【図解】FTP PASVモード（パッシブモード）の仕組みをわかりやすく解説

はい、FTP PASVモード（パッシブモード）の仕組みを約5000語で詳しく解説する記事を記述します。図解の代わりとして、図がどのような要素を含み、何を示しているかを詳細にテキストで描写することで、読者が図をイメージし、理解を深められるように努めます。

【図解】FTP PASVモード（パッシブモード）の仕組みをわかりやすく解説

はじめに：ファイル転送プロトコル（FTP）の登場とその課題

インターネットが普及し、コンピュータ間でファイルをやり取りするニーズが高まるにつれて、様々なファイル転送方法が考案されてきました。その中でも古くから標準的に利用されてきたのが、FTP (File Transfer Protocol) です。FTPは、クライアント（ファイルを要求する側）とサーバー（ファイルを保持している側）の間でファイルを効率的に転送するために設計されたプロトコルです。

FTPはシンプルで強力なファイル転送機能を提供しますが、そのプロトコルの仕組みには、現代のネットワーク環境、特にファイアウォールやNAT (Network Address Translation) が普及した環境ではいくつかの課題があります。これらの課題を解決するために、FTPには大きく分けて二つのデータ転送モードが存在します。それが、アクティブモードとパッシブモード（PASVモード）です。

本記事では、まずFTPの基本的な仕組みであるコントロール接続とデータ接続について触れた後、アクティブモードが抱える問題点を明確にします。そして、その問題を解決するために登場したPASVモード（パッシブモード）の仕組みを、ステップバイステップで、仮想的な図解を交えながら詳細かつ分かりやすく解説します。PASVモードのメリット・デメリット、そしてファイアウォールやNATといった現代のネットワーク環境でどのようにPASVモードが機能するのかについても深く掘り下げていきます。本記事を通じて、FTPのPASVモードに関する理解を深め、ネットワークのトラブルシューティングや設定に役立てていただければ幸いです。

FTPの基本構造：コントロール接続とデータ接続

FTPが他の多くのアプリケーションプロトコル（HTTPなど）と異なる点の一つは、一つのファイル転送セッションに対して、二つの異なるTCP接続を使用する点です。

コントロール接続 (Control Connection):
- 役割: クライアントとサーバーの間でコマンドや応答をやり取りするために使用されます。例えば、ディレクトリ一覧の取得 (LISTコマンド)、ディレクトリ移動 (CWDコマンド)、ファイルダウンロードのリクエスト (RETRコマンド)、ファイルアップロードのリクエスト (STORコマンド) など、ファイル転送セッションの「制御」に関する情報がこの接続を通じて流れます。ユーザー認証（ユーザー名とパスワードの送信）もこの接続で行われます。
- ポート: TCPポート 21番 を使用します。クライアントがサーバーの21番ポートに接続要求を送ることからセッションが開始されます。
- 性質: 通常、FTPセッションの開始から終了まで維持されます。データ転送中でもコントロール接続は生きており、転送状況の確認や転送中止といったコマンドを送信することが可能です。
データ接続 (Data Connection):
- 役割: 実際のファイルデータそのものや、ディレクトリ一覧などのデータを転送するために使用されます。コントロール接続でファイルダウンロード（RETR）を指示されたら、このデータ接続を使ってファイルの中身がクライアントに送信されます。アップロード（STOR）の場合は、クライアントからサーバーへファイルの中身が送信されます。
- ポート: コントロール接続とは別のポート番号を使用します。このポート番号は、アクティブモードかパッシブモードかによって決定方法が異なります。
- 性質: データ転送が必要な操作（例: ファイルのダウンロード/アップロード、ディレクトリ一覧の取得）が発生するたびに確立され、データ転送が完了すると切断されます。

なぜこのように二つの接続に分かれているのでしょうか？主な理由は、データ転送中にコマンドを中断なく発行できるようにするためです。もし一つの接続でコマンドとデータを両方やり取りしていた場合、大きなファイルを転送している最中に転送中止コマンドを送ることが難しくなったり、転送状況を問い合わせるコマンドを送れなくなったりする可能性があります。コントロール接続とデータ接続を分離することで、このような問題を回避し、柔軟なセッション管理を可能にしています。

この二つの接続、特にデータ接続をどのように確立するかが、アクティブモードとパッシブモードの決定的な違いとなります。

FTPアクティブモードの仕組みとその課題

歴史的に先に登場したのは、アクティブモード (Active Mode) です。その名の通り、データ接続の確立において、サーバーが比較的「アクティブ」な役割を担います。アクティブモードの仕組みを理解することは、PASVモードがなぜ必要になったのかを知る上で非常に重要です。

【図解1】FTPアクティブモードの仕組み

図解1では、以下のような要素を想定してください。
* 左側に「クライアントPC」があり、その前に「クライアント側ファイアウォール」があります。
* 右側に「FTPサーバー」があり、その前に「サーバー側ファイアウォール」があります。
* 中央に「インターネット」や「ネットワーク」があります。
* クライアントとサーバーの間には、コントロール接続（TCP 21番）とデータ接続（TCP 20番）を表す線があります。

アクティブモードのデータ接続確立フロー:

コントロール接続の確立: クライアントは、サーバーのTCP 21番ポートに対してコントロール接続を確立します。これは通常、クライアントからサーバーへのアウトバウンド接続として開始されます。ファイアウォールを通過する際、クライアント側ファイアウォールは内部からのアウトバウンド接続を許可し、サーバー側ファイアウォールは21番ポートへのインバウンド接続を許可します。
- 図解1描写: クライアントからサーバーへ向かう21番ポートへの矢印（コントロール接続）。この矢印はクライアント側ファイアウォールを通過し、サーバー側ファイアウォールを通過してサーバーに到達する。
データ転送要求とPORTコマンド: クライアントはコントロール接続上で、ファイル転送やディレクトリ一覧取得などのコマンド（例: LIST, RETR, STOR）を発行します。データ転送が必要であることをサーバーに伝えるとともに、PORTコマンドを送信します。
- PORTコマンド: このコマンドは、クライアントがデータ転送のために待ち受けを開始する自身のIPアドレスとポート番号をサーバーに通知する役割を持ちます。例えば、クライアントのIPアドレスが192.168.1.100で、待ち受けポートが12345番の場合、クライアントは PORT 192,168,1,100,48,57 のようなコマンドをサーバーに送信します（ポート番号12345は 48 * 256 + 57 で計算されます）。クライアントは、このコマンドを送った後、指定したポート（例: 12345番）でサーバーからのデータ接続を待ち受け始めます。
- 図解1描写: コントロール接続の線の上に「PORT h1,h2,h3,h4,p1,p2」という文字がクライアントからサーバーへ流れる様子。クライアントPCの近くに「データ待ち受けポート(例: 12345番)」と表示される。
サーバーからのデータ接続確立: サーバーはクライアントからPORTコマンドを受け取ると、通知されたIPアドレスとポート番号（例: 192.168.1.100の12345番ポート）に対して、自身のTCP 20番ポートからデータ接続を確立しようとします。
- サーバー側ソースポート: FTPの仕様では、サーバーはアクティブモードのデータ接続を開始する際、自身のTCP 20番ポートを使用することになっています。
- 図解1描写: サーバーPCの近くに「データ送信ポート(20番)」と表示される。サーバーからクライアントの待ち受けポート（12345番）へ向かう矢印（データ接続）がインターネット上を流れる。
データ転送: データ接続が無事確立されると、実際のファイルデータやディレクトリ一覧データがこの接続を通じて転送されます。

アクティブモードの抱える課題：クライアント側ファイアウォールの問題

【図解1】を見ながら、ステップ3に注目してください。サーバーがクライアントの待ち受けポート（例: 12345番）にデータ接続を開始しています。

現代のネットワーク環境では、セキュリティのために多くのコンピュータやネットワークの境界にファイアウォールが設置されています。ファイアウォールの基本的な役割の一つは、外部からの「許可されていない」インバウンド接続をブロックすることです。

アクティブモードの場合、クライアントはランダムな高位ポート（通常1024番以降）を開いてサーバーからの接続を待ち受けます。サーバーからのデータ接続は、クライアント側ファイアウォールにとっては「外部（サーバー）から内部（クライアント）への、特定の（クライアントが開いた）ポートへの接続要求」に見えます。

多くのクライアント側ファイアウォールは、セキュリティのために、内部からのアウトバウンド接続に対する応答（確立済みの接続に関するパケット）は許可しますが、外部から内部への新たなインバウンド接続は、明示的に許可されていない限りブロックします。

図解1描写の課題部分: サーバーからクライアントの12345番ポートへ向かうデータ接続の矢印が、クライアント側ファイアウォールによって遮られる様子。ファイアウォールに「ブロック！」という文字が表示される。

このため、アクティブモードでは、クライアント側ファイアウォールがサーバーからのデータ接続要求をブロックしてしまい、データ転送が失敗するという問題が頻繁に発生します。この問題を回避するには、クライアント側ファイアウォールで、FTPサーバーからの特定のポート範囲へのインバウンド接続を許可する例外設定を行う必要がありますが、これはセキュリティリスクを高める可能性があり、また一般ユーザーにとっては設定が困難です。

このクライアント側ファイアウォールの問題を解決するために考案されたのが、次に解説する パッシブモード（PASVモード） です。

FTPパッシブモード（PASVモード）とは

パッシブモード (Passive Mode)、またはPASVモードは、アクティブモードの「サーバーがクライアントにデータ接続を開始する」という仕組みを変更し、データ接続の確立もクライアント側から行うように設計されたモードです。これにより、アクティブモードが抱えていたクライアント側ファイアウォールの問題を回避することができます。

名前の由来について、諸説ありますが、一つには「データ接続確立において、サーバーがアクティブに接続を開始するのではなく、クライアントからの接続をパッシブに待ち受ける」というサーバーの役割の変化からきていると言われます。

現代のインターネット環境では、クライアント側がファイアウォールやNATの内側にいることがほとんどであるため、FTPクライアントソフトウェアの多くはデフォルトでパッシブモードを使用する設定になっています。

【図解2】FTPパッシブモード（PASVモード）の仕組みの概要

図解2は、図解1と同様の要素（クライアントPC、クライアント側ファイアウォール、インターネット、サーバー側ファイアウォール、FTPサーバー）を含みます。
* クライアントからサーバーへのコントロール接続（TCP 21番）。
* データ接続は、クライアントからサーバーへ向かう矢印で表現される。このデータ接続のポート番号はサーバーが指定するランダムなポート番号である。

図解2描写: クライアントからサーバーへ向かう21番ポートへの矢印（コントロール接続）。クライアントからサーバーへ向かう別の矢印（データ接続）。このデータ接続の矢印は、クライアント側ファイアウォールを通過し、サーバー側ファイアウォールを通過してサーバーに到達する。クライアント側ファイアウォールはこの接続をブロックしない様子が示される。

図解2のデータ接続の矢印の方向が、図解1のアクティブモードの場合と逆になっている点に注目してください。PASVモードでは、データ接続もクライアントからサーバーへ向かうアウトバウンド接続として開始されます。

FTPパッシブモード（PASVモード）の仕組み詳細

それでは、PASVモードでデータ接続がどのように確立されるのか、ステップバイステップで詳しく見ていきましょう。

PASVモードのデータ接続確立フロー:

