web-dev-qa-db-ja.com

IIS 7.5 FTPS外部アクセス-534ポリシーにはSSLが必要

SSLを必要とするFTPサイトをセットアップしましたが、外部に接続しようとするとエラーが発生します。

220 Microsoft FTP Service 534ポリシーにはSSLが必要です。

わかっています-設定しました！サイトからSSL証明書を取得してログオンできないのはなぜですか？

（ちなみに、SSLが許可するがは必要ないすべてのチュートリアルに注意してください-これは問題を解決しますが、SSLが原因です使用されていません！）.

FTPS（FTP over SSL）をサポートするクライアントが必要である可能性があり、Windows ExplorerはIEを使用しません。ただし、FileZillaとWinSCPを試してみると、少し時間がかかりますがハングします。サーバーからの応答を期待するTLS/SSLネゴシエーションで...

UPDATE：私が試しました（from： http://learn.iis.net/page.aspx/309/configuring-ftp-ファイアウォール設定/ ）：

  1. FTPサービスのパッシブポート範囲を構成します。
  2. 特定のFTPサイトの外部IPv4アドレスを構成します。
  3. ファイアウォールを構成して、FTPサービスが開いているすべてのポートでリッスンできるようにします。
  4. WindowsファイアウォールがFTPトラフィックをブロックしないように、ステートフルFTPフィルタリングを無効にします。

それでも私は（FileZillaでアクティブとパッシブの両方を試してみます）：

Status: Connecting to 203.x.x.x:21...
Status: Connection established, waiting for welcome message...
Response:   220 Microsoft FTP Service
Command:    AUTH TLS
Response:   234 AUTH command ok. Expecting TLS Negotiation.
Status: Initializing TLS...
Error:  Connection timed out
Error:  Could not connect to server

Windowsファイアウォールのログには何も言うことはありません。

UPDATE2：ファイアウォールをオフにしても問題は解決しません。

非常に単純なものを動作させるのがどれほど難しいか、ドキュメントに従っても動作しないことは信じられません。

UPDATE3：ループバックを介してローカルに接続するFileZillaを実行すると、アクティブモードで動作し、パッシブモードでは次のようになります。

Command:    LIST
Response:   150 Opening BINARY mode data connection.
Error:  GnuTLS error -53: Error in the Push function.

両端でファイアウォールをオフにしても、クライアントに接続できず、上記と同じエラーが発生します。

windows-server-2008iis-7.5ftps
3
user55029

FileZillaまたはWinSCPが必要であることは正しいです。基本的に、これらのFTP設定は、ポート21を介して通常の方法を使用しようとするユーザーはすべて拒否する必要があり、別のタイプの接続を再確立しようとしないことを示しています。したがって、IEであり、コマンドラインオプションは機能しません。

良いテストは、FTPサーバーにローカルにFileZillaをインストールするか、ファイアウォールを介さない別のサーバーにインストールすることです。そこで動作することを確認し、動作することを確認してから、ファイアウォールポリシーを調べて通過を許可します。 FTPSに必要な動的ポートをブロックするファイアウォールルールを再度実行している可能性があります。

FileZillaで、「明示的なFTP over TLS」を使用し、アクティブモードとパッシブモードを使用してテストします。アクティブとパッシブには異なるファイアウォールポートが必要です。

2
Scott Forsyth - MVP

私たちの境界セキュリティデバイスがFTP接続で少し役に立ちすぎたという点で、私が過去に経験したのと同じような問題があると思います。つまり、最新のエンタープライズUTMデバイスを使用している場合は、TCP/990をFTPサイトにバインドし、FTPSを使用している場合はファイアウォールを通過できるようにします。 UTMの「FTPヘルパー」サービスは、TCP/21を通過する暗号化されていないトラフィックを予期しているため、邪魔になる可能性があります。

私は問題と解決策を説明するブログエントリを書きました： http://www.lewisroberts.com/2010/08/06/scripting-ftpes-explicit-tlsssl-with-curl/

IIS=内でパッシブFTPポート範囲を構成し、ファイアウォールでそれらのポートを開く必要があります。IISで、最上位ノード（サーバー名）をクリックし、[FTPファイアウォールサポート]をクリックします。そこで、ファイアウォールで開いてFTPサーバーに転送する必要があるポートの範囲。

おそらくcURLに関する部分は無視できますが、ちょっと、将来的には役立つかもしれません！

HTH

-ルイス

1
Lewis

確認するには：FTPSをサポートするクライアントが必要です。 Internet ExplorerのWinInet、およびWindowsのコマンドラインFTP.EXEはサポートしていません。

