Prijava na FTP radi, ali popis mape se blokira: zašto

Korisničko ime radi, zaporka radi, a klijent kaže da je povezan. Zatim čeka zauvijek na popis mape ili na prvi prijenos datoteke, i ništa u vjerodajnicama to ne objašnjava. FTP otvara drugu vezu za svaki popis i svaku datoteku, i upravo ta druga veza ne uspijeva. Prijava dokazuje samo da prvi razgovor radi.

Obavite provjere redom. Svaka isključuje drugi sloj, pa zaustavite se na prvoj koja pokaže anomaliju.

Najprije razdvojite dvije veze

Upravljačka veza prenosi naredbe i odgovore na poslužiteljevu portu za slušanje. Veza za podatke prenosi popis direktorija ili tijelo datoteke, a u pasivnom načinu poslužitelj bira svoju krajnju točku i objavljuje je u odgovoru PASV ili EPSV. Dopuštanje porta 21 ne govori ništa o tome je li port za podatke dostupan, i upravo zato prijava uspijeva dok svaki popis istječe. WinSCP-ov vodič kroz FTP načine objašnjava tu podjelu i njezine mrežne zahtjeve.

Ako je klijent iza VPN-a, put podataka prolazi kroz isti tunel, ali ne nužno kroz istu politiku.

Pročitajte adresu u odgovoru PASV

Pokrenite detaljni klijent i pročitajte odgovor umjesto da nagađate. curl -v ftp://user@host/ ispisuje redak PASV s adresom i portom koje poslužitelj želi, i upravo se na tu adresu klijent zatim povezuje. Ako je to privatna adresa koja ništa ne znači na klijentskoj strani tunela, veza za podatke ne ide nikamo dok upravljački kanal ostaje zdrav.

Usporedite tu adresu s adresom do koje je klijent stvarno stigao. Neusklađenost je odgovor, i obično dolazi od NAT-a ili od poslužitelja konfiguriranog s unutarnjom adresom.

Provjerite raspon portova i politiku tunela

Pasivni poslužitelji dodjeljuju portove za podatke iz konfiguriranog raspona, i taj raspon mora biti dopušten kroz VPN i svaki vatrozid na putu. Politika koja dopušta 21 i ništa drugo politika je samo za prijavu. Potvrdite raspon s onim tko upravlja poslužiteljem, zatim testirajte jedan port iz njega umjesto da pretpostavite da se cijeli raspon ponaša jednako.

Šifrirani upravljački kanali to otežavaju, jer posrednički uređaj više ne može prepisati objavljenu adresu u letu.

Znajte kada pomaže EPSV ili rezervna mogućnost

EPSV vraća port bez zasebne adrese, što uklanja kvar zbog pogrešne adrese kada ga podržavaju oba kraja. Nekim klijentima može se reći i da ignoriraju objavljenu adresu i ponovno upotrijebe odredište upravljačke veze. Oboje su legitimni alati namijenjeni određenoj topologiji, a ne univerzalno rješenje.

Ne isključujte TLS samo zato da bi pomoćni alat pregledao sesiju. To mijenja radni protokol za slomljeni model prijetnji.

Potvrdite popisom i prijenosom

Nakon promjene politike adrese ili porta, otvorite novu sesiju istim VPN putom i izlistajte direktorij. Zatim prenesite malu datoteku, jer popis i prijenos na nekim poslužiteljima mogu ići različitim putanjama koda. Provjerite u zapisu klijenta vezu za podatke prema očekivanoj adresi i portu i potvrdite da su bajtovi stigli.

Držite FTP, FTPS i SFTP odvojeno u glavi dok to radite. Promjena pasivnog porta nije SFTP postavka, i popravak se ne prenosi između protokola.