コントロール接続の確立: アクティブモードと同様に、クライアントはサーバーのTCP 21番ポートにコントロール接続を確立します。
- 図解3描写: クライアントからサーバーへ向かう21番ポートへの矢印（コントロール接続）。この矢印は両側のファイアウォールを通過する。
PASVコマンドの送信: クライアントはファイル転送やディレクトリ一覧取得などのデータ転送を伴うコマンド（例: LIST, RETR, STOR）を発行する前に、コントロール接続上でサーバーに PASVコマンド を送信します。これは「データ接続はパッシブモードで行いたい」という意思表示です。
- 図解3描写: コントロール接続の線の上に「PASV」という文字がクライアントからサーバーへ流れる様子。
サーバーからの応答 (227 Entering Passive Mode): サーバーはクライアントからのPASVコマンドを受け取ると、データ接続に使用する自身のIPアドレスとポート番号をクライアントに通知する応答を返します。標準的な応答コードは 227 で、応答メッセージは通常 227 Entering Passive Mode (h1,h2,h3,h4,p1,p2) という形式です。
- 応答メッセージの解釈: このメッセージ中の (h1,h2,h3,h4) はサーバーのIPアドレスをドット区切りではなくカンマ区切りで示したものです（例: 192,168,1,1）。(p1,p2) はデータ接続用のポート番号を示しており、実際のポート番号は p1 * 256 + p2 という計算で求められます。例えば、(48,57) ならポート番号は 48 * 256 + 57 = 12288 + 57 = 12345 となります。サーバーはこの応答を返した後、指定したポート（例: 12345番）でクライアントからのデータ接続を待ち受け始めます。
- 図解3描写: コントロール接続の線の上に「227 Entering Passive Mode (h1,h2,h3,h4,p1,p2)」という文字がサーバーからクライアントへ流れる様子。サーバーPCの近くに「データ待ち受けポート(例: 50000-51000番のいずれか)」と表示される（サーバーは指定されたポートで待ち受ける）。
クライアントからのデータ接続確立: クライアントはサーバーからの 227 Entering Passive Mode 応答メッセージを解析し、通知されたIPアドレスとポート番号（例: サーバーのIPアドレス h1.h2.h3.h4 のポート番号 p1*256+p2）を特定します。その後、クライアントは自身のランダムな高位ポート（例: 54321番）から、サーバーの指定されたIPアドレスとポート番号（例: 12345番）に対して、新たなTCP接続を確立します。
- 図解4描写: クライアントPCの近くに「データ送信ポート(例: 54321番)」と表示される。クライアントからサーバーの12345番ポートへ向かう矢印（データ接続）がインターネット上を流れる。この矢印はクライアント側ファイアウォールを通過し、サーバー側ファイアウォールを通過してサーバーに到達する。クライアント側ファイアウォールはこの接続を「内部からのアウトバウンド接続」として許可する様子が示される。
データ転送: データ接続が無事確立されると、コントロール接続を通じて送信されたデータ転送コマンド（LIST, RETR, STORなど）に基づいて、実際のファイルデータやディレクトリ一覧データがこのデータ接続を通じて転送されます。データ転送が完了すると、データ接続は切断されます。
- 図解5描写: 確立されたデータ接続の矢印の上で、ファイルデータがクライアントとサーバーの間で送受信される様子（矢印の向きはLIST/RETRならサーバーからクライアント、STORならクライアントからサーバー）。

このフローを見て分かる通り、PASVモードではデータ接続の開始側がクライアントに変わりました。クライアントは、コントロール接続（ポート21）もデータ接続（サーバーが指定したポート）も、両方ともアウトバウンド接続として開始します。

PASVモードのメリット：なぜファイアウォールに強いのか？

PASVモードが現代のネットワーク環境で主流となった最大の理由は、アクティブモードが抱えていたクライアント側ファイアウォールの問題を効果的に回避できる点にあります。

