Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Некоректно работают правила firewall

    Scheduled Pinned Locked Moved Russian
    48 Posts 6 Posters 12.5k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M
      muxas
      last edited by

      С FTP тоже нашел временное решение, сервер работает в пассивном режиме, поэтому временно для клиентов LAN разрешил доступ по портам 10000-65535. Но почему раньше fpt отлично работал без этого правила? На стороне сервера точно знаю ни чего не менялось, то есть проблема в pf. И появилась проблема с lightsquid, он не хочет запускаться, ругается на perl. Комманда Pkg_add -r perl не запускается, пишет command not found. Как установить perl в систему?

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by

        С FTP тоже нашел временное решение, сервер работает в пассивном режиме, поэтому временно для клиентов LAN разрешил доступ по портам 10000-65535.

        Не надо так делать. В настройках FTP настройте диапазон портов для пассива. Затем эти же порты пробросьте на пф.

        1 Reply Last reply Reply Quote 0
        • M
          muxas
          last edited by

          Проблема в том, что клиент самописный. У него просто txt файл где указаны имя сервера, логин, порт. Затем идет секция с указанием в какой папке ftp сервера скачать какие файлы, и куда их положить на локальной машинке. Если же подключится через total или FileZilla все отлично подключается. Понятно что проблема именно в этом клиенте, поставлю что нибудь другое.

          Не надо так делать. В настройках FTP настройте диапазон портов для пассива. Затем эти же порты пробросьте на пф.

          Мне не совсем ясно как задать диапазон для пассивного режима? Доступа к серверу ftp у меня нет, а в таком режиме работы сам сервер говорит клиенту на какой порт стучаться для передачи данных.

          Клиент winPX так же не цепляется, как и самописный. Сейчас стоит правило которое разрешает соединения на ftp сервер по любым портам. NAT outbound стоит в auto. Может в нем проблема?

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            @muxas:

            Мне не совсем ясно как задать диапазон для пассивного режима? Доступа к серверу ftp у меня нет, а в таком режиме работы сам сервер говорит клиенту на какой порт стучаться для передачи данных.

            Обратитесь к тому , у кого такой доступ есть. Пускай в настройках ftp он посмотрит\настроит диапазон портов.

            1 Reply Last reply Reply Quote 0
            • M
              muxas
              last edited by

              Это только в понедельник, если пустить трафик в обход pf то ftp работает отлично. Так же удается зацепиться с консоли pf. Проблема присутствует только для клиентов LAN. И то если использовать штатный клиент MS win, с другими клиентами (total, FileZilla) таких проблем нет.

              1 Reply Last reply Reply Quote 0
              • G
                gmn
                last edited by

                Похоже что проблема с активным ftp.
                Попробуйте в том же Total Commander изменить режим с активного на пассивный и затем наоборот и проверить.

                1 Reply Last reply Reply Quote 0
                • M
                  muxas
                  last edited by

                  Похоже что проблема с активным ftp.

                  Вы правы. Проверил с total, стояла галочка пассивный режим. Снял, после установления соединения и попытки запроса списка каталогов соединение закрылось.

                  Как решить данную проблему?

                  1 Reply Last reply Reply Quote 0
                  • G
                    gmn
                    last edited by

                    Не перечитывал весь тред …
                    Вопрос в том, что не работает пассивный ftp с локалки через pf nat к удаленному хосту. Верно?
                    Если да, то установите пакет "FTP Client Proxy". Он поможет решить проблему.

                    1 Reply Last reply Reply Quote 0
                    • M
                      muxas
                      last edited by

                      Пакет стоит, но не ясно как его настроить. Можно ссылку?

                      1 Reply Last reply Reply Quote 0
                      • G
                        gmn
                        last edited by

                        Ссылки нету.
                        Services - FTP client proxy
                        Ставим галочку "enabled".
                        "Local Interface" - LAN
                        И галочку "Rewrite Source to Port 20" - это как раз активный ftp.

