FTP Aktif ve Pasif Mod Farkı ve Bağlantı Sorunları

FTP ile sunucuya bağlanmayı denediğinizde çoğu zaman garip bir tablo çıkar ortaya: kullanıcı adı ve parola kabul edilir, "230 Login successful" gibi bir mesaj görürsünüz, ama hemen ardından dizin listesi bir türlü gelmez. Ekranda "Directory listing failed" ya da "Connection timed out" yazar, bağlantı takılıp kalır. Kimlik doğrulama başarılı olduğu halde dosyaların listelenememesi ilk bakışta çelişkili görünür; oysa bu, FTP'nin en temel özelliğinden, yani iki ayrı kanal kullanmasından ve bu kanallardan birinin aktif ya da pasif modda çalışmasından kaynaklanır.

Bu rehberde FTP'nin neden tek değil iki bağlantı açtığını, aktif modda sunucunun sizin bilgisayarınıza, pasif modda ise sizin sunucuya bağlandığınızı adım adım açıklayacağız. Ev interneti, mobil ağ ya da kurumsal güvenlik duvarı arkasındaysanız neden neredeyse her zaman pasif modun gerektiğini; FileZilla'da modu nasıl değiştireceğinizi; sunucu tarafında pasif port aralığını nasıl tanımlayacağınızı ve klasik zaman aşımı hatalarını nasıl çözeceğinizi somut örneklerle göreceksiniz. Dosya yükleme akışının genel mantığını hatırlamak isterseniz FTP ve SFTP ile dosya yükleme makalesi iyi bir başlangıç noktasıdır; burada ise doğrudan bağlantı sorunlarının köküne ineceğiz.

FTP Neden İki Kanal Kullanır: Kontrol ve Veri#

FTP'yi diğer birçok protokolden ayıran şey, tek bir bağlantı yerine iki ayrı TCP bağlantısı kullanmasıdır. Bunlardan biri kontrol kanalı (control connection), diğeri veri kanalı (data connection) olarak adlandırılır ve her biri farklı bir iş yapar.

Kontrol kanalı, istemci ile sunucu arasında komutların gidip geldiği hattır. USER, PASS, LIST, RETR, STOR gibi komutlar ve sunucunun 200, 230, 550 gibi yanıt kodları hep bu kanaldan akar. Kontrol kanalı varsayılan olarak 21 numaralı porttan açılır ve oturum boyunca açık kalır. Sizin "bağlandım" dediğiniz an, aslında yalnızca bu kontrol kanalının kurulduğu andır.

Veri kanalı ise asıl yükün taşındığı hattır: dizin listeleri, indirilen ve yüklenen dosyaların içeriği bu ikinci bağlantı üzerinden geçer. İşin can alıcı noktası şudur: veri kanalı her komutta yeniden açılıp kapanır ve kim tarafından, hangi yönde açılacağı aktif mi yoksa pasif mod mu kullanıldığına göre değişir. Bağlantı sorunlarının neredeyse tamamı bu veri kanalının kurulamamasından doğar. Kontrol kanalı sorunsuz çalıştığı için parolanız kabul edilir; ama LIST komutunun sonucunu taşıyacak veri kanalı bloke olursa, dizin listesi asla ekrana düşmez.

Bu ayrımı bir telefon görüşmesine benzetebilirsiniz: kontrol kanalı, karşı tarafla konuştuğunuz asıl hat gibidir; veri kanalı ise "sana şimdi ayrı bir hattan dosya göndereceğim" dediğiniz ikinci bir aramadır. O ikinci arama karşı tarafın telefonu meşgulse ya da numara güvenlik duvarınca engelliyse, ilk hattaki konuşma sürse bile dosya asla ulaşmaz.

Aktif Mod (Active Mode) Nasıl Çalışır#

Aktif mod, FTP'nin en eski ve orijinal çalışma biçimidir. Adım adım şöyle işler:

1. İstemci, sunucunun 21 numaralı portuna bağlanarak kontrol kanalını açar ve oturumu başlatır.
2. İstemci, kendi tarafında rastgele yüksek bir port (örneğin 52344) açar ve sunucuya PORT komutuyla "veri kanalı için bana şu IP ve şu porttan bağlan" der.
3. Sunucu, veri kanalını 20 numaralı kendi kaynak portundan başlatarak istemcinin belirttiği IP ve porta kendisi bağlanır.

