提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

【AD】四层虚拟服务发布加密的FTP服务器,数据连接失败

|

问题描述

AD四层虚拟服务发布加密的FTP服务器(服务器本身是密文),客户端出现数据连接失败。

告警信息

FTP使用的是被动连接方式,数据连接由客户端发起,FTP软件端提示无法建立数据连接,如下:


有效排查步骤

1、服务器本身是SSL加密的连接,则AD进行ALG识别,AD需要发布四层虚拟服务并放通全部TCP端口,使之FTP被动模式下客户端发起的数据连接SYN包AD能够转发到节点服务器;同时需要在FTP服务器设置被动的地址为AD的虚拟服务发布的地址,告诉客户端数据连接的IP继续连接AD的虚拟服务发布地址,如下图:


2、配置完毕后,客户端仍然无法建立数据连接,AD抓包查看,收到的包和转发的包对比正常,从交互的数据包看,客户端发起VIP地址50667端口的SYN包没有SYN,ACK应答,AD转发了SYN包,该出没有应答,FTP数据连接建立失败使用异常。 PS:如何判断是数据连接的?上图FTP服务器设置了被动连接的端口范围为50000~51000可以看出来。


AD转发到FTP服务器,没有回包


3、进一步排查AD到服务器之间的网络以及服务器是否有收到包,最终定位到SYN包被中间防火墙拦截,防火墙放通后,数据连接建立正常。

根因

加密的FTP业务发布虚拟服务需要发布四层TCP,FTP配置了被动连接地址为AD后,数据连接被中间防火墙拦截导致数据连接失败

解决方案

防火墙放通数据连接的端口,问题得到解决

建议与总结

加密型FTP业务发布的端口必须包含控制连接端口和数据连接端口,数据连接端口如果服务器有设置,例如服务器被动模式设置了端口范围,则虚拟服务端口范围需要包含这些,建议AD发布全端口即可

我要分享
文档编号: 194871
作者: admin
更新时间: 2023-04-04 17:47
适用版本: