Zapora blokuje serwer FTP

Zapora blokująca serwer FTP wskazuje na regułę ograniczającą porty 20/21 lub tryb pasywny wymagany przez ten protokół transferu plików.

Zapora blokuje serwer FTP – znaczenie problemu

Komunikat „Zapora blokuje serwer FTP” oznacza, że połączenie potrzebne do przesyłania plików jest zatrzymywane przez mechanizm kontroli ruchu sieciowego. Zapora może działać na komputerze, na którym uruchomiono usługę FTP, na urządzeniu klienckim, na routerze albo u dostawcy internetu. Sam serwer może działać poprawnie, a mimo to logowanie, wyświetlanie katalogów lub pobieranie danych nie będzie możliwe, ponieważ pakiety są odrzucane przed dotarciem do właściwej usługi.

FTP korzysta z połączenia sterującego oraz połączenia służącego do przekazywania danych. W klasycznej konfiguracji port 21 jest używany do komunikacji sterującej, natomiast port 20 może być związany z transferem danych w trybie aktywnym. W praktyce wiele wdrożeń wykorzystuje tryb pasywny, w którym serwer udostępnia dodatkowy zakres portów. Jeżeli ten zakres nie zostanie uwzględniony w regułach zapory, logowanie może przebiegać prawidłowo, ale lista folderów pozostanie pusta, transfer zakończy się błędem albo klient utraci połączenie po kilku sekundach.

Nie powinno się zakładać, że każdy błąd FTP wynika wyłącznie z portu 21. Ten port może być otwarty, a dalsza część komunikacji nadal może być blokowana. Znaczenie ma kierunek ruchu, adres źródłowy, adres docelowy, protokół transportowy oraz sposób zestawiania kanału danych. W regułach zapory trzeba rozróżnić ruch przychodzący do usługi od ruchu wychodzącego z programu klienckiego. Osobnej analizy wymaga również filtrowanie połączeń szyfrowanych, ponieważ kontrola pakietów może inaczej traktować zwykłe FTP, FTPS oraz inne protokoły transferu.

Zapora i serwer FTP – tryb aktywny, pasywny oraz porównanie protokołów

W trybie aktywnym klient nawiązuje kanał sterujący z serwerem, a następnie serwer próbuje ustanowić połączenie danych w kierunku komputera klienta. Taki model bywa problematyczny w sieciach wykorzystujących translację adresów, routery z restrykcyjnymi regułami oraz zapory blokujące połączenia inicjowane z zewnątrz. Z punktu widzenia bezpieczeństwa i zgodności z typową topologią sieci łatwiejszy do obsługi jest często tryb pasywny. W tym wariancie oba połączenia są inicjowane przez klienta, natomiast serwer wskazuje port z wcześniej ustalonego zakresu.

Tryb pasywny nie oznacza automatycznego rozwiązania problemu. Zakres portów musi być skonfigurowany w usłudze FTP, dopuszczony na zaporze serwera i, w razie potrzeby, przekierowany na routerze. Jeżeli serwer znajduje się za translacją adresów, klient powinien otrzymać prawidłowy publiczny adres oraz numer portu. Błędny adres przekazywany w odpowiedzi serwera może prowadzić do prób połączenia z adresem prywatnym, który nie jest osiągalny z internetu.

FTP warto odróżnić od SFTP. SFTP działa jako podsystem SSH i zwykle korzysta z jednego kanału komunikacyjnego, dlatego jego obsługa przez zaporę może być prostsza. Nie jest to jednak ta sama usługa i nie można naprawić problemu FTP przez przypadkowe przełączenie klienta na SFTP. Podobnie FTPS rozszerza FTP o szyfrowanie TLS, ale nadal może wymagać obsługi dodatkowych portów dla kanału danych. Wybór rozwiązania powinien wynikać z konfiguracji serwera, wymagań aplikacji, sposobu uwierzytelniania oraz polityki ochrony danych.

Otwieranie szerokiego zakresu portów bez ograniczeń nie jest właściwą metodą diagnostyczną ani docelową konfiguracją. Bezpieczniej jest ustalić konkretny zakres wymagany przez usługę, ograniczyć dostęp do znanych adresów, zastosować odpowiedni profil sieciowy i monitorować dzienniki połączeń. Reguła powinna obejmować tylko niezbędny protokół oraz kierunek ruchu. W przypadku usługi dostępnej z internetu trzeba dodatkowo zweryfikować, czy konto, hasło i uprawnienia do katalogów nie pozwalają na dostęp szerszy, niż jest potrzebny.

Zapora blokuje serwer FTP – typowe objawy i przyczyny

Objawem może być całkowity brak możliwości połączenia z adresem usługi. W takim przypadku sprawdza się, czy serwer nasłuchuje na właściwym porcie, czy adres jest poprawny oraz czy zapora nie odrzuca żądań przychodzących. Jeżeli klient długo oczekuje na odpowiedź, a następnie zgłasza przekroczenie czasu, przyczyną często jest filtrowanie ruchu, nieprawidłowe przekierowanie portu lub niedostępność urządzenia pośredniczącego.

Inny scenariusz polega na pomyślnym zalogowaniu i braku zawartości katalogu. Zwykle wskazuje to na problem z kanałem danych, a nie z samym uwierzytelnianiem. Warto wtedy sprawdzić, czy klient korzysta z trybu pasywnego, jaki zakres portów zwraca serwer oraz czy ten zakres jest dostępny z sieci, z której wykonywana jest próba. Wartość diagnostyczną ma także porównanie połączenia z tej samej sieci lokalnej i z innej sieci. Jeżeli transfer działa lokalnie, a nie działa zdalnie, większe znaczenie zyskują reguły routera, translacja adresów i zapora brzegowa.

Transfer może rozpoczynać się poprawnie, lecz zatrzymywać przy większych plikach. W takiej sytuacji należy uwzględnić limity czasu bezczynności, skanowanie treści przez ochronę sieciową, zmianę trasy, niestabilność połączenia oraz ograniczenia programu klienckiego. Problem nie zawsze jest związany z rozmiarem pliku. Czasem określony typ danych uruchamia dodatkową kontrolę antywirusową, a czasem połączenie jest zamykane przez urządzenie, które uznaje dłuższą transmisję za nieaktywną.

Do częstych przyczyn należą także: reguła przypisana do niewłaściwego profilu sieciowego, konflikt kilku programów ochronnych, wyłączona usługa FTP, błędny zakres portów pasywnych, brak przekierowania na routerze, filtracja po stronie dostawcy oraz ograniczenie dostępu do konkretnego adresu IP. Należy również sprawdzić, czy nazwa hosta wskazuje aktualny adres. Zmiana adresu publicznego może wyglądać jak awaria zapory, mimo że sama reguła pozostała bez zmian.

Zapora FTP – praktyczne wskazówki diagnostyczne

Pracę powinno się rozpocząć od ustalenia miejsca występowania blokady. Należy zanotować adres serwera, port używany do logowania, wybrany tryb transferu, dokładny komunikat klienta oraz moment, w którym połączenie zostaje przerwane. Przydatne jest sprawdzenie dzienników zapory i aplikacji FTP, ponieważ odrzucenie pakietu, odmowa uwierzytelnienia i brak odpowiedzi serwera są różnymi zdarzeniami wymagającymi innych działań.

Na komputerze serwera trzeba sprawdzić, czy proces FTP nasłuchuje na oczekiwanym porcie oraz czy usługa jest związana z właściwym interfejsem sieciowym. Następnie należy przeanalizować reguły zapory systemowej: profil sieci, zakres adresów, protokół, kierunek ruchu i zakres portów danych. Przy konfiguracji pasywnej należy ustalić zamknięty, przewidywalny zakres portów i zastosować go konsekwentnie w usłudze, zaporze oraz routerze. Wszelkie zmiany powinny być zapisywane, aby można było łatwo wrócić do ostatniej działającej konfiguracji.

Po stronie klienta warto porównać tryb aktywny i pasywny, sprawdzić ustawienia ochrony połączeń oraz wykonać próbę z inną siecią. Nie powinno się na stałe wyłączać zapory ani ochrony antywirusowej. Jeżeli testowe wyłączenie jest konieczne do potwierdzenia hipotezy, powinno trwać krótko, odbywać się w kontrolowanym środowisku i zostać zakończone natychmiast po sprawdzeniu. Lepszym rozwiązaniem jest utworzenie precyzyjnej reguły dla konkretnej aplikacji, portu lub adresu niż pozostawienie całego ruchu bez kontroli.

W przypadku połączeń wystawionych do internetu należy rozważyć ograniczenie dostępu do ustalonych adresów, wymuszenie szyfrowania, stosowanie silnych danych uwierzytelniających i regularne przeglądanie logów. Sama dostępność portu nie potwierdza poprawnej konfiguracji. Równie ważne są uprawnienia katalogów, możliwość zapisu, ograniczenie dostępu anonimowego oraz zabezpieczenie przed wielokrotnymi próbami logowania.

Kiedy zgłosić zaporę blokującą serwer FTP do serwisu

Do serwisu warto zgłosić problem, gdy połączenie działa tylko w części, konfiguracja obejmuje kilka urządzeń, nie można ustalić miejsca blokady albo zmiana reguł wpływa na inne usługi sieciowe. Pomoc jest szczególnie przydatna wtedy, gdy potrzebna jest analiza logów, ustawień routera, profilu zapory i parametrów trybu pasywnego bez przypadkowego osłabiania ochrony. Przed przekazaniem urządzenia dobrze przygotować dokładny komunikat błędu, nazwę używanego programu, informację o tym, czy działa logowanie, oraz opis czynności wykonanych przed wystąpieniem problemu.

W Warszawie diagnozę i konfigurację problemów z komputerami oraz urządzeniami sieciowymi można zlecić firmie Warszawskie Pogotowie Komputerowe 24/7. Naprawy są z reguły wykonywane do 3 dni roboczych, zależnie od zakresu prac i dostępności urządzenia.