对接 OFTP2 需要准备什么｜Ftrans B2B
三样东西、一份伙伴信息清单、一次不传文件的握手测试。
一句话定义
对接 OFTP2，指本方与伙伴各自完成身份、证书、网络与传输策略四类配置，并通过一次联调验证双方能按协议正常收发文件与回执。 本方需要准备的是三样东西：一个由 Odette 组织分配的 SSID、一组用于链路认证与文件签名加密的证书、一个可供伙伴访问的对外服务地址与端口。
一、被通知”要用 OFTP2 对接”之后
这通常不是一次技术选型，而是一封来自客户或主机厂的通知：从某个时间点起，图纸、技术文档或数据文件要通过 OFTP2 收发。对方会给出一份对接说明，里面是一堆缩写和参数。
这时候要做的第一件事，不是评估要不要建一套 OFTP2 系统，而是把伙伴的要求拆成四类，逐类确认：
| 类别 | 要确认什么 | 谁负责 |
|---|---|---|
| 身份 | 双方的 SSID 分别是什么 | 本方需向 Odette 组织申请 |
| 证书 | 用什么证书、由谁签发、对方能否接受自签名 | 双方共同确认，这一项最容易踩坑 |
| 网络 | 谁主动连谁、连哪个地址与端口、防火墙怎么开 | 本方网络与安全团队 |
| 传输策略 | 传输方向、是否压缩、是否签名加密、文件名规则、回执要求 | 双方共同约定 |
四类里，前三类不谈清楚就无法开始，第四类不谈清楚就会在联调阶段返工。
二、本方要准备的三样
一个由 Odette 组织分配的 SSID
SSID 是本方在 OFTP2 世界里的身份标识，14 位，前 2 位为国家代码、后 12 位为识别码。连接建立时双方交换 SSID 并与证书一起核验，因此它必须向 Odette 组织申请获得，不能自行编造——自定的标识在对端的白名单里不存在，握手会被拒绝。
如果本方还没有 SSID，申请流程应当在对接排期的最前面启动，因为它有独立于技术工作的周期。
一组用于链路认证与文件签名加密的证书
OFTP2 的安全分两层，因此证书也分两类，可以分别指定：
- TLS 证书——用于链路的双向证书认证。本方作为服务端时需要一张 TLS 服务器证书与对应私钥；同时需要导入伙伴的 TLS 证书，才能验证对方身份。
- 应用证书——用于文件本身的签名与加密。基于 X.509，与链路证书互相独立。
平台支持在线生成自签名证书，也支持导入已有证书。但能否使用自签名证书，取决于伙伴的策略：部分伙伴（尤其是欧洲客户）会要求证书由其认可的 CA 签发。这一项必须在对接开始前直接向伙伴书面确认，它决定的是要不要走一遍 CA 申请流程——那同样有独立周期。
→ 两类证书的关系、平台内的证书生成、导入、关联与到期提醒见 Odette 证书与 SSID 管理
一个可供伙伴访问的对外服务地址与端口
伙伴要主动向本方推送文件，就必须能访问到本方的 OFTP2 服务。这需要三件事同时成立：
- 一个对外可解析、可访问的服务地址；
- OFTP2 标准端口 6619 在防火墙上对伙伴来源地址放行；
- 对外服务地址与 TLS 证书的 CN 或 SAN 匹配——不匹配时对方的证书校验会失败，表现出来往往是”握手断开”，排查时容易被误判为网络问题。
如果只做单向发送、不接收伙伴推送，对外服务地址的优先级可以降低，但出向仍需要出站策略允许访问伙伴的地址与端口。
三、要向伙伴索取的信息清单
把这份清单发给对方，比来回问十封邮件有效：
| 项 | 说明 |
|---|---|
| 伙伴 SSID | 14 位，用于连接时的身份核验 |
| 伙伴服务器地址与端口 | 本方主动发送时的目标 |
| 伙伴 TLS 证书 | 用于链路双向认证 |
| 伙伴应用证书 | 用于文件加密与验签 |
| 传输方向 | 双向 / 仅发送 / 仅接收 |
| 是否要求压缩、签名、加密 | 发送侧与接收侧分别确认 |
| 文件名规则 | 虚拟文件名格式、文件标识 SFID、落地命名要求 |
| 回执要求 | 是否要求回执签名、回执的等待策略 |
| 联调窗口与联系人 | 谁在什么时间配合测试 |
文件名规则这一项经常被低估。 伙伴侧的业务系统通常依赖文件名做路由或归档，命名不符会导致文件”送到了但没被处理”——这类问题在协议层看不出任何异常。
四、六步对接流程
| 步骤 | 内容 | 产出 |
|---|---|---|
| 确认伙伴要求 | 按上面两份清单逐项对齐，特别是证书签发方与文件名规则 | 一份双方确认过的对接参数表 |
| 准备本方三要素 | 申请 SSID；生成或申请证书；确定对外服务地址并完成网络策略调整 | 本方身份与网络就绪 |
