FTP-aanmelding werk, maar die gidslys hang: hoekom

Die gebruikersnaam werk, die wagwoord werk, en die kliënt sê dit is gekoppel. Dan wag dit vir ewig op 'n gidslys, of op die eerste lêeroordrag, en niks in die aanmeldgegewens verduidelik dit nie. FTP maak 'n tweede verbinding oop vir elke lys en elke lêer, en dit is daardie tweede verbinding wat faal. Die aanmelding bewys net dat die eerste gesprek werk.

Werk die kontroles in volgorde. Elkeen sluit 'n ander laag uit, so stop by die eerste een wat 'n afwyking lewer.

Skei eers die twee verbindings

'n Beheerverbinding dra opdragte en antwoorde op die bediener se luisterpoort. 'n Databinding dra die gidslys of die lêerinhoud, en in passiewe modus kies die bediener sy eindpunt en kondig dit in die PASV- of EPSV-antwoord aan. Om poort 21 toe te laat, sê niks oor of die datapoort bereikbaar is nie, en dit is presies hoekom 'n aanmelding slaag terwyl elke lys uitty. WinSCP se gids vir FTP-modusse verduidelik die skeiding en sy netwerkvereistes.

As die kliënt agter die VPN sit, kruis die datapad dieselfde tonnel maar nie noodwendig dieselfde beleid nie.

Lees die adres in die PASV-antwoord

Hardloop 'n verbose kliënt en lees die antwoord eerder as om te raai. curl -v ftp://user@host/ druk die PASV-reël met die adres en poort wat die bediener wil hê, en daardie adres is waar die kliënt volgende koppel. As dit 'n private adres is wat niks op die kliënt se kant van die tonnel beteken nie, gaan die databinding nêrens heen terwyl die beheerkanaal gesond bly.

Vergelyk daardie adres met die adres wat die kliënt werklik bereik het. 'n Wanverhouding is die antwoord, en dit kom gewoonlik van NAT of van 'n bediener wat met 'n interne adres opgestel is.

Kontroleer die poortreeks en die tonnelbeleid

Passiewe bedieners ken datapoorte uit 'n opgestelde reeks toe, en daardie reeks moet deur die VPN en enige vuurmuur in die pad toegelaat word. 'n Beleid wat 21 toelaat en niks anders nie, is 'n aanmeldingsbeleid. Bevestig die reeks by wie die bediener bestuur, en toets dan een poort daaruit eerder as om te aanvaar die hele reeks gedra hom dieselfde.

Geënkripteerde beheerverbindings maak dit moeiliker, want 'n middelkassie kan nie meer die aangekondigde adres in vlug herskryf nie.

Weet wanneer EPSV of 'n terugval help

EPSV gee 'n poort sonder 'n aparte adres, wat die verkeerde-adres-fout verwyder wanneer beide kante dit ondersteun. Sommige kliënte kan ook aangesê word om die aangekondigde adres te ignoreer en die beheerverbinding se bestemming te hergebruik. Albei is wettige gereedskap vir 'n spesifieke topologie, nie 'n algemene oplossing nie.

Moenie TLS deaktiveer net om 'n helper die sessie te laat inspekteer nie. Dit verruil 'n werkende protokol vir 'n gebreekte dreigingsmodel.

Bevestig met 'n lys en 'n oordrag

Nadat die adres- of poortbeleid verander het, maak 'n nuwe sessie oor dieselfde VPN-pad oop en lys 'n gids. Dra dan 'n klein lêer oor, want 'n lys en 'n oordrag kan op sommige bedieners verskillende kode paaie volg. Kyk in die kliëntlog vir 'n databinding na die verwagte adres en poort, en bevestig dat die grepe aangekom het.

Hou FTP, FTPS en SFTP apart in jou kop terwyl jy dit doen. 'n Passiewe-poortverandering is nie 'n SFTP-instelling nie, en die oplossing dra nie oor protokolle heen nie.