Buradaki kritik nokta üçüncü adımdır: aktif modda veri bağlantısını sunucu, istemciye doğru açar. Yani sunucu, sizin bilgisayarınızda dinlemekte olan bir porta dışarıdan gelen bir bağlantı kurmaya çalışır. Sunucunun kendi ağında bu genellikle sorunsuzdur; ama sizin tarafınızda durum çok farklıdır.

# Aktif modda kabaca olan bitenin özeti
# İstemci -> Sunucu:21   (kontrol kanalı, istemci başlatır)
# Sunucu:20 -> İstemci   (veri kanalı, SUNUCU istemciye bağlanır)

Aktif mod, herkesin kendi genel IP adresine sahip olduğu, arada NAT ve kişisel güvenlik duvarının bulunmadığı eski internet düzeni için tasarlanmıştı. O günlerde sunucunun istemciye geri bağlanması sorun değildi. Bugünse tam tersine, aktif mod bağlantı sorunlarının başlıca kaynağıdır — çünkü modern ev ve ofis ağlarının hemen hepsi, dışarıdan içeriye doğru başlatılan bağlantıları varsayılan olarak reddeder.

Pasif Mod (Passive Mode) Nasıl Çalışır#

Pasif mod, aktif modun yarattığı "sunucu bana bağlanamıyor" sorununu çözmek için geliştirildi ve bugün varsayılan olması gereken moddur. Akışı şöyledir:

1. İstemci yine sunucunun 21 numaralı portuna bağlanır ve kontrol kanalını açar.
2. İstemci bu kez PORT yerine PASV komutunu gönderir: "Veri kanalını ben başlatacağım, sen bana bir port söyle."
3. Sunucu, kendi tarafında yüksek bir port (örneğin 49500) açar ve istemciye "veri kanalı için benim şu IP ve şu portuma bağlan" yanıtını verir.
4. İstemci, bu porta kendisi bağlanır ve veri kanalı kurulur.

Fark tek bir cümlede özetlenebilir: pasif modda her iki bağlantıyı da (hem kontrol hem veri) istemci başlatır. Sunucuya doğru giden, dışarıdan içeriye bir bağlantı yoktur; her şey içeriden dışarıya, yani sizin ağınızdan sunucuya doğru akar.

# Pasif modda kabaca olan bitenin özeti
# İstemci -> Sunucu:21     (kontrol kanalı, istemci başlatır)
# İstemci -> Sunucu:49500  (veri kanalı, İSTEMCİ sunucuya bağlanır)

Bu davranış, ev ve ofis ağlarıyla neden bu kadar barışık olduğunu da açıklar. Güvenlik duvarları ve modemler, içeriden dışarıya başlatılan bağlantılara ve onların dönüş trafiğine neredeyse her zaman izin verir; asıl engelledikleri, dışarıdan içeriye habersizce açılan bağlantılardır. Pasif mod tam da bu nedenle sorunun etrafından dolaşır.

NAT ve Firewall Neden Pasif Modu Zorunlu Kılar#

İki modun farkını NAT ve güvenlik duvarı kavramlarıyla birleştirdiğinizde, "neden pasif mod?" sorusunun yanıtı netleşir.

NAT (Network Address Translation), evinizdeki ya da ofisinizdeki onlarca cihazın tek bir genel IP adresi arkasından internete çıkmasını sağlar. Bilgisayarınızın 192.168.1.20 gibi bir yerel adresi vardır; modeminiz ise 85.x.x.x gibi tek bir genel IP taşır. Siz dışarıya bir bağlantı açtığınızda modem, dönüş paketlerini doğru cihaza iletebilmek için bir çeviri tablosu tutar. Ama dışarıdan içeriye, önceden haber verilmemiş bir bağlantı geldiğinde modemin elinde "bu bağlantıyı hangi iç cihaza yönlendireyim?" bilgisi yoktur; bu yüzden paketi düşürür.

