Уваход у FTP працуе, але спіс каталога завісае: чаму

Імя карыстальніка працуе, пароль працуе, і кліент паведамляе, што падключаны. Затым ён чакае вечна на спісе папкі або на першай перадачы файла, і нішто ў даных уваходу гэтага не тлумачыць. FTP адкрывае другое злучэнне для кожнага спісу і кожнага файла, і менавіта гэтае другое злучэнне церпіьь няўдачу. Уваход толькі даказвае, што першая размова працуе.

Выконвайце праверкі па парадку. Кожная выключае іншы ўзровень, таму спыніцеся на першай, якая дасьць анамалію.

Спачатку падзяліце два злучэнні

Кіравальнае злучэнне пераносіць каманды і адказы на порт праслухоўвання сервера. Злучэнне даных пераносіць спіс каталога або цела файла, і ў пасіўным рэжыме сервер выбірае свой канчатковы пункт і абвяшчае яго ў адказе PASV або EPSV. Дазвол порта 21 нічога не кажа пра тое, ці дасягальны порт даных, і менавіта таму ўваход атрымліваецца, а кожны спіс сканчаецца тайм-аўтам. Кіраўніцтва WinSCP па рэжымах FTP тлумачыць гэтае раздзяленне і яго сеткавыя патрабаванні.

Калі кліент знаходзіцца за VPN, шлях даных праходзіць праз той жа тунэль, але не абавязкова праз тую ж палітыку.

Прачытайце адрас у адказе PASV

Запусціце падрабязны кліент і прачытайце адказ замест здагадак. curl -v ftp://user@host/ друкуе радок PASV з адрасам і портам, якія хоча сервер, і менавіта на гэты адрас кліент падключаецца далей. Калі гэта прыватны адрас, які нічога не значыць на баку кліента ў тунэлі, злучэнне даных ідзе ў нікуды, пакуль кіравальны канал застаецца здаровым.

Параўнайце гэты адрас з адрасам, які кліент фактычна дасягнуў. Нясупадзенне — гэта і ёсьць адказ, і звычайна яно паходзіць ад NAT або ад сервера, наладжанага з унутраным адрасам.

Праверце дыяпазон партоў і палітыку тунэля

Пасіўныя серверы выдзяляюць парты даных з наладжанага дыяпазону, і гэты дыяпазон мусіць быць дазволены праз VPN і любы міжсеткавы экран на шляху. Палітыка, якая дазваляе 21 і больш нічога, — гэта палітыка толькі для ўваходу. Пацвердзіце дыяпазон у таго, хто кіруе серверам, затым праверце адзін порт з яго, а не мяркуйце, што ўвесь дыяпазон паводзіць сябе аднолькава.

Шыфраваныя кіравальныя каналы робяць гэта складаней, бо прамежкавы вузел ужо не можа перапісаць абвешчаны адрас на хаду.

Ведайце, калі дапамагае EPSV або запасны варыянт

EPSV вяртае порт без асобнага адраса, што здымае збой няправільнага адраса, калі абодва бакі яго падтрымліваюць. Некаторым кліентам можна таксама загадаць ігнараваць абвешчаны адрас і паўторна выкарыстоўваць прызначэнне кіравальнага злучэння. Абодва — легітымныя інструменты пад канкрэтную тапалогію, а не ўніверсальнае рашэнне.

Не адключайце TLS толькі дзеля таго, каб памочнік агледзеў сеанс. Гэта абменьвае працоўны пратакол на зламаную мадэль пагроз.

Пацвердзіце спісам і перадачай

Пасля змены палітыкі адрасоў або партоў адкрыйце новы сеанс па тым жа шляху VPN і пакажыце каталог. Затым перадайце невялікі файл, бо спіс і перадача на некаторых серверах могуць ісці рознымі шляхі кода. Праверце журнал кліента наконт злучэння даных да чаканага адраса і порта і пацвердзіце, што байты прыбылі.

Трымайце FTP, FTPS і SFTP асобна ў галаве, пакуль гэта робіце. Змена пасіўнага порта — гэта не налада SFTP, і выпраўленне не пераносіцца паміж пратаколамі.