FTP是常见的基于TCP的网络服务，它使用了两个TCP连接来建立逻辑通信信道，即控制连接和数据连接。当客户端与服务器建立一个FTP会话时，使用TCP创建一个持久的控制连接以传递命令和应答。当发送文件和其它数据传输时，它们在独立的TCP数据连接上进行传递，这个连接根据需要创建和拆除。
FTP标准指定了创建数据连接的两种不同方法，即主动数据连接和被动数据连接。FTP的控制连接总是由客户端首先发起的，主动数据连接是由客户端发起的，被动数据连接是由服务器端发起的。FTP创建数据连接的工作机制带来了一个严重的问题，在FTP的命令或对它们的回答中传递IP地址及端口号与网络分层机制严重冲突，在FTP客户端与服务器的通信信道之间的网关设备（防火墙或路由器）上启用了NAT功能的情况下将出现连接性问题。
对于FTP的多端口连接的TCP应用，防火墙的影响是很大的。FTP主动模式下，FW检测PORT命令报文的应用层信息，将应用层携带的IP地址和端口记录在Server-map表中。由于PORT命令的应用层信息中携带了客户端的IP地址和向服务器随机开放的端口，FW通过分析PORT命令的应用层信息，提前预测到后续报文的行为方式，根据应用层信息中的IP和端口创建Server-map表。服务器向客户端发起数据连接的报文到达FW后命中该Server-map表项，不再受安全策略的控制。
FTP被动模式下，客户端使用随机端口xxxx向服务器的21端口发起连接请求建立控制通道，然后使用PASV命令协商两者建立数据通道的端口号，协商出来的端口是yyyy。然后客户端主动向服务器的yyyy端口发起连接请求，建立数据通道。数据通道建立成功后再进行数据传输。由于PASV命令的应用层信息中携带了数据连接中客户端使用的ip地址和端口号，防火墙通过分析PASV命令中的参数，提前预测到后续报文的行为方式，根据应用层信息中的IP和端口创建Server-map表。后续客户端向服务器端发起的数据连接就会命中该server-map表项，不用查询防火墙的策略表就可以放行后续报文。