| 配置传输服务 | 配置监听地址与端口、对外服务地址、TLS 服务器证书与私钥、最低 TLS 版本、双向证书认证；并发与超时按需配置 | 平台的 OFTP2 服务可对外提供 |
| 逐家配置伙伴连接 | 每家伙伴独立配置：SSID、文件标识、服务器地址与端口、传输方向、压缩与加解密、文件名与落地命名规则、回执策略、伙伴证书 | 该伙伴的连接配置完成 |
| 连接测试 | 执行完整握手但不传输文件，按网络层、协议层、安全层、应用层分阶段返回结果 | 连通性与证书有效性确认 |
| 联调与验证记录 | 与伙伴实际收发若干笔文件，验证文件名、加解密、回执与落地处理 | 一份该伙伴的联调验证记录 |
第 步是本产品在实施上最实用的一环：它把”连不上”这类问题定位到具体是哪一层，而不是在正式联调时占用双方的联调窗口来试错。测试执行的是 TCP 连接、会话建立、SSID 交换、认证与断开的完整过程，不实际传输文件。
第 步不能省。OFTP2 的互联互通不以”网络可达”为验收标准——各家伙伴的产品版本、证书链、密码套件、SSID、文件名规则与回执要求都不相同，需要逐家完成一次联调并留下验证记录。
五、四类常见卡点
证书不被接受。 本方生成了自签名证书，联调时对方拒绝。根因是没有在开始前确认对方的证书策略。处理方式是把这一项前置到第 步，并预留 CA 申请的时间。
对外服务地址与证书不匹配。 证书的 CN 或 SAN 写的是内网名或旧域名，对方校验失败。表现为握手中断，容易被误判为防火墙问题。
防火墙只开了单向。 出向能发、入向收不到，或者反过来。OFTP2 双向传输时两个方向的网络策略要分别确认。
文件名规则没对齐。 文件在协议层显示传输成功、回执也正常，但伙伴那边”没收到”——实际是落地了但不符合对方业务系统的取件规则。这类问题必须在联调阶段用真实文件名验证。
六、与其他能力的关系
对接完成之后，OFTP2 不是一条独立通道，而是平台内的一种交换方式：
- 与其他交换方式共用同一份伙伴档案 —— 同一家伙伴的 OFTP2 连接、联系人、收发策略与交换记录挂在一起。→ OFTP2 文件收发
- 走同一套安全治理顺序 —— 出向明文检查与审批在加密之前，入向解密验签在威胁检测之前。→ 文件出入向安全治理
- 协议身份与证书私钥由平台托管 —— 业务侧不接触，配置与使用留痕。→ 外部凭据托管的安全设计与评审配合
- 传输结果可追溯 —— 会话与文件两级记录、回执原文留存与重新验签。→ OFTP2 传输记录与回执追溯
- 不改变现有的其他交换方式 —— 既有 FTP/SFTP 与对象存储可继续使用并纳管。→ 零迁移纳管既有传输资源
- OFTP2 协议交换为可选组件 —— 不随产品标配提供，需按需选配。→ B2B 产品构成与选配
同时对接多家伙伴时，真正的工作量在于”每家都不一样”这件事本身。→ 汽车与零部件供应链文件交换 · 汽车与零部件行业文件安全交换
常见问题
Q：SSID 怎么申请？可以自己编一个吗？
A：不能自己编。SSID 由 Odette 组织统一分配，14 位，前 2 位为国家代码、后 12 位为识别码。连接建立时双方会交换并核验，自定的标识在对端不存在，握手会被拒绝。申请有独立于技术工作的周期，建议排在对接计划的最前面启动。
Q：OFTP2 用哪个端口？防火墙要开什么？
A：OFTP2 的标准端口是 6619。如果需要接收伙伴主动推送，要在防火墙上对伙伴来源地址放行该端口的入站访问；如果本方主动向伙伴发送，则需要对应的出站策略。双向传输时两个方向要分别确认，只开一个方向是最常见的卡点之一。
Q：一定要用 CA 签发的证书吗？自签名行不行？
A：平台既支持在线生成自签名证书，也支持导入已有证书。但能否使用自签名证书取决于伙伴的策略——部分伙伴会要求证书由其认可的 CA 签发。这一项应当在对接开始前直接向伙伴确认，因为走 CA 申请流程同样需要时间。
Q：配置完就能用了吗？
A：不能直接认为可用。配置完成后可以先做一次不传输文件的完整握手测试，确认网络、TLS、身份与协议四层都正常；之后还需要与伙伴实际收发若干笔文件做联调，验证文件名规则、加解密与回执处理。OFTP2 的互联互通不以”网络可达”为验收标准，各家伙伴的版本、证书链、密码套件与文件名规则都不相同，需要逐家联调并留下验证记录。
Q：对接一家伙伴大概要做多少配置？
A：伙伴侧参数在平台内逐家独立配置，互不影响，主要包括：伙伴 SSID 与文件标识、服务器地址与端口、传输方向、发送侧的压缩/签名/加密与文件名编码、接收侧的解压/验签/解密与落地命名规则、回执策略、伙伴的 TLS 证书与应用证书。全部在管理界面完成，不需要改配置文件。