1
TristanK

  1. サーバーレベルのFTP SSL設定でSSL証明書を構成し、サイトレベルでも同じであることを確認してください。何らかの理由でMSサイト（ https://learn.iis.net/page.aspx/304/using-ftp-over-ssl-in-iis-7/ ）は、証明書を構成するように示していますFTP SSL設定はサイトでのみ行われ、サーバーとサイトの両方では行われません。このブログは私を助けました： http://prestondev.wordpress.com/2012/02/24/iis-ftp-7-5-ftp-over-ssl-ftps-setup/

  2. 自己署名証明書を使用していたため、FireZillaで「TLS経由の明示的なFTPが必要」を設定する必要がありました。次に、ホスト名が証明書と一致しないというメッセージボックスが表示されましたが、無視しました。

  3. これはファイアウォールやアクティブ/パッシブの問題ではありません。ログには、ファイアウォールを介して制御チャネルを確立できることが示されています。次に、制御チャネル上にいる間にSSLをネゴシエートして認証します。それが成功したら、構成に応じて、データチャネルをアクティブモードまたはパッシブモードでセットアップします。ログは次のようになります...

    Status: Connecting to x.y.z.91:21...
Status: Connection established, waiting for welcome message...
Response:   220 Microsoft FTP Service
Command:    AUTH TLS
Response:   234 AUTH command ok. Expecting TLS Negotiation.
Status: Initializing TLS...
Status: Verifying certificate...
Command:    USER ftp.myserver.com|ftpuser
Status: TLS/SSL connection established.
Response:   331 Password required for ftp.myserver.com|ftpuser.
Command:    PASS *********
Response:   230 User logged in.
Command:    OPTS UTF8 ON
Response:   200 OPTS UTF8 command successful - UTF8 encoding now ON.
Command:    PBSZ 0
Response:   200 PBSZ command successful.
Command:    PROT P
Response:   200 PROT command successful.
Status: Connected
Status: Retrieving directory listing...
Command:    PWD
Response:   257 "/" is current directory.
Command:    TYPE I
Response:   200 Type set to I.
Command:    PASV
Response:   227 Entering Passive Mode (x,y,z,91,194,245).
Command:    LIST
Response:   150 Opening BINARY mode data connection.
...

幸運を！

0
SmallBizGuy

FTPクライアント接続でClear Command Channelサポートを有効にするのはどうですか？

0
mahnsc

この投稿は私の以前の投稿と一緒ですが、もっと情報を含めたいと思います。以下に、さらにテストできるいくつかの手順を示します（更新3の後）。

以下のすべてについて、localhost FileZillaを使用します

  • パッシブポートの設定を元に戻し、ローカルマシンでテストしてください。ローカルマシンは、アクティブモードとパッシブモードで接続できる必要があります。
  • SSLの設定を[必須]ではなく[許可]に設定してみてください。
  • もう一度新しいFTPアカウントを設定してみて、それがどのように機能するかを確認してください。
  • 念のため、FTPESを使用していますか？

要約すると、設定は次のようになります。-FTP認証。匿名無効、基本有効。 -FTP許可ルール。すべてを許可するルールを作成し、一時的なルールを削除します...テスト用です。ある時点で、承認ルールのユーザーの特定の組み合わせでは機能しないバグがありましたが、アクセスが拒否されたため、問題はないと思われました。 -これを絞り込むまで、Windowsユーザーアカウント（対IISユーザー））でテストしてください-WindowsユーザーがFTPルートフォルダーにアクセスできることを確認してください-FTP SSL設定はテストの許可または要求（ライブ時に要求）。SSL証明書が有効であることを確認してください。別の自己署名証明書でテストして除外することができます...ただし、アクティブモードで動作するため、問題にはならない可能性があります。-他のすべてが機能するようになるまで（サイトバインディングで）FTPヘッダーを使用しないでください-FTPユーザーの分離：3番目のオプションは多くの状況で有効ですが、一番上のオプションはテストに適したシンプルなオプションです。

私はまだパッシブftpポートまたはファイアウォールと何かに関係していると私は信じています。そのため、上記の手順の多くは役に立ちませんが、それらを確認しても害はありません。

クライアントマシンとFTPサーバーの間でVPNなどを使用していますか？これはパッシブFTPでも混乱する可能性があります。

0
Scott Forsyth - MVP