Prihlásenie cez FTP funguje, ale výpis adresára zamrzne: prečo
Prihlásenia FTP a výpisy priečinkov používajú dve rôzne spojenia. Keď výpis zamrzne, skontrolujte pasívnu adresu údajov a rozsah portov, nie heslo.
Používateľské meno funguje, heslo funguje a klient hlási, že je pripojený. Potom navždy čaká na výpis priečinka alebo na prvý prenos súboru a nič v prihlasovacích údajoch to nevysvetľuje. FTP otvára druhé spojenie pre každý výpis a každý súbor a práve toto druhé spojenie zlyháva. Prihlásenie dokazuje len to, že prvá konverzácia funguje.
Kontroly robte po poradí. Každá vylučuje inú vrstvu, preto sa zastavte pri prvej, ktorá vykazuje anomáliu.
Najprv oddeľte dve spojenia
Riadiace spojenie prenáša príkazy a odpovede na počúvacom porte servera. Dátové spojenie prenáša výpis adresára alebo obsah súboru a v pasívnom režime server vyberie svoj koncový bod a oznámi ho v odpovedi PASV alebo EPSV. Povolenie portu 21 nehovorí nič o tom, či je dátový port dostupný, a práve preto prihlásenie uspeje, kým každý výpis vyprší. WinSCP sprievodca režimami FTP vysvetľuje toto rozdelenie a jeho sieťové požiadavky.
Ak klient sedí za VPN, dátová cesta prechádza tým istým tunelom, ale nie nevyhnutne tou istou politikou.
Prečítajte si adresu v odpovedi PASV
Spustite podrobného klienta a namiesto hádania si prečítajte odpoveď. curl -v ftp://user@host/ vypíše riadok PASV s adresou a portom, ktoré server chce, a na túto adresu sa klient pripojí ďalej. Ak je to súkromná adresa, ktorá na strane klienta tunela nič neznamená, dátové spojenie nikam nevedie, zatiaľ čo riadiaci kanál zostáva zdravý.
Porovnajte túto adresu s adresou, na ktorú sa klient skutočne dostal. Nezhoda je odpoveďou a zvyčajne pochádza z NAT alebo zo servera nakonfigurovaného s internou adresou.
Skontrolujte rozsah portov a politiku tunela
Pasívne servery prideľujú dátové porty z nakonfigurovaného rozsahu a tento rozsah musí byť povolený cez VPN a každý firewall na ceste. Politika, ktorá povoľuje 21 a nič iné, je politikou len na prihlásenie. Potvrďte rozsah s tými, ktorí server prevádzkujú, a potom otestujte jeden port z neho, namiesto toho, aby ste predpokladali, že celý rozsah sa správa rovnako.
Šifrované riadiace kanály to sťažujú, pretože sprostredkovateľ už nemôže prepísať oznámenú adresu za letu.
Vedzte, kedy pomôže EPSV alebo záložné riešenie
EPSV vracia port bez samostatnej adresy, čo odstraňuje zlyhanie nesprávnej adresy, keď ho podporujú oba konce. Niektorým klientom možno tiež povedať, aby ignorovali oznámenú adresu a znova použili cieľ riadiaceho spojenia. Oba sú legitímne nástroje zamerané na konkrétnu topológiu, nie plošná oprava.
Nevypínajte TLS len preto, aby pomocník mohol skontrolovať reláciu. Vymeníte tým fungujúci protokol za pokazený model hrozieb.
Potvrďte výpisom a prenosom
Po zmene adresy alebo portovej politiky otvorte novú reláciu cez tú istú cestu VPN a vypíšte adresár. Potom preneste malý súbor, pretože výpis a prenos môžu na niektorých serveroch prechádzať rôznymi cestami kódu. Skontrolujte v logu klienta dátové spojenie na očakávanú adresu a port a potvrďte, že bajty dorazili.
Majte FTP, FTPS a SFTP oddelene v hlave, kým to robíte. Zmena pasívneho portu nie je nastavenie SFTP a oprava sa neprenáša medzi protokolmi.