İşte aktif modun tökezlediği yer burasıdır. Aktif modda sunucu, sizin 192.168.1.20 adresinizde dinleyen bir porta bağlanmaya çalışır; ama sunucunun gördüğü tek şey modeminizin genel IP'sidir ve o bağlantı, NAT tablosunda karşılığı olmadığı için modem tarafından reddedilir. Sonuç, kontrol kanalı çalışsa bile veri kanalının kurulamaması, yani o tanıdık "directory listing failed" hatasıdır.

Güvenlik duvarı (firewall) bu tabloyu daha da katılaştırır. Modern işletim sistemleri ve kurumsal ağlar, "durum bilgili" (stateful) güvenlik duvarları kullanır: içeriden başlattığınız bir bağlantının dönüş trafiğine otomatik izin verir, ama dışarıdan gelen yeni bağlantı isteklerini varsayılan olarak bloke eder. Pasif mod tam da bu mantığa uyum sağladığı için çalışır; çünkü veri kanalını siz açarsınız ve güvenlik duvarı bunu "benim başlattığım, güvenli bir giden bağlantı" olarak görür.

Özetle: bugün internete çıkan hemen her istemci bir NAT ve güvenlik duvarı arkasındadır, dolayısıyla pasif mod pratikte zorunludur. Aktif mod ancak istemci ile sunucunun aynı yerel ağda olduğu ya da istemcinin gerçek bir genel IP taşıdığı özel durumlarda anlamlıdır.

FileZilla'da Aktif ve Pasif Mod Değiştirme#

FileZilla varsayılan olarak zaten pasif modu kullanır, ama bazen bir ayar yanlışlıkla aktif moda alınmış olabilir ya da açık bir şekilde pasif modu zorlamak isteyebilirsiniz. İki yerden ayar yapabilirsiniz.

Genel (tüm siteler için) ayar: FileZilla penceresinde Düzenle → Ayarlar → Bağlantı → FTP yolunu izleyin. Karşınıza "Transfer Mode" seçenekleri çıkar:

• Passive (recommended): Önerilen ve varsayılan seçenek. NAT/güvenlik duvarı arkasındaki her kullanıcı bunu seçmelidir.
• Active: Yalnızca gerçek genel IP'niz varsa ve gelen bağlantılara izin veren bir ağdaysanız kullanın.

Site bazlı ayar: Belirli bir sunucu için ayrı bir davranış istiyorsanız Dosya → Site Yöneticisi'nde ilgili siteyi seçip Aktarım Ayarları (Transfer Settings) sekmesine geçin. Buradan "Transfer mode" alanını Passive olarak sabitleyebilir, "Default" yerine açıkça pasif modu zorlayabilirsiniz. Site bazlı ayar, genel ayarın önüne geçer; farklı sunucular farklı modlar gerektiriyorsa en temiz yöntem budur.

Bir kez daha altını çizelim: eğer "bağlanıyorum ama dizin gelmiyor" sorunu yaşıyorsanız, ilk yapacağınız iş modu pasif yapmaktır. Bu tek değişiklik, ev ve ofis ağlarındaki bağlantı sorunlarının çok büyük bölümünü çözer. Sorun pasif modda da sürüyorsa, bu kez top sunucu tarafındadır — çünkü pasif modun çalışması için sunucunun belirli bir port aralığını dışarıya açmış olması gerekir.

Sunucu Tarafında Pasif Port Aralığı Ayarlamak#

Pasif modun bir bedeli vardır: sunucu, her veri kanalı için yüksek numaralı rastgele bir port açar. Sunucunun güvenlik duvarı bu portları dışarıya kapatıyorsa, istemci veri kanalına bağlanamaz ve yine takılırsınız. Çözüm, FTP sunucusunu sabit ve dar bir pasif port aralığı kullanacak şekilde ayarlayıp o aralığı güvenlik duvarında açmaktır. Kendi sunucunuzu yönetiyorsanız (paylaşımlı hostingde bu genellikle önceden yapılandırılmış gelir), en yaygın iki yazılım için ayar şöyledir.

vsftpd için /etc/vsftpd.conf dosyasına şu satırları ekleyin:

# Pasif modu etkinleştir
pasv_enable=YES

# Pasif veri kanalı için sabit port aralığı
pasv_min_port=40000
pasv_max_port=40100

# NAT arkasındaki sunucuda dışa dönük genel IP'yi bildir
pasv_address=203.0.113.10

ProFTPD kullanıyorsanız /etc/proftpd/proftpd.conf içinde eşdeğer ayar şudur:

PassivePorts 40000 40100
MasqueradeAddress 203.0.113.10

Buradaki pasv_address / MasqueradeAddress satırı önemlidir: sunucunuz da bir NAT arkasındaysa (örneğin bir bulut sağlayıcıda özel IP taşıyorsa), FTP sunucusu istemciye yanlışlıkla kendi iç IP'sini bildirebilir. Bu durumda istemci ulaşılamayan bir adrese bağlanmaya çalışır. Bu satır, sunucuya "istemcilere daima şu genel IP'yi söyle" talimatını verir.

Aralığı tanımladıktan sonra aynı portları güvenlik duvarında da açmanız gerekir. ufw kullanan bir sunucuda:

# Kontrol kanalı
sudo ufw allow 21/tcp

# Pasif veri kanalı aralığı
sudo ufw allow 40000:40100/tcp

# Ayarı yükledikten sonra servisi yeniden başlatın
sudo systemctl restart vsftpd

Aralığı 100 portla sınırlı tuttuk çünkü bu, aynı anda 100'e yakın eşzamanlı veri aktarımına yeter ve güvenlik duvarında yönetimi kolaydır. Çok yüksek bir aralık (örneğin 10.000 port) açmak gereksiz bir saldırı yüzeyi yaratır. Sunucu güvenliğini bir bütün olarak ele almak isterseniz sunucu yönetimi hizmetimiz bu tür güvenlik duvarı ve servis yapılandırmalarını sizin yerinize üstlenir.

Timeout ve "Directory Listing Failed" Hatalarını Çözme#

Artık iki modu ve ağ tarafındaki mekanizmayı bildiğinize göre, en sık karşılaşılan hataları hızlıca teşhis edebilirsiniz. İşte pratik bir kontrol listesi.

"Connection timed out" — dizin listesi alınırken zaman aşımı. Bu, veri kanalının hiç kurulamadığının en net işaretidir. Neredeyse her zaman modun aktif kalmış olmasından ya da sunucudaki pasif portların kapalı olmasından kaynaklanır. Sırasıyla: önce istemcide modu pasif yapın; sorun sürerse sunucuda pasv_min_port/pasv_max_port aralığının güvenlik duvarında açık olduğunu doğrulayın.

"Failed to retrieve directory listing" — kimlik doğrulandı ama liste boş. Kontrol kanalı çalışıyor, veri kanalı çalışmıyor demektir. Klasik pasif mod belirtisidir. FileZilla'nın log penceresini açın (görünmüyorsa Görünüm → Mesaj günlüğü); 227 Entering Passive Mode (...) satırında sunucunun bildirdiği IP'ye bakın. Burada 192.168.x.x gibi bir özel IP görüyorsanız, sunucudaki pasv_address/MasqueradeAddress ayarı eksik ya da yanlıştır.

Sunucunun bildirdiği IP'yi loglardan okuma. FileZilla mesaj günlüğünde şuna benzer bir satır görürsünüz:

Response: 227 Entering Passive Mode (203,0,113,10,156,64)

Parantez içindeki ilk dört sayı sunucunun IP'sidir (203.0.113.10), son iki sayı ise pasif portu verir: 156 * 256 + 64 = 40000. Eğer ilk dört sayı 192,168,... gibi çıkıyorsa sorun kesinlikle pasv_address ayarındadır.

Yerel güvenlik duvarı ve antivirüs. Windows Defender, üçüncü parti antivirüs paketleri ya da kurumsal ağ politikaları FTP trafiğini sessizce kesebilir. Hızlı bir test için istemci bilgisayarın güvenlik duvarını geçici olarak devre dışı bırakın; bağlantı düzeliyorsa kuralı FTP'ye izin verecek şekilde ayarlayın. Kurumsal ağlarda giden FTP tümden kapalı olabilir; bu durumu mobil veriyle bağlanarak hızlıca ayırt edersiniz.

