案例分享:服务器间经历N层防火墙后ftp绝症的处理全过程

JavaGG 发布于 2009/05/06 10:57
阅读 372
收藏 0

[font=楷体_GB2312][size=3][color=blue]
老老实实,脚踏实地,从基础分析,解决ftp绝症案例分享.[/color][/size][/font]

[color=Red]在遇到这个问题时,本人也是vsftp菜鸟,在解决问题时逐步成长,希望这个贴能够给新手们提供一个解决问题的思路。[/color]

[align=center][color=Red]点此推荐:[/color][font=宋体][url=http://blog.chinaunix.net/u2/star.php?blogid=12442]http://blog.chinaunix.net/u2/star.php?blogid=12442[/font]
[size=3][/size][/align][size=3]

[color=Blue]【背景描述】[/color][/size]

两台服务器间,间隔了N层防火墙,应用需要通过ftp传递文件。

server-a----firewall.......firewall----server-b(123.123.123.123)
                             |
                其他网段机器(办公地)

服务器位置离办公地很远,到现场难度极大。

[size=3][color=Blue]【问题现象】[/color][/size]
[indent]服务器b ftp client  ----->  服务器a的ftp server OK
服务器a ftp client  ----->  服务器b的ftp server:[color=Red]卡住鸟![/color],如下所示

[/indent]引用:$ ftp 123.123.123.123
Connected to 123.123.123.123.
220 (vsFTPd 2.0.5)                   [color=Magenta]//卡在这里,过了NNN久,大约10分钟[/color]              
421 Timeout.
No control connection for command: Illegal seek
KERBEROS_V4 rejected as an authentication type
Name (123.123.123.123:ftpuser): ftpuser                   [color=Magenta]//输入后就断开连接了[/color]        
No control connection for command: No such file or directory
Login failed.
No control connection for command: No such file or directory
ftp> 



[size=3][color=Blue]【问题分析】[/color][/size]

首先怀疑可能防火墙配置有问题
[list]
[*]先google一把,找出几篇同样问题的贴,然而没有答案。[*]互ping,OK[color=Indigo][color=Purple](判断网络连接没问题)[/color][/color][*]从server-a telnet到server-b没问题[color=Indigo][color=Purple](判断各级防火墙功能没问题)[/color][/color][*]server-b自己连自己的ftp服务没问题[color=Indigo][color=Purple](判断服务器端没问题)[/color][/color][*]与server-b同一防火墙的设备连server-b的ftp服务没问题[color=Purple](判断server-b直连的防火墙没问题)[/color][*]其他网段机器连server-b的ftp服务没问题[color=Purple](判断中间防火墙没问题)[/color][*]其他网段机器连server-a的ftp服务没问题[color=Purple](判断server-a端的防火墙没问题)[/color][*]server-a连与它同一防火墙的设备的ftp服务没问题[color=Purple](判断server-a的ftp客户端工作性没问题)[/color][/list][color=Magenta]晕死鸟,各种分析到此为止,莫非此题无解?[/color]
[color=Magenta]一怒之下,把各级防火墙的相关访问策略全部Permit all,结果问题依旧。[/color]

[color=Red]初步判断:问题出在server-a的ftp客户端程序上[/color]

[list][*][font=楷体_GB2312]于是在其他网段(办公地)开了个虚拟机,安装了一个和server-a一样版本的操作系统,从虚拟机上再次尝试ftp,问题依旧,[color=Red]果然是server-a的ftp客户端程序问题![/color][/font][/list][size=3]
[color=Blue]【问题处理】[/color]

[/size][color=DarkRed]1、开ftp命令的诊断模式,看ftp协议到底在干嘛[/color]
引用:
$ ftp -d 123.123.123.123
Connected to 123.123.123.123.
220 (vsFTPd 2.0.5)
---> AUTH GSSAPI                        [color=Magenta]//卡在这里,过了NNN久,大约10分钟,看来是客户端发出的"AUTH GSSAPI"命令出了问题[/color]
421 Timeout.
---> AUTH KERBEROS_V4
No control connection for command: Illegal seek
KERBEROS_V4 rejected as an authentication type
Name (123.123.123.123:ftpuser): ftpuser                   [color=Magenta]//输入后就断开连接了[/color]      
---> USER ftpuser
No control connection for command: No such file or directory
Login failed.
---> SYST
No control connection for command: No such file or directory
ftp> 


[color=DarkRed]2、抓包
[/color]
[attach]228107[/attach]
看来是ftp客户端程序与ftp服务器端程序在协商AUTH方面出了问题。

[color=DarkRed]3、man ftp[/color]
在server-a的帮助手册页中看到,ftp命令会发出AUTH命令,使用本地所支持的验证类型,尝试与ftp服务器端协商验证问题。如果该验证类型被服务器接受,接着就通过ADAT命令处理相应的验证协议。

看来只要不让ftp命令使用这个功能即可

[color=DarkRed]4、让ftp进行不验证的连接[/color]
引用:
# ftp -d -u 服务器b
Connected to 123.123.123.123.
220 (vsFTPd 2.0.5)
---> SYST
530 Please login with USER and PASS.
ftp> user
(username) itms
---> USER itms
331 Please specify the password.
Password: 
---> PASS XXXX
230 Login successful.
ftp> ls    
---> PASV
227 Entering Passive Mode (123,123,123,123,51,43,54)       [color=Red]新问题出现了,被动模式连接超时[/color]
ftp: connect: Connection timed out
ftp> 


[color=DarkRed]5、这个问题好办,让ftp使用主动模式即可[/color]
继续看帮助,得知用passive指令看切换主动和被动模式

要深入了解ftp的主动和被动模式的区别,可参考:[url=http://bbs.chinaunix.net/thread-574966-1-1.html]http://bbs.chinaunix.net/thread-574966-1-1.html
引用:
ftp> passive
Passive mode off.
ftp> ls
---> PORT 123,123,123,123,87,227
200 PORT command successful. Consider using PASV.
---> LIST
150 Here comes the directory listing.
-rwxr-xr-x    1 ftp      ftp           684 Dec 26 10:38 CAP.env
drwxr-xr-x    7 ftp      ftp           256 Dec 28 03:53 CAP_HOME
....



[size=3][color=Blue]【案例总结】[/color][/size]

[color=Red]终于解决了这个号称绝症的问题,总结起来其实很简单:
1、让客户端程序不使用AUTH进行ftp连接:
[/color][indent][list][color=Red]
[*]使用ftp的-u选项[/color][/list][/indent][color=Red]
2、用主动模式传递数据:
[/color][indent][list][color=Red]
[*]连接上后使用passive指令切换主动和被动模式[/color][/list][/indent][color=Red]
但最关键的是在于处理问题的整个分析过程,希望对大家有所帮助。

[/color][align=center][color=blue]独乐乐不如众乐乐,点此推荐与众多CUer分享此文:[/color][font=宋体][url=http://blog.chinaunix.net/u2/star.php?blogid=12442]http://blog.chinaunix.net/u2/star.php?blogid=12442[/font][/align]

[ 本帖最后由 yuhuohu 于 2008-1-13 21:19 编辑 ]








加载中
返回顶部
顶部