Problemas con SFTP y pfsense

[snrcl]

Hola,

Estoy probando un SFTP a traves de pfsense, pero no puedo lograr realizar un LIST.
Puedo autenticarme contra el servidor, pero para poder listar, me arroja estos errores :

Modo Activo
Respuesta: 200 Port command successful
Comando: LIST
Respuesta: 150 Opening data channel for directory list.
Respuesta: 425 Can't open data connection.
Error: Error al recuperar el listado del directorio

Modo Pasivo
Respuesta: 200 Type set to I
Comando: PASV
Respuesta: 227 Entering Passive Mode (10,0,10,11,4,30)
Estado: El servidor envió una respuesta pasiva con una dirección no enrutable. Usando en su lugar la dirección del servidor.
Comando: LIST
Respuesta: 425 Can't open data connection.
Error: Error al recuperar el listado del directorio

Tengo abierto el puerto 990 TCP/UDP solamente.

Estoy utilizando el cliente y servidor FileZilla.

Saludos, Sebastian

[bellera]

¡Hola!

¿SFTP o FTP?

SFTP es una conexión SSH que se emplea para hacer FTP. Y normalmente suele ser por el puerto 22.

Modo Activo y Modo Pasivo me suenan a servicio FTP, no SFTP.

¿Puedes aclarar el tema? ¿Si estás con realmente con SFTP o con FTP?

Saludos,

Josep Pujadas

[snrcl]

Hola,

Estoy usando S-FTP. Este esta montado en un FileZilla Server, e intento conectarme mediante el FileZilla Client, y por ende, solo habilite el 990 TCP/UDP que por defecto utiliza FileZilla Server.

Realicé un NAT de puerto mediante una VIP, no se si sea ese el problema (he leido que el S/FTP funciona sobre la IP de la interfaz y no sobre VIP's)

Eso seria, Saludos!!

[snrcl]

Josep,

Mira, realicé un NAT 1:1 en mi pfsense, pero me sigue arrojando este error =/

Estado: Conectando a xx.xx.xx.88:990…
Estado: Conexión establecida, inicializando TLS...
Estado: Verificando certificado...
Respuesta: 220 DIC-XX
Comando: USER pruebaftp
Estado: Conexión TLS/SSL establecida, esperando el mensaje de bienvenida...
Respuesta: 331 Password required for pruebaftp
Comando: PASS ***********
Respuesta: 230 Logged on
Comando: PBSZ 0
Respuesta: 200 PBSZ=0
Comando: PROT P
Respuesta: 200 Protection level set to P
Estado: Conectado
Estado: Recuperando el listado del directorio...
Comando: PWD
Respuesta: 257 "/" is current directory.
Comando: TYPE I
Respuesta: 200 Type set to I
Comando: PASV
Respuesta: 227 Entering Passive Mode (xx,xx,xx,xx,7,122)
Estado: El servidor envió una respuesta pasiva con una dirección no enrutable. Usando en su lugar la dirección del servidor.
Comando: LIST
Respuesta: 425 Can't open data connection.
Error: Error al recuperar el listado del directorio

Que podría estar ocurriendo?

Abri el puerto 990 TCP/UDP, y desde la DMZ  el equipo que es el server FTP permite realizar conexiones any any a cualquier parte y aun asi no funciona

Saludos!! y gracias!

[bellera]

¡Hola!

Siento el retraso en la respuesta … He estado "ausente" unos días ...

Creo que no estás empleando SFTP (FTP sobre SSH). ¿No estarás con FTP sobre SSL/TLS, también llamado FTPS?

Si es así estás con el caso de un servidor FTP detrás de un cortafuegos … tema que ha sido tratado en ocasiones anteriores. Creo que había una solución. Busca por FTP en el fórum (casillero Search en la parte superior derecha), aunque lo mejor es pensar en SSH para hacer FTP (SFTP).

Además, en http://wiki.filezilla-project.org/FileZilla_FTP_Server parecen decir que nada de SFTP:

Support for SFTP is probably not planned, as there are large technical difficulties involved with getting SSH to work correctly on Windows.