                        1 Reply Last reply Reply Quote 0
                        • G
                          GSerg
                          last edited by

                          @muxas:

                          С FTP тоже нашел временное решение, сервер работает в пассивном режиме, поэтому временно для клиентов LAN разрешил доступ по портам 10000-65535. Но почему раньше fpt отлично работал без этого правила? На стороне сервера точно знаю ни чего не менялось, то есть проблема в pf. И появилась проблема с lightsquid, он не хочет запускаться, ругается на perl. Комманда Pkg_add -r perl не запускается, пишет command not found. Как установить perl в систему?

                          нужно pkg add ,без подчёркивания.

                          1 Reply Last reply Reply Quote 0
                          • M
                            muxas
                            last edited by

                            был занят, извените что так долго не отвечал.

                            Ссылки нету.
                            Services - FTP client proxy
                            Ставим галочку "enabled".
                            "Local Interface" - LAN

                            Ftp proxy настроил, стал подключаться к серверу, но после команды ls клиент пишет

                            200 PORT command successful
                            425 Unable to build data connection: Operation timed out

                            нужно pkg add ,без подчёркивания.

                            уже так и сделал, но все равно lightsquid не работает. Теперь пустое окно. Парсер запускал, ругается что что то с путями до
                            конфига.

                            1 Reply Last reply Reply Quote 0
                            • G
                              gmn
                              last edited by

                              @muxas:

                              Ftp proxy настроил, стал подключаться к серверу, но после команды ls клиент пишет

                              200 PORT command successful
                              425 Unable to build data connection: Operation timed out

                              Ошибка явно с активным ftp.
                              Опция "Rewrite Source to Port 20" установлена?

                              1 Reply Last reply Reply Quote 0
                              • M
                                muxas
                                last edited by

                                Опция "Rewrite Source to Port 20" установлена?

                                да

                                1 Reply Last reply Reply Quote 0
                                • G
                                  gmn
                                  last edited by

                                  Проверил специально.
                                  С тестовой сети (на vmware) выход через pfsense "в мир" (внешнюю сеть).
                                  Модуля "FTP Client proxy" небыло. Активный ftp не работал.
                                  Установил модуль - все стало на свои места. Настройки минимальные.
                                  Proxy Enabled - yes
                                  Local Interface - LAN
                                  Rewrite Source to Port 20 - yes

                                  1 Reply Last reply Reply Quote 0
                                  • M
                                    muxas
                                    last edited by

                                    У меня точно также, плюс стоит логирование. Но вот логов его в системных нет. Может быть проблема в firewall? Какие у Вас открыты порты для работы FTP proxy?

                                    1 Reply Last reply Reply Quote 0
                                    • G
                                      gmn
                                      last edited by

                                      Это тестовая сеть - открыто "any".
                                      Правило редиректа добавляет в pfsense, видимо, сам плагин:
                                      rdr pass on em1 inet proto tcp from any to any port = ftp -> 127.0.0.1 port 8021

                                      Откройте с какого-то хоста в локалке доступ на ANY и увидите.

                                      1 Reply Last reply Reply Quote 0
                                      • M
                                        muxas
                                        last edited by

                                        Добавил правило, в логах нет ни слова про порт 8021. Трафик как будто мимо плагина идет

                                        1 Reply Last reply Reply Quote 0
                                        • G
                                          gmn
                                          last edited by

                                          Чтобы не встявлять скриншоты …
                                          На том же тестовом стенде ... с локалки закрыто все.
                                          Активирован только плагин "ftp proxy" и разрешен доступ на интерфейсе LAN на 127.0.0.1 порт 8021.
                                          И работает и активный ftp, и пассивный.
                                          На pfsense два правила только:
                                          rdr pass on em1 inet proto tcp from any to any port = ftp -> 127.0.0.1 port 8021
                                          pass in log quick on em1 inet proto tcp from any to 127.0.0.1 port = ftp-proxy flags S/SA keep state label "USER_RULE"

                                          Т.е. вам надо разрешить в локалки подключаться на 127.0.0.1 порт 8021.
                                          И проверить, чтобы в настройках плагина интерфейс был локальной сети.

                                          1 Reply Last reply Reply Quote 0
                                          • M
                                            muxas
                                            last edited by

                                            Все именно так и настроено.

                                            rules_firewall.jpg_thumb
                                            rules_firewall.jpg
                                            ftp_proxy_settings.jpg_thumb
                                            ftp_proxy_settings.jpg

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.