Çözüm bulunamıyorsa SFTP'ye geçin. FTP'nin iki kanallı yapısı, bu tür NAT/port sorunlarını doğası gereği davet eder. SFTP ise tüm trafiği tek bir port (22) üzerinden, üstelik şifreli taşır ve pasif/aktif mod diye bir kavramı yoktur. Kurumsal bir güvenlik duvarı ardında ısrarla takılıyorsanız, en kalıcı çözüm doğrudan SFTP kullanmaktır. SFTP kurulumunu ve FileZilla ayarlarını FTP ve SFTP ile dosya yükleme makalesinde uygulamalı olarak bulabilirsiniz. Verinin şifresiz geçtiği düz FTP'nin risklerini de küçümsememek gerekir; hassas siteler için trafiğin şifrelenmesi başlı başına bir gerekliliktir ve bu konuda SSL sertifikası tarafındaki mantık FTP güvenliğiyle de örtüşür.

SFTP ile Aktif/Pasif Mod Derdinden Kurtulmak#

Bu makale boyunca gördüğünüz karmaşanın büyük bölümü, FTP'nin 1980'lerden kalma iki kanallı tasarımının bugünkü NAT'lı internetle uyumsuzluğundan doğar. SFTP bu yükü tümden ortadan kaldırır çünkü SSH'nin üzerine oturur ve tek bir bağlantı, tek bir port (22) kullanır. Ne PORT ne PASV komutu vardır; dolayısıyla ne pasif port aralığı açmanız ne de MasqueradeAddress tanımlamanız gerekir.

Bunun pratikte üç somut faydası olur. Birincisi, güvenlik duvarı yönetimi basitleşir: dışarıya yalnızca 22 numaralı portu açmak yeterlidir. İkincisi, trafik baştan sona şifrelidir; parolanız ve dosyalarınız düz metin olarak ağda dolaşmaz. Üçüncüsü, kurumsal ağlarda FTP'nin çok portlu yapısı yüzünden yaşanan "bir siteye bağlanıyorum ötekine bağlanamıyorum" tutarsızlığı ortadan kalkar. Modern Linux hostinglerin neredeyse tamamı zaten SSH ve dolayısıyla SFTP destekler; cPanel hesabınızın kullanıcı adı ve parolasıyla ya da bir SSH anahtarıyla doğrudan bağlanabilirsiniz. cPanel üzerinde FTP hesaplarını ve erişim yöntemlerini yönetmenin ayrıntılarını cPanel nedir makalesinde bulabilirsiniz.

FTP'yi tümden bırakmak zorunda değilsiniz; ekibinizde eski istemcilere alışkın kişiler olabilir. Ama yeni kurulan her akış için SFTP'yi varsayılan yapmak, bu makaledeki sorunların çoğunu daha ortaya çıkmadan eler.

Sıkça Sorulan Sorular#

FTP'de aktif mod mu pasif mod mu kullanmalıyım?#

Modern bir ev, ofis ya da mobil ağdan bağlanıyorsanız neredeyse her zaman pasif mod kullanmalısınız. Aktif modda veri kanalını sunucu size doğru açtığı için, NAT ve güvenlik duvarı arkasındaki istemcilerde bu bağlantı çoğunlukla engellenir ve dizin listesi gelmez. Pasif modda her iki bağlantıyı da istemci başlattığından güvenlik duvarları bu trafiğe izin verir; bu yüzden pratikte pasif mod varsayılan tercihtir.

"Directory listing failed" hatası neden alıyorum?#

Bu hata, kimlik doğrulamanın başarılı olduğu ama veri kanalının kurulamadığı anlamına gelir. Parolanız kabul edildiği için kontrol kanalı çalışıyordur; ancak dizin listesini taşıyacak ikinci bağlantı bloke olmuştur. İlk çözüm istemcide modu pasife almaktır. Sorun sürerse, sunucudaki pasif port aralığının güvenlik duvarında kapalı olması ya da sunucunun istemciye özel bir IP bildirmesi (pasv_address eksikliği) olasıdır.

