FTP-oanmelding wurket, mar de maplys hinget: wêrom

De brûkersnamme wurket, it wachtwurd wurket, en de klant seit dat er ferbûn is. Dan wachtet er ivich op in maplys, of op de earste bestânsoerdracht, en neat yn de oanmeldgegevens ferklearret dat. FTP iepenet in twadde ferbining foar elke list en elk bestân, en it is dy twadde ferbining dy’t mislearret. De oanmelding bewiist allinnich dat it earste petear wurket.

Wurket de kontrôles yn folchoarder ôf. Elk slût in oare laach út, dus stop by de earste dy’t in ôfwiking jout.

Skiedearje earst de twa ferbiningen

In kontrôleferbining draacht opdrachten en antwurden op ’e harkpoarte fan de server. In dataferbining draacht de maplist of de ynhâld fan it bestân, en yn passive modus kiest de server syn einpunt en kundiget dat oan yn it PASV- of EPSV-antwurd. Poarte 21 tastean seit neat oer oft de datapoarte berikber is, en dêrom slagget in oanmelding wylst elke list ferrint. WinSCP syn gids foar FTP-modussen leit de skieding en syn netwurkeasken út.

As de klant efter de VPN sit, krûst it datapaad deselde tunnel mar net needsaaklik deselde belied.

Lês it adres yn it PASV-antwurd

Fier in wiidweidige klant út en lês it antwurd ynstee fan te rieden. curl -v ftp://user@host/ printet de PASV-rigel mei it adres en de poarte dy’t de server wol, en it is nei dat adres dat de klant dêrnei ferbynt. As it in privee-adres is dat neat betsjutet oan ’e klantkant fan ’e tunnel, giet de dataferbining nearne hinne wylst it kontrôlekanaal sûn bliuwt.

Fergelykje dat adres mei it adres dat de klant eins berikt hat. In mismatching is it antwurd, en it komt meastentiids fan NAT of fan in server konfigurearre mei in yntern adres.

Kontrolearje it poarteberik en it tunnelbelied

Passive servers allocearje datapoarten út in konfigurearre berik, en dat berik moat tastien wurde troch de VPN en elke firewall op it paad. In belied dat 21 tastiet en neat oars is in belied allinnich foar oanmelding. Befêstigje it berik by wa’t de server beheart, test dan ien poarte derfan ynstee fan oan te nimmen dat it hiele berik itselde docht.

Fersifere kontrôlekanalen meitsje dit dreger, om’t in middenkast it oankundige adres net mear ûnderweis werôfskriuwe kin.

Wit wannear’t EPSV of in fallback helpt

EPSV jout in poarte sûnder apart adres werom, wat de flater fan it ferkearde adres fuorthellet as beide kanten it stypje. Oan guon klanten kin ek sein wurde it oankundige adres te negearjen en de bestimming fan ’e kontrôleferbining opnij te brûken. Beide binne legitime ark rjochte op in spesifike topology, gjin algemiene oplossing.

Skeakelje TLS net út allinnich om in helpmiddel de sesje ynspektearje te litten. Dat ruilet in wurkjend protokol foar in brutsen bedrigingsmodel.

Befêstigje mei in list en in oerdracht

Nei’t it adres- of poartebelied feroare is, iepenje in nije sesje oer itselde VPN-paad en lis in map op. Drage dan in lyts bestân oer, om’t in list en in oerdracht op guon servers ferskillende kodepaden nimme kinne. Kontrolearje it klantlogboek op in dataferbining nei it ferwachte adres en de poarte en befêstigje dat de bytes oankommen binne.

Hâld FTP, FTPS en SFTP apart yn ’e holle wylst jo dit dogge. In passive-poartewiziging is gjin SFTP-ynstelling, en de fix draacht net oer protokollen hinne.