提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

四、高阶排查:FTP ALG不生效案例分析

|

问题描述

AF做出口NAT,内网有FTP服务器,通过AF做了端口映射,通过FTP客户端能登录,但是无法访问到目录

告警信息

现象如图,FTP客户端能连接上,但是看不到FTP目录


有效排查步骤

1、了解网络拓扑图
客户端192.168.20.114, eth8口的IP 192.168.20.1做了DNAT映射给了eth3口的FTP服务器192.168.126.60



2、了解FTP应用
FTP采用的是非标准端口5111

3、检查AF相关配置
接口配置

DNAT配置发现都是正常的
4、AF内外网口抓取对应数据包分析
在AF的eth8口、eth3口同时抓取对应数据包
FTP标准端口是21,wireshark默认是分析标准端口,非标准端口先要进行解码




解码后,能看出对应FTP是用的被动模式



根据FTP被动模式协议分析:
被动模式(PASV)的连接过程是客户端程序首先为自己随机分配一个TCP端口,使用这个端口向服务器的FTP端口发出连接请求,服务器接受请求之后会建立一条控制链路,然后客户端程序发出PASV命令,要求服务器采用PASV模式建立数据连接,服务器便为自己随机分配一个数据通道端口,并将这个端口号告诉客户端程序(通常格式为:Entering Passive Mode (A1,A2,A3,A4,P1,P2),其中A1,A2,A3,A4为服务器IP地址,P1,P2为随机端口号)。当需要传送数据时,客户端程序采用另一个随机端口向服务器提供的数据通道端口发送连接请求,请求被接受之后便开始传输数据,数据链路通道打开,被动模式下,需要做ALG处理的是服务器发出的Pasv response报文
看3口抓到的服务器回包的报文


对比8口抓的AF NAT后的包

FTP协议字段的IP没有被转成NAT的接口IP还是真实服务器的IP,这样客户端收到对应包后会去访问真实服务器的IP,导致数据通道建立不成功,从而访问不到FTP的目录
5、根据分析结果调整AF的ALG配置
从数据包分析,能看出FTP没有ALG,检查【网络参数】配置,发现FTP端口没有添加5111,添加对应端口后在进行访问就正常了



解决方案

FTP是用的被动模式,采用非标准端口5111端口,需要在AF的网络参数添加上对应的端口

我要分享
文档编号: 216557
作者: admin
更新时间: 2023-01-05 17:29
适用版本: