FTP登录故障 路由竟是元凶

很多时候作为网络管理员的我们都会遇到这样或那样的奇怪网络故障，不过就个人感觉来说网络故障都是有办法可循的。最近笔者就遇到了一个奇怪的FTP登录故障，下面我们就来亲身经历排查故障的全过程，希望本文能对各位读者有所帮助。

一、故障初现简介

笔者负责教育城域网的维护工作，由于笔者所在部分处于核心层，所有区域学校都通过光纤连接到主设备上。网络内有很多服务器在运行，所有服务器都处于一个网段。

最近笔者在服务器上发现了一个问题，那就是在服务器上网一切正常，访问外部网站没有任何问题，但是登录内网FTP资源时总是无法连接。不管是使用主动模式还是被动模式在使用FTP登录内网站点时都出现“列表错误”的提示。即使使用IE浏览器也是如此，出现用户名与密码登录环节后就“假死”而没有任何响应。笔者在服务器上ping目的FTP服务器地址超时，tracert目的FTP服务器地址也是“request timed out”错误。(如图1)

　　图1

二、初步排查

为什么上网正常但是访问FTP服务器却出错呢?为了进一步缩小问题范围，笔者尝试访问外部网络的FTP服务器，结果发现外部网络FTP服务器的访问一切正常，只有当笔者在服务器上访问内部FTP时才出现“列表错误”的提示。(如图2)

　　图2

那么该如何实现服务器上的数据共享呢?笔者首先找到了一个替代办法，通过设置远程桌面连接参数来实现服务器与本机的驱动器共享，在远程桌面连接程序的“本地资源”标签下点“详细信息”按钮，接下来将“驱动器”选中，这样当我们通过远程桌面连接远程服务器后就能够在我的电脑中看到本机的驱动器被映射到了远程服务器上。(如图3)

　　图3

映射完毕我们可以在服务器上的“我的电脑”直接访问各个网络磁盘，复制文件速度还是非常快的。(如图4)

　　图4

三、进阶诊断

不过仅仅通过这种磁盘映射解决数据共享只是治标不治本，为什么内网FTP服务器无法顺利访问呢?一般来说都有可能是由于端口或协议过滤造成的，笔者决定从核心设备上下手来解决，通过访问核心路由交换设备查询具体配置完成。

在核心路由交换设备中使用dis cur命令查询配置信息果然发现了很多条访问控制列表ACL，其中就有针对服务器池的过滤规则，在这里笔者发现针对服务器地址池的种种限制，也许问题就出现于此。(如图5)

　　图5

接下来笔者查询应用端口，发现地址池连接的是VLAN 101，而且相应的过滤规则也应用到了此接口。(如图6)

　　图6

在核心设备上tracert FTP服务器地址依旧没有响应，找不到任何路径，而tracert 有问题的服务器IP地址也是如此，只有当ping 该网段网关地址时才一切畅通无阻。看来问题不仅仅出现在访问控制列表，因为如果是ACL起作用至少可以能够tracert出相应的路径来，只是到一半中断而已。(如图7)

　　图7

笔者继续查询路由信息，经过反复查询终于发现针对服务器地址池的路由信息没有添加到路由表中，看来这就是问题所在。(如图8)

　　图8

笔者手工添加完静态路由并取消ACL访问控制列表过滤后问题解决，服务器上可以顺利访问内网FTP服务器。