FTP prijava radi, ali popis direktorija se blokira: zašto

Korisničko ime radi, lozinka radi, a klijent kaže da je povezan. Zatim čeka vječno na popis mape ili na prvi prijenos datoteke, i ništa u vjerodajnicama to ne objašnjava. FTP otvara drugu vezu za svaki popis i svaku datoteku, i upravo ta druga veza ne uspijeva. Prijava dokazuje samo da prvi razgovor radi.

Obavite provjere po redu. Svaka isključuje drugi sloj, pa zaustavite se na prvoj koja proizvede anomaliju.

Prvo razdvojite dvije veze

Kontrolna veza nosi naredbe i odgovore na serverskom portu za slušanje. Veza za podatke nosi popis direktorija ili tijelo datoteke, a u pasivnom načinu poslužitelj bira svoju krajnju točku i objavljuje je u odgovoru PASV ili EPSV. Dopuštanje porta 21 ne govori ništa o tome je li port za podatke dostupan, i upravo zato prijava uspijeva dok svaki popis istječe. WinSCP-ov vodič kroz FTP načine objašnjava tu podjelu i njezine mrežne zahtjeve.

Ako je klijent iza VPN-a, put podataka prolazi kroz isti tunel, ali ne nužno kroz istu politiku.

Pročitajte adresu u odgovoru PASV

Pokrenite detaljni klijent i pročitajte odgovor umjesto nagađanja. curl -v ftp://user@host/ ispisuje liniju PASV s adresom i portom koje poslužitelj želi, i upravo se na tu adresu klijent zatim povezuje. Ako je to privatna adresa koja ništa ne znači na klijentskoj strani tunela, veza za podatke ide nikamo dok kontrolni kanal ostaje zdrav.

Usporedite tu adresu s adresom do koje je klijent stvarno stigao. Neusklađenost je odgovor, i obično dolazi od NAT-a ili od poslužitelja konfiguriranog s unutarnjom adresom.

Provjerite raspon portova i politiku tunela

Pasivni poslužitelji dodjeljuju portove za podatke iz konfiguriranog raspona, i taj raspon mora biti dopušten kroz VPN i svaki vatrozid na putu. Politika koja dopušta 21 i ništa drugo jest politika samo za prijavu. Potvrdite raspon s onim ko upravlja poslužiteljem, zatim testirajte jedan port iz njega umjesto da pretpostavite da se cijeli raspon ponaša isto.

Šifrirani kontrolni kanali to otežavaju, jer posrednički uređaj više ne može prepisati objavljenu adresu u letu.

Znajte kada pomaže EPSV ili rezervna opcija

EPSV vraća port bez zasebne adrese, što uklanja kvar zbog pogrešne adrese kada ga podržavaju oba kraja. Nekim klijentima može se reći da ignoriraju objavljenu adresu i ponovno upotrijebe odredište kontrolne veze. Oboje su legitimni alati namijenjeni određenoj topologiji, a ne univerzalno rješenje.

Ne isključujte TLS samo da bi pomoćni alat pregledao sesiju. To mijenja radni protokol za slomljeni model prijetnji.

Potvrdite popisom i prijenosom

Nakon promjene politike adrese ili porta, otvorite novu sesiju istim VPN putom i izlistajte direktorij. Zatim prenesite malu datoteku, jer popis i prijenos na nekim poslužiteljima mogu ići različitim putanjama koda. Provjerite u zapisu klijenta vezu za podatke prema očekivanoj adresi i portu i potvrdite da su bajtovi stigli.

Držite FTP, FTPS i SFTP odvojeno u glavi dok to radite. Promjena pasivnog porta nije SFTP postavka, i popravak se ne prenosi između protokola.