FTP-sisselogimine töötab, kuid kaustaloend jääb rippuma: miks

Kasutajanimi töötab, parool töötab ja klient ütleb, et on ühendatud. Seejärel ootab see igavesti kaustaloendit või esimest failiülekannet, ja miski sisselogimisandmetes ei selgita seda. FTP avab iga loendi ja iga faili jaoks teise ühenduse ning just see teine ühendus ebaõnnestub. Sisselogimine tõestab ainult, et esimene vestlus töötab.

Tehke kontrollid järjekorras. Iga kontroll välistab erineva kihi, seega peatuge esimesel, mis annab anomaalia.

Eraldage kõigepealt kaks ühendust

Juhtühendus kannab käsud ja vastused serveri kuulamisporti. Andmeühendus kannab kataloogiloendi või faili sisu ning passiivses režiimis valib server oma lõpp-punkti ja teavitab sellest PASV või EPSV vastuses. Pordi 21 lubamine ei ütle midagi selle kohta, kas andmeport on kättesaadav, ja täpselt seetõttu õnnestub sisselogimine, samal ajal kui iga loend aegub. WinSCP juhend FTP-režiimide kohta selgitab seda jaotust ja selle võrgunõudeid.

Kui klient asub VPN-i taga, läbib andmetee sama tunnelit, kuid mitte tingimata sama poliitikat.

Lugege aadressi PASV vastusest

Käivitage üksikasjalik klient ja lugege vastust, selle asemel et oletada. curl -v ftp://user@host/ prindib PASV-rea koos aadressi ja pordiga, mida server soovib, ja just sellele aadressile klient seejärel ühendub. Kui see on privaatne aadress, mis ei tähenda tunnelis kliendi poolel midagi, läheb andmeühendus mitte kuhugi, samal ajal kui juhtkanal jääb terveks.

Võrrelge seda aadressi aadressiga, kuhu klient tegelikult jõudis. Erinevus on vastus ja see tuleb tavaliselt NAT-ist või serverist, mis on seadistatud sisemise aadressiga.

Kontrollige pordivahemikku ja tunneli poliitikat

Passiivsed serverid eraldavad andmeporte seadistatud vahemikust ja see vahemik tuleb lubada läbi VPN-i ja mis tahes tulemüüri teel. Poliitika, mis lubab 21 ja mitte midagi muud, on ainult sisselogimise poliitika. Kinnitage vahemik sellega, kes serverit haldab, seejärel testige sellest ühte porti, selle asemel et eeldada, et kogu vahemik käitub ühtemoodi.

Krüptitud juhtkanalid muudavad selle raskemaks, sest vahendav seade ei saa enam teatatud aadressi lennu pealt ümber kirjutada.

Tea, millal aitab EPSV või varuvariant

EPSV tagastab pordi ilma eraldi aadressita, mis kõrvaldab vale aadressi tõrke, kui mõlemad otsad seda toetavad. Mõnele kliendile saab ka öelda, et ignoreeriks teatatud aadressi ja kasutaks uuesti juhtühenduse sihtkohta. Mõlemad on õiguspärased tööriistad kindla topoloogia jaoks, mitte üldine lahendus.

Ärge lülitage TLS-i välja ainult selleks, et abivahend seanssi uuriks. See vahetab töötava protokolli katkise ohumudeli vastu.

Kinnitage loendi ja ülekandega

Pärast aadressi- või pordipoliitika muutmist avage sama VPN-tee kaudu uus seanss ja loetlege kataloog. Seejärel kandke üle väike fail, sest loend ja ülekanne võivad mõnes serveris minna erinevaid kooditeid. Kontrollige kliendi logist andmeühendust oodatud aadressi ja pordiga ning kinnitage, et baidid kohale jõudsid.

Hoidke FTP, FTPS ja SFTP selle tegemise ajal peas eraldi. Passiivse pordi muutmine ei ole SFTP säte ja parandus ei kandu protokollide vahel üle.