クライアント側ファイアウォールの透過性:
PASVモードでは、クライアントはサーバーから指定されたポートに対してデータ接続を開始します。これは、クライアント側から見れば「外部のサーバーの特定ポートへの接続要求」であり、一般的なファイアウォールの設定では、内部ネットワークからのアウトバウンド接続はデフォルトで許可されていることが多いため、この接続はブロックされずに通過できます。クライアント側は、サーバーからのインバウンド接続を待ち受ける必要がありません。これが、アクティブモードで必要だったクライアント側ファイアウォールへの例外設定を不要にする大きな利点です。

図解4描写の再確認: クライアントからのデータ接続の矢印が、クライアント側ファイアウォールを難なく通過している様子。ファイアウォールに「通過許可」と表示される。

サーバー側ファイアウォールへの影響:
PASVモードでも、サーバー側ファイアウォールは必要です。PASVモードでは、サーバーはデータ接続のために特定のポート範囲（例: 49152-65535など、多くのサーバーでPASVポートとして利用される範囲）を開放し、クライアントからのインバウンド接続を待ち受ける必要があります。サーバー側ファイアウォールでは、コントロール接続用の21番ポートへのインバウンド接続に加えて、このPASVモード用のポート範囲へのインバウンド接続を許可する設定が必要になります。
しかし、これはサーバー側の管理者によって制御可能な設定であり、特定のサーバーに対してのみ行うため、不特定多数のクライアント側のユーザーがそれぞれ自分のファイアウォールを設定する必要があるアクティブモードに比べて、運用上の負担が圧倒的に小さくなります。

NAT (Network Address Translation) 環境での優位性:
アクティブモードは、NAT環境でも問題が生じやすいです。NATは、プライベートIPアドレスをグローバルIPアドレスに変換してインターネットと通信できるようにする技術です。アクティブモードでNATの内側にいるクライアントがPORTコマンドを送る際、そのコマンドに含まれるIPアドレスはクライアントのプライベートIPアドレスになってしまいます。サーバーはこのプライベートIPアドレスに対してデータ接続を開始しようとしますが、インターネット上からはプライベートIPアドレスには到達できないため、接続が失敗します。

PASVモードの場合、クライアントはサーバーから通知されたIPアドレスとポート番号に接続を開始します。サーバーがインターネット上のグローバルIPアドレスを持っている場合、クライアントはNATを通過してそのグローバルIPアドレスに到達できます。クライアントからのアウトバウンド接続はNATデバイスによって適切に変換され、サーバーに到達します。
サーバー側がNATの内側にいる場合は依然として問題が起こり得ますが（サーバーが自身のプライベートIPを通知してしまう）、多くの場合、ルーターやファイアウォールに搭載されている FTP Helper (またはALG – Application Layer Gateway) 機能がこれを解決します。FTP HelperはFTPのコントロール接続のパケットを監視し、PASV応答に含まれるプライベートIPアドレスをルーター自身のグローバルIPアドレスに書き換えることで、クライアントが適切なアドレスに接続できるようにします。

このように、PASVモードはクライアント側ファイアウォールとNAT環境という、現代のネットワークで広く利用されている技術との親和性が高く、これがPASVモードがデファクトスタンダードとなった大きな理由です。

PASVモードのデメリットと考慮事項

PASVモードは多くの利点がある一方で、いくつかのデメリットや考慮すべき点も存在します。

1. サーバー側のポート消費と管理負担:
PASVモードでは、サーバーはデータ接続のために複数のポートを待ち受ける必要があります。通常、サーバーはPASVモード専用に一定のポート範囲（例: 49152-65535や、管理者によって設定されたより狭い範囲）を開放します。同時に多数のクライアントがPASVモードでデータ転送を行う場合、その数だけポートが必要になります。これにより、サーバーのリソース（ポート番号、メモリ、CPU）を消費する可能性があります。
また、サーバー管理者は、このPASVポート範囲をサーバー側ファイアウォールで適切に許可する設定を行う必要があります。セキュリティの観点から、使用するPASVポート範囲を必要最小限に絞ることが推奨されます。