Fíjate en el diálogo entre mi ordenador de casa (cliente FileZilla) y un servidor SFTP (SSH) detrás de un pfSense:

Estado: Conectando a mi_servidor_de_ejemplo:22…
Respuesta: fzSftp started
Comando: open "mi_usuario@mi_servidor_de_ejemplo" 22
Comando: Pass: ********
Estado: Connected to mi_servidor_de_ejemplo
Estado: Recuperando el listado del directorio...
Comando: pwd
Respuesta: Current directory is: "/"
Comando: ls
Estado: Listing directory /
Estado: Calculando compensación de la zona horaria del servidor...
Comando: mtime "www"
Respuesta: 1214935671
Estado: Compensaciones de zona horaria: Servidor: 7149 segundos. Local: 7200 segundos. Diferencia: 51 segundos.
Estado: Directorio listado correctamente

Es una conexión SSH. No tiene nada de FTP (aunque se emplee para ello) …

Saludos,

Josep Pujadas

[aembid]

hola

hace poco me e integrado a esta comunidad y he aprendido mucho y le soluciono las dudas y trato de ayudar, pero de lo que hablan ak no entiendo nada porfavor si tuvieran algun tutorial o explicarlo mas en español para los que no sabemos tanto

grasias

[bellera]

¡Hola!

Explicación para mis alumnos, traducida de http://www.bellera.cat/sftp/introduccio.html

SFTP (Secure File Transfert Protocol) es una versión segura de acceso FTP (File Transfert Protocol).

El acceso al servidor se realiza a través del protocolo SSH2 (Secure SHell 2), en el cual los datos del usuario (nombre y clave de acceso) viajan de forma encriptada. Los ficheros que se suben al servidor (upload) y los ficheros que se bajan (download) del servidor también se transmiten de forma encriptada. Todo esto garantiza la privacidad de las transmisiones.

El diálogo con el servidor se realiza a través de su puerto 22 (el empleado para SSH2) y no a través de los puertos 21 (control) y 20 (datos), normalmente empleados para FTP.

Hace falta no confundir SFTP con FTPS. Este último trabaja empleando los protocolos TLS (Transfert Layer Security) o SSL (Secure Socket Layer) en lugar de SSH 2. A la vez, FTPS emplea los puertos 21 y 20 (igual que FTP) o bien los puertos 989 (control) y 990 (datos). Si usa los puertos 21 y 20 se dice que trabaja en SSL explícito y cuando emplea los puertos 989 y 990 se habla de SSL implícito.

Las transferencias de ficheros (FTP) pueden hacerse en modo activo o pasivo. La mayoría de servidores admiten los dos métodos. Decimos que la transferencia es activa cuando es el ordenador cliente quien da las órdenes. Decimos que es pasiva cuando es el servidor el que toma el control.

Para poder hacer FTP seguro (SFTP) desde el nuestro ordenador necesitaremos un programa que soporte este tipo de protocolo. Desgraciadamente esta es una cuestión novedosa (11/04/2003) y las posibilidades de conexión que nos dan los programas de edición de páginas web como DreamWeaver o FrontPage no tienen esta opción. Tampoco lo ofrecen la mayoría de programas FTP del mercado.

Afortunadamente disponemos de un programa FTP hecho en código libre (uso gratuito), el cual soporta FTP, SFTP y FTPS. Este programa se denomina FileZilla y es el que tendremos que instalar en nuestro ordenador.

También puede resultarte interesante leer http://es.wikipedia.org/wiki/File_Transfer_Protocol …

Al manejar varios puertos de forma simultánea FTP suele ser complicado de gestionar a nivel de cortafuegos. Busca por FTP en el fórum (casillero Search en la parte superior derecha) ...

Saludos,

Josep Pujadas

[aembid]

Hola josep

disculapa mi que no sepa pero es paresido al cut ftp ???

saludos

andres embid

[bellera]

¡Hola!

Por lo que sé CuteFTP es un cliente FTP de pago. FileZilla es un cliente FTP de código libre.

Hace años había empleado alguna vez CuteFTP y otros clientes FTP. Pero desde que descubrí FileZilla …

Saludos,

Josep Pujadas

[dj_filo]

Buenas.
He experimentado exactamente el mismo problema operando también con el cliente y servidor de Filezilla, y logré resolverlo.
La cuestión es que al abrir el puerto NAT en el router, sólo había abierto uno (el de control) pero es necesario abrir un segundo puerto por donde tendrán lugar las transferencias y los listados. Abri un segundo puerto al azar entre 1000 y 5000 como se indica en el artículo de la wikipedia citado para las conexiones pasivas en el lado del servidor.

Así mismo en los ajustes del Server, en Pasive Mode Settings establecí la dirección IP externa y el puerto que tiene que escuchar (use custom port range) y puse el mismo que abrí en el router en ambas casillas. Así logre por fin conectar desde fuera y superar ese error sin por otra parte comprometer la seguridad apenas.

Espero que esto te sirva.

[tocotoco]

Hola a todos , lo del ftp pasivo de momento me funciona.
NAT contra la ip del servidor ftp como en la primera captura y luego en interfaces WAN desmarcar la opcion de Ftp-proxy como en la captura siguiente.
No se si eso esta bien pero de momento funciona , bellera a tu que et sembla?

Saludos