FTPS 目錄列表逾時怎樣排查？區分登入、數據連接與 TLS

FTPS 目錄列表逾時而登入成功時，通常要另查數據連接：登入使用控制連接，目錄列表經另一條連接傳送。先保存錯誤訊息，確認伺服器支援的 FTPS 模式，再對獲准目錄做唯讀測試，不上載或刪除檔案。

關鍵要點：

• 登入成功不代表數據連接埠可達，亦不代表數據通道 TLS 成功。
• FTPS、明文 FTP 和 SFTP 的連接模型不同，排查方法不能混用。
• 更改模式前，先核對被動地址及伺服器的數據連接埠範圍。
• 保留憑證驗證，列目錄正常後再下載小檔案。

步驟 1：FTPS 目錄列表逾時從哪個階段開始？

記錄客戶端版本、作業系統、伺服器域名、連接埠、加密模式、目錄、完整錯誤及時間。選擇帳戶有權列出的目錄，收集一次可重現結果時暫停自動重試。單憑空白檔案面板截圖，無法區分身份驗證、數據連接建立或 TLS 協商失敗。

向服務負責人確認協議。FTPS 是以 TLS 保護的 FTP；SFTP 使用 SSH，屬另一種協議。顯式和隱式 FTPS 可能需要不同設定，不應看到「安全連接」就猜模式與連接埠；RFC 4217 分別說明控制與數據保護。［1］

在本機查看工作階段日誌，找出最後成功的階段。公開報告不要包含私人域名、帳戶、路徑或憑據。若多個應用程式同時出問題，可先按裝置與應用基本檢查排查，再回到 FTPS。

登入前失敗，查域名、連接、TLS 或身份驗證；登入後、列表前失敗，查數據路徑或操作。明確的權限拒絕應交伺服器負責人核對授權，不靠反覆轉換網絡處理。

步驟 2：FTPS 數據連接為何在登入成功後失敗？

FTP 以控制連接傳送命令，目錄列表與檔案內容則另用數據連接。被動模式由客戶端向伺服器建立第二條連接，主動模式由伺服器連回客戶端；WinSCP 官方說明區分兩種方向，並預設使用被動模式。［2］

圖示說明協議角色，並非從你的伺服器擷取封包。控制通道完成登入，不保證數據連接埠可達或數據通道 TLS 成功；數據連接打開，也不代表帳戶有權列出所有目錄。

請負責人提供獲准測試目錄，以同一帳戶與故障路徑比較。若一個目錄正常，另一個明確拒絕權限，就保留正常網絡設定，集中查該目錄授權。

不要把雙連接問題當作一般速度問題。TCP 傳輸原理可提供背景，但此次需要實際控制回應與數據結果。記錄數據連接是未建立、於 TLS 階段關閉，還是連接後沒有列表。

步驟 3：FTPS 被動模式提供的地址在這條網絡可用嗎？

查看被動回應及客戶端實際嘗試的端點。PASV 提供地址與連接埠；EPSV 只提供連接埠，沿用控制連接的伺服器地址，避免在回應另嵌地址。RFC 2428 定義這個 EPSV 模型。［3］不要自行猜埠號或強制使用未確認地址。

位於 NAT 後的伺服器可能公布外部客戶端到達不了的內部地址。WinSCP 文件說明，客戶端可辨識部分無法路由的被動地址，改用控制連接地址。［2］這是診斷線索，不是整套伺服器設定正確的證明。

這是 WinSCP 官方 Windows 設定示意，並非你的伺服器成功工作階段。按所用版本找出對應控制，獲准更改前保存原值，保留域名與 TLS 要求。［4］

私人服務若要求企業網絡，應留在該批准路徑。消費 VPN 不提供通往企業私人伺服器的路由。經批准渠道向負責人提供公布端點與實際嘗試端點，請其檢查被動設定。

步驟 4：伺服器的數據連接埠有正確放行嗎？

請管理員確認被動數據連接埠範圍，並核對防火牆和 NAT 是否映射同一範圍。只放行命令連接埠，可令登入成功但目錄列表失敗；WinSCP 官方指引明確區分命令埠與數據埠範圍。［2］

不要為一次測試在本機或路由器開放所有連接埠。伺服器由服務負責人維護，企業防火牆由網絡管理員維護；有用的請求應限定實際嘗試埠號、時間及批准設定。

FTPS 的控制流量經加密後，原本檢查明文 FTP 命令的網絡輔助功能無法以相同方式檢查加密命令。［2］保留加密，按部署文件修正伺服器與防火牆，不降級至明文 FTP。

連接埠轉發的界限可幫你區分伺服器公開被動埠與 VPN 計劃功能。不要假設消費 VPN 提供入站轉發。部署確實需要主動模式時，先取得負責人提供的客戶端要求，不把切換模式當作通用修復。

步驟 5：數據通道在 TLS 驗證階段失敗嗎？

查看數據連接建立後的日誌。憑證警告、握手失敗與數據保護設定不一致，要各自調查。RFC 4217 用 PBSZ、PROT 協商數據通道保護；只保護登入通道，不等於數據保護完整。［1］

核對服務提供的域名、憑證錯誤、客戶端時間及伺服器支援的 TLS 設定。身份或簽發者與預期不同時停止，交負責人處理，不能因曾經登入成功就接受未知憑證。

報告分開記錄身份驗證與目錄列表結果。「登入後數據通道 TLS 失敗」比「VPN 很慢」具體。TLS 明確被拒絕，亦不同於連接埠完全無回應。

按憑證警告檢查流程說明為何轉換路徑不等於可以繞過警告。不要停用 TLS、改用未保護數據模式，或以 IP 取代域名避開驗證；端點與信任設定應由管理員修正。

步驟 6：批准的另一條路徑會改變列表結果嗎？

確認主機、憑據、被動設定及憑證要求後才比較路徑。保持裝置、FTPS 客戶端、伺服器、目錄、加密與被動設定不變；政策許可時，直連列目錄一次，再以另一條路徑一次，記錄端點與最後成功階段。

在執行 FTPS 客戶端的 Windows 電腦安裝 AethoVPN 官方 Windows 套件，桌面連接使用 Pro 或 Premium。選擇 App 當前可用的鄰近位置，開啟全局模式，先重做目錄列表，再下載無敏感內容的小檔案。第二條出站路徑可用來比較數據連接，但錯誤 PASV 地址、伺服器埠映射、目錄權限及憑證問題仍要由相應負責人處理。如需進行這項連接對照，可登記並開始 3 天免費 Pro 試用，試用每人一次，由登記時計算。

結果有變化，只能支持這台客戶端、這條路徑及該時間點的有限結論。兩條路徑均在同一設定或授權階段失敗，就停止轉換出口；只有一條失敗，則把兩份階段紀錄交網絡與服務負責人，不宣稱普遍修復。

VPN 連線驗證方法可協助確認隧道，但瀏覽器 IP 結果不能代替 FTPS 列目錄。需要企業隧道或固定來源白名單的私人端點，未獲管理員批准不做此對照。

步驟 7：怎樣證明問題已解決？

先確認測試目錄及名稱對應預期伺服器位置，再將一個獲准小檔案下載到新的本機測試位置。安全開啟並比較已知內容，不從上載或正式歸檔開始。

結果	後續動作
登入失敗	回到控制連接、TLS 或身份驗證
能登入，數據連接未建立	核對被動端點與批准的數據埠
數據連接建立，TLS 失敗	保存警告，交端點負責人處理
目錄明確拒絕存取	處理帳戶或目錄權限
列目錄成功，下載停滯	另查該次檔案傳輸
列目錄與小檔案下載成功	記錄條件，保留正常設定

目錄可列出但大檔案下載失敗，使用按檔案大小判斷傳輸故障。不要把「列表正常」擴大成「所有傳輸可靠」；有文件記錄的設定修正後，只重做必要的小範圍檢查。

步驟 8：應向管理員提供甚麼證據？

提供客戶端與版本、FTPS 模式、伺服器、時區、時間、獲准目錄、實際被動端點、TLS 結果及路徑比較。附上由登入成功轉至列表失敗的已遮蔽敏感資料日誌片段，不提交未審閱的整份工作階段歸檔。

隱去密碼、令牌、私人檔案名稱與客戶資料，原始日誌私下保存。若多名用戶在同一端點失敗，先請負責人對照伺服器日誌，不要求所有用戶更改設定。

服務實際使用 SFTP 時，轉到SSH 檔案傳輸中斷流程，其恢復與主機密鑰驗證屬另一種協議。排查後還原臨時設定，只保留責任人及證據明確的修正。

總結

• 找出登入後第一個失敗階段。
• 分開核對被動地址、數據埠與數據通道 TLS。
• 保留安全驗證，只比較批准路徑。
• 驗證列目錄與一次安全下載，提交已審閱證據。

常見問題

為何 FTPS 可以登入，資料夾卻一直空白？

控制連接可先完成身份驗證，第二條數據連接隨後才建立。查看日誌以區分數據端點不可達、TLS 失敗和目錄權限。［1］［2］

主動模式一定比較好嗎？

主動模式改變數據連接的發起方向，並增加客戶端可達性要求。只有負責人說明部署需要時才使用，不當作通用修復。［2］

EPSV 可以解決所有被動模式問題嗎？

EPSV 避免另外提供伺服器地址，但數據連接埠仍須可達。權限、TLS 設定與防火牆政策不會自動修正。［3］

可以停用 TLS 測試列表嗎？

應保留 TLS。明文測試成功不能驗證受保護的 FTPS 設定，還可能暴露憑據或傳輸資料。

VPN 會修正錯誤 PASV 地址嗎？

另一條路徑可能改變可達性，但公布端點仍由伺服器負責。修正無效被動設定，不把依賴某條路線的暫時繞行當成最終修復。

列目錄成功能證明大檔案上載安全嗎？

列目錄只驗證當前條件的一次讀取。上載授權、儲存、檔案完整性及長傳輸表現，都要各自檢查才進入正式使用。

公司禁止直連測試怎樣處理？

保留指定網絡路徑，請管理員提供批准的比較方法。無法取得直連基線只是證據限制，不授權繞過政策。

**免責聲明：**只測試獲准伺服器與檔案，遵守當地法律及機構政策。本文不授權削弱 TLS、開放連接埠或更改伺服器存取控制。

來源

1. IETF — RFC 4217: Securing FTP with TLS — https://www.rfc-editor.org/rfc/rfc4217
2. WinSCP — FTP Connection Modes (Active vs. Passive) — https://winscp.net/eng/docs/ftp_modes
3. IETF — RFC 2428: FTP Extensions for IPv6 and NATs — https://www.rfc-editor.org/rfc/rfc2428
4. WinSCP — FTP Page (Advanced Site Settings Dialog) — https://winscp.net/eng/docs/ui_login_ftp

Sources checked 2026 年 10 月 7 日。

延伸閱讀

• 排查 SSH 檔案傳輸中斷
• 區分列目錄與下載成功
• 理解連接埠轉發的界限
• 正確處理憑證警告
• 獨立確認 VPN 連線