Problème Pfsense version 2.2.4 et serveur FTP sur vm 2008R2

Malbare

Bonjour à tous et a toutes,

Je viens vous pour vous exposer un petit problème et j'avoue… je galère légèrement...

J'ai mis en place sur mon KS3 (Kimsufi) un esxi 5.5 avec dessus :

Une vm Pfsense qui me sert à faire le filtrage et le nat entre mes différentes Vm
Une vm 2008R2 qui me sert de serveur FTP.

J'ai attaquer un peu le nat, le début a été simple. mes clients se connectent à mon serveur (port 20 et 21 bien routés) mais... impossible de lister le répertoire.
J'ai vu sur bon nombre de sites qu'il s'agit d'un petit soucis avec le mode passif du ftp derrière Pfsense.

Mais je n'ai pas réussit à faire une conf correcte des ports (50000 à 51000 pour ma part) passif dans le filtrage nat du Pfsense.

Si quelqu'un avait une solution, je suis preneur car ca fait presque 1 mois que je suis dessus et que je n'avance pas :)

Merci d'avance

jdh

1 mois ? Mais alors sans rechercher sur ce forum ni sur la doc d'origine pfSense !

En 1, les concepteurs de pfSense ont fait des choix, à commencer par le principal : FTP est un protocole obsolète !
En 2, ils ont retiré un outil en ajoutant un autre, puis ont retiré le dernier, puis un package est arrivé. Ce n'est pas très clair !

Il y a des conseils pratiques : suivre ceux décrit dans la doc pfSense ! (Attention : cela demande plus d'une lecture …)

Je passe sur les écueils de virtualiser un firewall (et donc pfSense).
Mais FTP sur W2008R2 : êtes vous bien sûr que c'est le serveur FTP de qualité qu'il vous faut ?
Où, plus simplement, savez vous le 'tordre' suffisamment ?

Il est notable que, le lemme de FTP obsolète, n'est pas l'apanage des concepteurs de pfSense. (En clair d'autres font la même remarque !)
Et que, partant, certains serveurs FTP se sont habitués et ajoutent un élément qui permet d'améliorer le fonctionnement (ou diminuer les contraintes).
(Faut-il le dire : ce n'est pas le cas du serveur FTP d'IIS, forcément !).

A minima, si vous tenez absolument à rester avec une VM Windows, au moins choisissez FileZila Server ...

Perso, vous offrez un service, vous avez la possibilité d'imposer un mode précis de connexion (par exemple, le client sera en mode 'actif' parce que ... le serveur fonctionne en mode 'actif') !
Mais comme toute chose, ça va mieux en l'écrivant.

Malbare

Bonjour et merci pour votre réponse,

Effectivement, erreur de ma part, il s'agit de Filezilla serveur qui est installé.

Et donc oui cela fait bien 1 mois que je cherche et j'ai fouillé sur les forum, installé des packages (ou je ne le cache pas, j'ai rien panné à ce qui était dis dedans ^^).

Après je ne suis pas fermé sur le choix de mon serveur ftp, si vous avez à me conseiller un autre qui serai plus compatible avec Pfsense, je suis preneur, c'est juste que je me sert de Filezilla sur mon ks2 depuis 2 ans et que ca a toujours très bien fonctionné :)

jdh

Tout (ou presque) est indiqué dans la doc officielle https://doc.pfsense.org/index.php/FTP_without_a_Proxy (que vous auriez du/pu trouver …)
(Attention, chaque mot compte, à lire plus d'une fois ...)

On lit (pour un serveur ftp) que

pour le mode actif, il n'y a pas de difficulté : 'out of the box'
pour le mode passif, il faut faire plus de NAT (21 + ports passif prévus), une config précise du serveur (def des ports passifs)

Il manque juste une info(le 'presque') (ou ce n'est pas super clair) :

The server may also need to be configured to account for NAT

A lire comme le serveur FTP doit répondre à l'ip publique … Et ça tombe bien Filezilla Server sait faire ... (et c'est dans le forum) !

Donc, Filezilla Server est le serveur FTP qu'il vous faut (cf Francis Blanche : Richelieu Drouot, la station qu'il vous faut ...).