Pasif modda hangi portların açık olması gerekir?#

Kontrol kanalı için 21 numaralı portun yanı sıra, sunucunun tanımladığı pasif veri port aralığının da güvenlik duvarında açık olması gerekir. Tipik bir yapılandırmada bu aralık örneğin 40000-40100 arası olarak sabitlenir ve aynı aralık hem FTP sunucusunun yapılandırmasında hem de güvenlik duvarında (ufw, iptables vb.) izinli hale getirilir. İstemci tarafında ise açmanız gereken herhangi bir gelen port yoktur; tüm bağlantıları siz başlattığınız için giden trafiğe izin vermek yeterlidir.

Sunucu bana özel IP bildiriyor, ne yapmalıyım?#

FileZilla mesaj günlüğünde 227 Entering Passive Mode satırındaki ilk dört sayı 192.168 ya da 10.x gibi bir özel IP gösteriyorsa, FTP sunucunuz NAT arkasında olduğu halde istemcilere iç adresini bildiriyor demektir. Çözüm, FTP sunucusunun yapılandırmasına sunucunun genel IP'sini eklemektir: vsftpd'de pasv_address, ProFTPD'de MasqueradeAddress satırı bu işi görür. Bu ayardan sonra istemciler doğru genel adrese bağlanır ve veri kanalı kurulur.

Bağlantı zaman aşımı (timeout) sorununu nasıl çözerim?#

Zaman aşımı, veri kanalının hiç kurulamadığını gösterir ve genellikle aktif modda kalmaktan ya da sunucudaki pasif portların kapalı olmasından kaynaklanır. Önce istemcide aktarım modunu pasif yapın; ardından yerel güvenlik duvarınızı ve antivirüsünüzü geçici olarak devre dışı bırakarak trafiğin onlar tarafından kesilip kesilmediğini test edin. Sunucu tarafında ise pasif port aralığının güvenlik duvarında açık olduğundan emin olun. Kurumsal ağlarda FTP tümden engelli olabilir; bunu mobil veriyle bağlanarak hızlıca ayırt edebilirsiniz.

FTP yerine SFTP kullansam bu sorunlar biter mi?#

Evet, aktif/pasif mod sorunlarının kökü FTP'nin iki kanallı yapısında olduğu için SFTP'ye geçmek bu derdi tümden ortadan kaldırır. SFTP, SSH üzerinden tek bir port (22) kullanır; pasif port aralığı, NAT adres bildirimi ya da aktif/pasif mod seçimi diye bir kavram yoktur. Ayrıca tüm trafiği şifrelediği için parolanız ve dosyalarınız ağda düz metin olarak dolaşmaz. Modern hostinglerin neredeyse tamamı SFTP desteklediğinden, kalıcı çözüm olarak SFTP'ye geçmek en sağlıklı tercihtir.

Kapanış#

FTP'nin aktif ve pasif mod ayrımı ilk bakışta teknik bir ayrıntı gibi görünse de, "bağlanıyorum ama dosyalar gelmiyor" sorununun neredeyse tamamı bu tek konudan kaynaklanır. Aklınızda tutmanız gereken cümle şu kadar basittir: aktif modda veri kanalını sunucu size açar, pasif modda ise siz sunucuya açarsınız — ve NAT ile güvenlik duvarı arkasındaki her modern ağda doğru seçim pasif moddur. İstemcide modu pasife almak, sunucuda dar bir pasif port aralığını güvenlik duvarında açmak ve NAT arkasındaki sunucuda genel IP'yi bildirmek; bu üç adım, karşılaşacağınız sorunların çok büyük bölümünü çözer.

Sağlam bir altyapıda bu ayarların çoğu zaten sizin için yapılandırılmış gelir. cPanel ve tam FTP/SFTP erişimiyle sunulan web hosting paketlerimizde pasif portlar ve güvenlik duvarı kuralları hazır tanımlıdır; kök erişim gerektiren özel yapılandırmalar için VDS ve sanal sunucu çözümlerimizle güvenlik duvarını dilediğiniz gibi yönetebilir, dilerseniz tüm bu kurulumu sunucu yönetimi hizmetimize bırakabilirsiniz. Bir siteyi yeni bir sunucuya taşırken FTP/SFTP tarafındaki tüm ince ayarları sizin yerinize halletmemizi isterseniz site taşıma hizmetimiz tam da bunun için var.