2. セキュリティリスク (ポートスキャン、DoS攻撃):
サーバー側で広いポート範囲を開放している場合、そのポート範囲がポートスキャン攻撃の対象となるリスクがあります。また、悪意のあるクライアントがPASVモードで接続要求を大量に送りつけ、サーバーのリソースを枯渇させるようなDoS (Denial of Service) 攻撃のリスクも考慮する必要があります。適切なファイアウォール設定（レートリミットなど）や侵入検知システム (IDS) による対策が重要になります。

3. サーバー側がNATの内側にいる場合の複雑性:
前述の通り、サーバー側がNATの内側にいる場合、サーバーは自身のプライベートIPアドレスをPASV応答で通知してしまう可能性があります。これを解決するためには、ルーターやファイアウォールにFTP Helper (ALG) 機能が搭載されており、それが正しく機能する必要があります。もしFTP Helperがない、あるいは機能しない場合、クライアントは通知されたプライベートIPに接続しようとして失敗します。この場合、FTPサーバーソフトウェアによっては、PASV応答で通知するIPアドレスを強制的にグローバルIPアドレスに設定するオプションが提供されていることがあります。

4. 複数データ接続によるセッション追跡の複雑性:
FTPはコントロール接続とデータ接続が別々であるため、ファイアウォールなどがセッションの状態を追跡し、正当なデータ接続のみを許可する（ステートフルインスペクション）ためには、FTPプロトコルの中身を理解する必要があります。FTP Helper/ALGはこの役割を担いますが、これが正しく機能しない場合、セキュリティデバイスがデータ接続をコントロール接続に関連付けられず、正当な接続でもブロックしてしまう可能性があります。特に、暗号化されたFTPSではコントロール接続の中身が見えないため、FTP Helperは機能しません。

アクティブモードとパッシブモードの比較

ここまで解説した内容を、比較表の形でまとめてみましょう。仮想的な比較図表を想定してください。

【図解6】アクティブモード vs パッシブモード比較表

項目	アクティブモード (Active)	パッシブモード (Passive / PASV)
データ接続開始側	サーバー	クライアント
データ接続方向	サーバー → クライアント (サーバーの20番ポートから)	クライアント → サーバー (クライアントの任意ポートから)
データ接続ポート	サーバー側: 20番固定クライアント側: クライアントが指定する任意ポートで待ち受け	サーバー側: サーバーが指定する任意ポートで待ち受けクライアント側: クライアントの任意ポートから接続開始
クライアント側ファイアウォールへの影響	サーバーからのインバウンド接続を許可する必要がある（多くのファイアウォールでデフォルトブロックされる可能性がある）	クライアントからのアウトバウンド接続のみで済む（多くのファイアウォールでデフォルト許可される）
サーバー側ファイアウォールへの影響	クライアントの指定ポートへのアウトバウンド接続（通常許可される）	コントロール接続(21)とPASVポート範囲へのインバウンド接続を許可する必要がある
NAT環境での動作	クライアント側がNATの内側にいると問題が生じやすい (PORTコマンドでプライベートIPを通知するため)	クライアント側がNATの内側にいても動作しやすいサーバー側がNATの内側にいる場合はFTP Helperが必要
現代の利用状況	限定的、主にサーバー側の設定が容易な場合や特定の環境	広く利用されている、特にインターネット経由の接続

この比較表からも、PASVモードが現代のファイアウォールやNATが普及したネットワーク環境において、クライアント側からの接続の透過性に優れている点が大きな利点であることが分かります。

ファイアウォール設定の考慮事項（PASVモード利用時）

PASVモードでFTPサーバーを運用する場合、サーバー側ファイアウォールで適切な設定を行うことが不可欠です。

サーバー側ファイアウォール設定例:

TCP 21番ポート: クライアントからのインバウンド接続を許可します。これはコントロール接続用です。
PASVポート範囲: FTPサーバーソフトウェアの設定で指定したPASVポート範囲（例: 49152-65535）について、クライアントからのインバウンド接続を許可します。この範囲はサーバーの負荷やセキュリティ要件に応じて適切に設定・管理する必要があります。範囲を狭くしすぎると、同時に処理できるPASV接続数が制限されます。広すぎると、ポートスキャンやDoS攻撃のリスクが高まります。
アウトバウンド接続: 通常、サーバーからのアウトバウンド接続は全て許可しておけば問題ありません。

