーク環境や目的に最適なモードを選択・設定してください。