FTP-innlogging fungerer, men mappelista heng: kvifor

Brukarnamnet fungerer, passordet fungerer, og klienten seier at han er tilkopla. Så ventar han i det uendelege på ei mappeliste, eller på den første filoverføringa, og ingenting i påloggingsinformasjonen forklarar det. FTP opnar ei andre tilkopling for kvar liste og kvar fil, og det er den andre tilkoplinga som feilar. Innlogginga beviser berre at den første samtalen fungerer.

Gjer kontrollane i rekkjefølgje. Kvar av dei utelukkar eit anna lag, så stopp ved den første som gir eit avvik.

Skil dei to tilkoplingane først

Ei kontrolltilkopling ber kommandoar og svar på lyttporten til tenaren. Ei datatilkopling ber mappelista eller filinnhaldet, og i passiv modus vel tenaren endepunktet sitt og kunngjer det i PASV- eller EPSV-svaret. Å tillate port 21 seier ingenting om dataporten er tilgjengeleg, og det er nettopp derfor ei innlogging lykkast medan kvar liste går ut på tid. WinSCP sin guide til FTP-modusar forklarar oppdelinga og nettverkskrava hennar.

Viss klienten sit bak VPN-en, kryssar datastien den same tunnelen, men ikkje nødvendigvis den same policyen.

Les adressa i PASV-svaret

Køyr ein detaljert klient og les svaret i staden for å gjette. curl -v ftp://user@host/ skriv ut PASV-linja med adressa og porten tenaren vil ha, og det er til denne adressa klienten koplar seg til neste gong. Er det ei privat adresse som ikkje betyr noko på klientsida av tunnelen, går datatilkoplinga ingen stad medan kontrollkanalen held seg sunn.

Samanlikn den adressa med adressa klienten faktisk nådde. Avviket er svaret, og det kjem vanlegvis frå NAT eller frå ein tenar konfigurert med ei intern adresse.

Sjekk portområdet og tunnelpolicyen

Passive tenarar tildeler dataporter frå eit konfigurert område, og det området må vere tillate gjennom VPN-en og ein kvar brannmur på vegen. Ein policy som tillèt 21 og ingenting anna, er ein rein innloggingspolicy. Stadfest området med den som driv tenaren, og test deretter éin port frå det i staden for å anta at heile området oppfører seg likt.

Krypterte kontrollkanalar gjer dette vanskelegare, fordi ein mellomliggjande boks ikkje lenger kan skrive om den kunngjorde adressa undervegs.

Vit når EPSV eller ein fallback hjelper

EPSV returnerer ein port utan ei eiga adresse, noko som fjernar feilen med feil adresse når begge endar støttar det. Nokre klientar kan òg instruerast til å ignorere den kunngjorde adressa og bruke destinasjonen til kontrolltilkoplinga om att. Begge er legitime verktøy retta mot ein bestemt topologi, ikkje ei generell løysing.

Ikkje deaktiver TLS berre for å la eit hjelpeverktøy inspisere økta. Det byter ut ein fungerande protokoll med ein øydelagd trusselmodell.

Stadfest med ei liste og ei overføring

Etter at adresse- eller portpolicyen er endra, opne ei ny økt over same VPN-sti og list opp ei mappe. Overfør deretter ei lita fil, fordi ei liste og ei overføring kan ta ulike kodevegar på enkelte tenarar. Sjekk klientloggen for ei datatilkopling til den forventa adressa og porten, og stadfest at byta er komne.

Hald FTP, FTPS og SFTP fråskilde i hovudet medan du gjer dette. Ei passiv portendring er ikkje ei SFTP-innstilling, og rettinga overførast ikkje mellom protokollar.