クライアント側ファイアウォール設定:

TCP 21番ポート: サーバーへのアウトバウンド接続を許可します。
任意のアウトバウンドポート: サーバーのPASVポートへのアウトバウンド接続を許可します。多くのファイアウォールではアウトバウンド接続はデフォルトで許可されているため、通常追加の設定は不要です。

このように、PASVモードではサーバー側でのポート管理とファイアウォール設定が重要になります。

NAT環境とFTP Helper/ALGの役割の再確認

PASVモードはNAT環境に強いと説明しましたが、サーバー側がNATの内側にいる場合はFTP Helper/ALGの存在が重要になります。

サーバー側がNATの内側にいる場合:
* FTPサーバーが自身のプライベートIPアドレス（例: 192.168.1.10）で動作しているとします。
* クライアントがPASVコマンドを送信し、サーバーは 227 Entering Passive Mode (192,168,1,10,p1,p2) のような応答を返します。
* この応答パケットがサーバー側NATデバイス（ルーターなど）を通過してインターネットに出ようとします。
* FTP Helper/ALGが有効な場合: NATデバイスはこのFTPパケットがPASV応答であると認識し、応答メッセージに含まれるIPアドレス 192.168.1.10 をNATデバイス自身のグローバルIPアドレス（例: 203.0.113.5）に書き換えます。さらに、通知されたポート番号（p1*256+p2）を記憶しておき、そのポートへのインバウンド接続をNATデバイスが受信した場合、適切にサーバーの内部IPアドレスと元のポート番号に転送（ポートフォワーディングに似た動作）するように設定します。結果として、クライアントは 227 Entering Passive Mode (203,0,113,5,p1,p2) のような、書き換えられた応答を受け取り、サーバーのグローバルIPアドレスと指定ポートに接続できます。
* FTP Helper/ALGが無効な場合: NATデバイスはPASV応答のIPアドレスを書き換えません。クライアントは 227 Entering Passive Mode (192,168,1,10,p1,p2) を受け取り、インターネット上からプライベートIPアドレス 192.168.1.10 に接続しようとしますが、これは不可能なためデータ接続は失敗します。

したがって、サーバー側がNATの内側でPASVモードを提供する場合は、FTP Helper/ALGが搭載されたNATデバイスを使用するか、FTPサーバーソフトウェアでPASV応答時に通知するIPアドレスを強制的にグローバルIPアドレスに設定する機能を利用する必要があります。多くの商用ルーターやファイアウォールにはこの機能が搭載されていますが、家庭用ルーターなどでは搭載されていない場合や、デフォルトで無効になっている場合があります。

FTPのセキュリティ問題と代替プロトコル

PASVモードによって、データ接続の確立に関するネットワーク上の問題を解決することができましたが、FTPプロトコル自体が抱える根本的なセキュリティ上の問題は解決されません。

FTPプロトコルでは、ユーザー名、パスワード、そして転送されるファイルデータが暗号化されずに平文のままネットワーク上を流れます。これにより、通信経路上の第三者によってこれらの情報が盗聴されるリスクがあります。これは、特にインターネットのような信頼できないネットワーク上で機密性の高いファイルを転送する場合には大きな問題となります。

