Пријава на FTP ради, али испис директоријума се заглави: зашто

Корисничко име ради, лозинка ради, а клијент каже да је повезан. Затим заувек чека на испис фасцикле или на први пренос датотеке, и ништа у акредитивима то не објашњава. FTP отвара другу везу за сваки испис и сваку датотеку, а управо та друга веза не успева. Пријава доказује само да први разговор ради.

Изведите провере редом. Свака искључује други слој, па станите код прве која покаже аномалију.

Најпре раздвојите две везе

Контролна веза преноси команде и одговоре на серверском порту за слушање. Веза за податке преноси испис директоријума или садржај датотеке, а у пасивном режиму сервер бира своју крајњу тачку и објављује је у одговору PASV или EPSV. Дозвола порта 21 не говори ништа о томе да ли је порт за податке достижан, и управо зато пријава успева док сваки испис истекне. WinSCP-ов водич кроз FTP режиме објашњава ту поделу и њене мрежне захтеве.

Ако клијент стоји иза VPN-а, пут података пролази кроз исти тунел, али не нужно кроз исту политику.

Прочитајте адресу у PASV одговору

Покрените детаљни клијент и прочитајте одговор уместо да нагађате. curl -v ftp://user@host/ исписује PASV ред са адресом и портом које сервер жели, а на ту адресу се клијент затим повезује. Ако је то приватна адреса која ништа не значи на клијентовој страни тунела, веза за податке не води никуда док контролни канал остаје здрав.

Упоредите ту адресу са адресом до које је клијент стварно дошао. Неслагање је одговор, и обично долази од NAT-а или од сервера конфигурисаног са унутрашњом адресом.

Проверите опсег портова и политику тунела

Пасивни сервери додељују портове за податке из конфигурисаног опсега, а тај опсег мора бити дозвољен кроз VPN и сваки заштитни зид на путу. Политика која дозвољава 21 и ништа друго је политика само за пријаву. Потврдите опсег са онима који управљају сервером, па тестирајте један порт из њега уместо да претпостављате да се цео опсег понаша исто.

Шифровани контролни канали то отежавају, јер посредни уређај више не може да препише објављену адресу у лету.

Знајте када EPSV или резервно решење помаже

EPSV враћа порт без засебне адресе, што уклања квар због погрешне адресе када га подржавају оба краја. Неким клијентима се може рећи да занемаре објављену адресу и поново употребе одредиште контролне везе. Оба су легитимни алати намењени одређеној топологији, а не универзално решење.

Не искључујте TLS само зато да би помоћни алат могао да прегледа сесију. То мења радни протокол за покварен модел претњи.

Потврдите исписом и преносом

Након промене политике адреса или портова отворите нову сесију преко истог VPN пута и испишите директоријум. Затим пренесите малу датотеку, јер испис и пренос на неким серверима могу ићи различитим путањама кода. Проверите у клијентском запису везу за податке ка очекиваној адреси и порту, и потврдите да су бајтови стигли.

Држите FTP, FTPS и SFTP одвојене у глави док то радите. Промена пасивног порта није SFTP подешавање, и поправка се не преноси на друге протоколе.