FTP pieteikšanās darbojas, bet mapju saraksts karājas: kāpēc

Lietotājvārds darbojas, parole darbojas, un klients ziņo, ka ir savienots. Tad tas mūžīgi gaida mapes sarakstu vai pirmo faila pārsūtīšanu, un nekas pieteikšanās datos to neizskaidro. FTP atver otru savienojumu katram sarakstam un katram failam, un tieši šis otrais savienojums neizdodas. Pieteikšanās tikai pierāda, ka pirmā saruna darbojas.

Veiciet pārbaudes pēc kārtas. Katra izslēdz citu slāni, tāpēc apstājieties pie pirmās, kas dod anomāliju.

Vispirms atdaliet divus savienojumus

Vadības savienojums pārraida komandas un atbildes servera klausīšanās portā. Datu savienojums pārraida direktorija sarakstu vai faila saturu, un pasīvajā režīmā serveris izvēlas savu galapunktu un paziņo to PASV vai EPSV atbildē. 21. porta atļaušana neko nepasaka par to, vai datu ports ir sasniedzams, un tieši tāpēc pieteikšanās izdodas, kamēr katrs saraksts beidzas ar taimautu. WinSCP FTP režīmu rokasgrāmata izskaidro šo atdalīšanu un tās tīkla prasības.

Ja klients atrodas aiz VPN, datu ceļš šķērso to pašu tuneli, bet ne obligāti to pašu politiku.

Nolasiet adresi PASV atbildē

Palaidiet detalizētu klientu un nolasiet atbildi, nevis miniet. curl -v ftp://user@host/ izdrukā PASV rindu ar adresi un portu, ko vēlas serveris, un tieši uz šo adresi klients pēc tam savienojas. Ja tā ir privāta adrese, kas tuneļa klienta pusē neko nenozīmē, datu savienojums nekur neiet, kamēr vadības kanāls paliek vesels.

Salīdziniet šo adresi ar adresi, kuru klients faktiski sasniedza. Neatbilstība ir atbilde, un tā parasti nāk no NAT vai no servera, kas konfigurēts ar iekšējo adresi.

Pārbaudiet portu diapazonu un tuneļa politiku

Pasīvie serveri piešķir datu portus no konfigurētā diapazona, un šis diapazons ir jāatļauj caur VPN un jebkuru ugunsmūri ceļā. Politika, kas atļauj 21 un neko citu, ir tikai pieteikšanās politika. Apstipriniet diapazonu ar servera uzturētāju, pēc tam pārbaudiet vienu portu no tā, nevis pieņemiet, ka viss diapazons uzvedas vienādi.

Šifrēti vadības kanāli to padara grūtāku, jo starpniekierīce vairs nevar pārrakstīt paziņoto adresi lidojumā.

Ziniet, kad palīdz EPSV vai rezerves iespēja

EPSV atgriež portu bez atsevišķas adreses, kas novērš nepareizas adreses kļūmi, ja to atbalsta abi gali. Dažiem klientiem var arī norādīt ignorēt paziņoto adresi un izmantot vadības savienojuma galamērķi. Abi ir likumīgi rīki konkrētai topoloģijai, nevis universāls risinājums.

Neizslēdziet TLS tikai tāpēc, lai palīgrīks pārbaudītu sesiju. Tas apmaina strādājošu protokolu pret salauztu draudu modeli.

Apstipriniet ar sarakstu un pārsūtīšanu

Pēc adreses vai porta politikas maiņas atveriet jaunu sesiju tajā pašā VPN ceļā un uzskaitiet direktoriju. Pēc tam pārsūtiet nelielu failu, jo saraksts un pārsūtīšana dažos serveros var iet pa atšķirīgiem koda ceļiem. Pārbaudiet klienta žurnālā datu savienojumu uz gaidīto adresi un portu un apstipriniet, ka baiti ir ieradušies.

Šī darba laikā turiet FTP, FTPS un SFTP atsevišķi galvā. Pasīvā porta maiņa nav SFTP iestatījums, un labojums nenotiek starp protokoliem.