Prijava po FTP deluje, izpis imenika pa se zatakne: zakaj

Uporabniško ime deluje, geslo deluje in odjemalec pravi, da je povezan. Nato za vedno čaka na izpis mape ali na prvi prenos datoteke in nič v prijavnih podatkih tega ne pojasni. FTP odpre drugo povezavo za vsak izpis in vsako datoteko, in prav ta druga povezava odpove. Prijava dokaže le, da prvi pogovor deluje.

Preverjanja izvedite po vrsti. Vsako izključi drugo plast, zato se ustavite pri prvem, ki pokaže odstopanje.

Najprej ločite dve povezavi

Krmilna povezava prenaša ukaze in odgovore na strežnikovih vratih za poslušanje. Podatkovna povezava prenaša izpis imenika ali vsebino datoteke, v pasivnem načinu pa strežnik izbere svojo končno točko in jo objavi v odgovoru PASV ali EPSV. Dovoljenje vrat 21 ne pove nič o tem, ali je podatkovna vrata dosegljiva, in prav zato prijava uspe, medtem ko vsak izpis poteče. WinSCP vodnik po načinih FTP razloži to delitev in njene omrežne zahteve.

Če je odjemalec za VPN, gre podatkovna pot skozi isti tunel, a ne nujno skozi isto politiko.

Preberite naslov v odgovoru PASV

Zaženite podrobnega odjemalca in namesto ugibanja preberite odgovor. curl -v ftp://user@host/ izpiše vrstico PASV z naslovom in vrati, ki jih strežnik želi, in na ta naslov se odjemalec nato poveže. Če je to zasebni naslov, ki na odjemalčevi strani tunela nič ne pomeni, podatkovna povezava ne pelje nikamor, medtem ko krmilni kanal ostane zdrav.

Primerjajte ta naslov z naslovom, ki ga je odjemalec dejansko dosegel. Neujemanje je odgovor in običajno izhaja iz NAT ali iz strežnika, nastavljenega z notranjim naslovom.

Preverite obseg vrat in politiko tunela

Pasivni strežniki dodeljujejo podatkovna vrata iz nastavljenega obsega in ta obseg mora biti dovoljen skozi VPN in vsak požarni zid na poti. Politika, ki dovoli 21 in nič drugega, je politika samo za prijavo. Potrdite obseg pri tistih, ki strežnik upravljajo, nato preizkusite ena vrata iz njega, namesto da bi predpostavljali, da se celoten obseg obnaša enako.

Šifrirani krmilni kanali to otežijo, ker posrednik ne more več prepisati objavljenega naslova med poletom.

Vedite, kdaj pomaga EPSV ali rezervna rešitev

EPSV vrne vrata brez ločenega naslova, kar odpravi napako zaradi napačnega naslova, ko ga podpirata oba konca. Nekaterim odjemalcem je mogoče tudi reči, naj prezrejo objavljeni naslov in znova uporabijo cilj krmilne povezave. Oba sta legitimna orodja za določeno topologijo, ne splošna rešitev.

Ne onemogočite TLS samo zato, da bi pomočnik lahko pregledal sejo. To zamenja delujoč protokol za pokvarjen model groženj.

Potrdite z izpisom in prenosom

Po spremembi naslova ali politike vrat odprite novo sejo po isti poti VPN in izpišite imenik. Nato prenesite majhno datoteko, ker lahko izpis in prenos na nekaterih strežnikih ubereta različne poti kode. V dnevniku odjemalca preverite podatkovno povezavo na pričakovani naslov in vrata ter potrdite, da so bajti prispeli.

Medtem imejte FTP, FTPS in SFTP ločene v glavi. Sprememba pasivnih vrat ni nastavitev SFTP in popravek se ne prenaša med protokoli.