このFTPのセキュリティ上の問題を解決するために、以下のような代替プロトコルが開発され、広く利用されています。

FTPS (FTP over SSL/TLS):
- FTPプロトコル自体を使用しますが、SSL/TLSプロトコルによって通信全体、あるいは少なくともコントロール接続（認証情報などが流れるため）を暗号化します。
- 明示的FTPS (Explicit FTPS, AUTH TLSコマンドを使用) と、古い暗黙的FTPS (Implicit FTPS, 専用ポートを使用) があります。
- データ接続も暗号化することができますが、FTPの二つの接続構造はそのまま引き継ぐため、FTPSでもアクティブモードとパッシブモードの概念が存在します。ただし、暗号化されたコントロール接続の中身（PASV応答など）をNATのFTP Helperが読み取れないため、NAT環境でのFTPSパッシブモードはNATのポートフォワーディングを手動で設定するなど、さらに複雑になる場合があります。
SFTP (SSH File Transfer Protocol):
- FTPとは全く異なるプロトコルであり、SSH (Secure Shell) プロトコルの上で動作します。
- ファイル転送機能はSSHのサブシステムとして実装されており、認証からデータ転送まで、すべての通信がSSHによって暗号化されます。
- FTPのようなコントロール接続とデータ接続の分離はなく、単一のSSH接続上で全てが行われます。このため、アクティブモードやパッシブモードといった複雑なデータ接続モードの概念は存在しません。ファイアウォールでSSHの標準ポートであるTCP 22番ポートを許可するだけで済むため、設定が非常にシンプルです。
- セキュリティと設定の容易さから、現在ではインターネット経由での安全なファイル転送のデファクトスタンダードとなりつつあります。

FTP、特にPASVモードは、ファイアウォール透過性に優れたファイル転送手段として、レガシーシステムとの連携や内部ネットワークでの利用など、依然として多くの場面で利用されています。しかし、インターネット経由で機密性の高いファイルをやり取りする際には、SFTPやFTPSといったよりセキュアなプロトコルを検討することが強く推奨されます。

まとめ：PASVモードの重要性と今後の展望

本記事では、FTPの基本的な仕組みであるコントロール接続とデータ接続から始め、アクティブモードが抱えるクライアント側ファイアウォールの問題を詳細に解説しました。そして、その問題を解決するために登場したパッシブモード（PASVモード）の仕組みを、クライアントとサーバー間のやり取りをステップごとに追う形で詳しく説明しました。仮想的な図解を想定したテキスト描写を交えることで、データ接続がクライアントからサーバーへ向かうアウトバウンド接続として開始されるという、PASVモードの核心部分を視覚的に理解できるように努めました。

PASVモードの最大のメリットは、クライアント側ファイアウォールの透過性に優れている点です。クライアントはアウトバウンド接続のみを開始すればよいため、特別なファイアウォール設定が不要になることが多く、現代の多くのインターネットユーザーがNAT環境やパーソナルファイアウォールの背後にいる状況に適しています。しかし、サーバー側にとってはPASVポート範囲の管理とファイアウォール設定が必要になること、NATの内側にサーバーがある場合にはFTP Helperなどの対応が必要になることといったデメリットも存在します。

アクティブモードとパッシブモードは、どちらが優れているという単純なものではなく、利用するネットワーク環境やセキュリティポリシーに応じて適切に選択、あるいは設定する必要があります。現代のインターネット環境では、クライアント側の接続性を確保するためにPASVモードがデフォルト設定として広く採用されています。

しかし、FTPプロトコル自体が抱えるセキュリティ上の問題（平文での認証情報・データ転送）を考慮すると、機密性の高い情報をやり取りする場合には、SFTPやFTPSといった暗号化された代替プロトコルへの移行が最も安全な選択肢となります。これらのプロトコルはFTPの複雑なデータ接続モードの課題も同時に解決します。

ネットワークエンジニアやシステム管理者にとって、FTPのPASVモードの仕組みを正確に理解することは、FTPサーバーの構築・運用、クライアントの接続トラブルシューティング、そしてファイアウォールやNATの設定を行う上で非常に重要です。FTPは依然として多くの場面で利用されており、その互換性維持のためにも、この古典的なプロトコルの詳細を知っておく価値は大きいでしょう。

本記事が、FTP PASVモードの仕組みとその重要性についての理解を深める一助となれば幸いです。