FTP-innlogging fungerer, men mappelisten henger: hvorfor

Brukernavnet fungerer, passordet fungerer, og klienten sier at den er tilkoblet. Så venter den i det uendelige på en mappeliste, eller på den første filoverføringen, og ingenting i påloggingsinformasjonen forklarer det. FTP åpner en andre tilkobling for hver liste og hver fil, og det er den andre tilkoblingen som feiler. Innloggingen beviser bare at den første samtalen fungerer.

Gjør kontrollene i rekkefølge. Hver av dem utelukker et annet lag, så stopp ved den første som gir en avvikende verdi.

Skill de to tilkoblingene først

En kontrolltilkobling bærer kommandoer og svar på serverens lyttport. En datatilkobling bærer mappelisten eller filinnholdet, og i passiv modus velger serveren endepunktet sitt og kunngjør det i PASV- eller EPSV-svaret. Å tillate port 21 sier ingenting om hvorvidt dataporten er tilgjengelig, og det er nettopp derfor en innlogging lykkes mens hver liste går ut på tid. WinSCP sin guide til FTP-moduser forklarer oppdelingen og dens nettverkskrav.

Hvis klienten sitter bak VPN-en, krysser datastien den samme tunnelen, men ikke nødvendigvis den samme policyen.

Les adressen i PASV-svaret

Kjør en detaljert klient og les svaret i stedet for å gjette. curl -v ftp://user@host/ skriver ut PASV-linjen med adressen og porten serveren vil ha, og det er til denne adressen klienten kobler seg til neste gang. Er det en privat adresse som ikke betyr noe på klientsiden av tunnelen, går datatilkoblingen ingen steder mens kontrollkanalen forblir sunn.

Sammenlign den adressen med adressen klienten faktisk nådde. Avviket er svaret, og det kommer vanligvis fra NAT eller fra en server konfigurert med en intern adresse.

Sjekk portområdet og tunnelpolicyen

Passive servere tildeler dataporter fra et konfigurert område, og det området må være tillatt gjennom VPN-en og enhver brannmur på veien. En policy som tillater 21 og ingenting annet, er en ren innloggingspolicy. Bekreft området med den som driver serveren, og test deretter én port fra det i stedet for å anta at hele området oppfører seg likt.

Krypterte kontrollkanaler gjør dette vanskeligere, fordi en mellomliggende boks ikke lenger kan skrive om den annonserte adressen underveis.

Vit når EPSV eller en fallback hjelper

EPSV returnerer en port uten en egen adresse, noe som fjerner feilen med feil adresse når begge ender støtter det. Noen klienter kan også instrueres til å ignorere den annonserte adressen og gjenbruke kontrolltilkoblingens destinasjon. Begge er legitime verktøy rettet mot en bestemt topologi, ikke en generell løsning.

Ikke deaktiver TLS bare for å la et hjelpeverktøy inspisere økten. Det bytter ut en fungerende protokoll med en ødelagt trusselmodell.

Bekreft med en liste og en overføring

Etter at adresse- eller portpolicyen er endret, åpne en ny økt over samme VPN-sti og list opp en mappe. Overfør deretter en liten fil, fordi en liste og en overføring kan ta forskjellige kodeveier på enkelte servere. Sjekk klientloggen for en datatilkobling til den forventede adressen og porten, og bekreft at bytene er ankommet.

Hold FTP, FTPS og SFTP adskilt i hodet mens du gjør dette. En passiv portendring er ikke en SFTP-innstilling, og rettelsen overføres ikke mellom protokoller.