Attention au soin de présentation : il y a un formulaire : c'est contraignant mais ça évite aux lecteurs de s'égarer inutilement, et vous gagnez du temps !

chris4916

J'ai tenté il y a un moment une réponse détaillée quant au choix de l'implémentation.

A mon avis, la "bonne solution" pour autant qu'il y en ait une dépend de si tu contrôles les 2 extrémités serveur et client.
Avec un seul FW entre les 2, ce n'est pas trop compliqué.
Si tu as des clients qui se connectent depuis l'extérieur, ça devient plus difficile et sujet à discussion et je suis fervent partisan, surtout si tu as plusieurs serveurs FTP, de mettre en œuvre un proxy FTP.

(je le précise pour ne pas relancer un débat inutile: lorsque je dis "FTP proxy", je ne parle pas bien sûr du ftp helper au niveau du kernel)

jdh

Et pourtant, le sujet est très clairement exprimé : Malbare créé un serveur FTP.

La doc est très claire : en mode actif, ça fonctionne 'out-the-box'; en mode passif, il y a plus de réglages (sur pfSense et sur le serveur FTP).
Maintenant, faut arrêter d'être çon, il faut choisir un mode (p.e. actif) et l'imposer aux clients.
Ensuite les clients sont informés et gèrent (moins poliment : ils se démerdent) avec leur propre firewall !
L'idéal est de décrire un client qui fonctionne (comme pfSense donne la config d'un serveur)

J'informe que la quête de la satisfaction de tous est juste une chimère …
"ça marche pas avec mon IE en faisant ftp://" eh bien non !! on t'a informé que c'est en mode actif, alors ton IE qui ne fait que du mode passif ...

Dans cette situation (d'hébergeur), il n'y a bien sur pas de proxy FTP à créer ! (n'en déplaire à ...)

Malbare

Bonjour et merci pour vos réponses :)

@chris4916:

J'ai tenté il y a un moment une réponse détaillée quant au choix de l'implémentation.

A mon avis, la "bonne solution" pour autant qu'il y en ait une dépend de si tu contrôles les 2 extrémités serveur et client.
Avec un seul FW entre les 2, ce n'est pas trop compliqué.
Si tu as des clients qui se connectent depuis l'extérieur, ça devient plus difficile et sujet à discussion et je suis fervent partisan, surtout si tu as plusieurs serveurs FTP, de mettre en œuvre un proxy FTP.

(je le précise pour ne pas relancer un débat inutile: lorsque je dis "FTP proxy", je ne parle pas bien sûr du ftp helper au niveau du kernel)

Alors oui je gère les 2 extrémités dans 90% des cas (et oui toujours la règle de 10% qui nous font chXXr ^^)

@jdh:

Et pourtant, le sujet est très clairement exprimé : Malbare créé un serveur FTP.

La doc est très claire : en mode actif, ça fonctionne 'out-the-box'; en mode passif, il y a plus de réglages (sur pfSense et sur le serveur FTP).
Maintenant, faut arrêter d'être çon, il faut choisir un mode (p.e. actif) et l'imposer aux clients.
Ensuite les clients sont informés et gèrent (moins poliment : ils se démerdent) avec leur propre firewall !
L'idéal est de décrire un client qui fonctionne (comme pfSense donne la config d'un serveur)

J'informe que la quête de la satisfaction de tous est juste une chimère …
"ça marche pas avec mon IE en faisant ftp://" eh bien non !! on t'a informé que c'est en mode actif, alors ton IE qui ne fait que du mode passif ...

Dans cette situation (d'hébergeur), il n'y a bien sur pas de proxy FTP à créer ! (n'en déplaire à ...)

En fait j'ai tester le mode actif, et oui ca fonctionne mais…
Pour le 90% des cas, je me sert soit d'un cobian backup pour faire de la récup d'info, soit de scripts robocopy.

en tout cas, merci a vous 2 de vos réponses, mais pour être franc avec vous, c'est la première fois que je touche à un firewall Pfsense (je suis admin réseaux et pourtant j'en avais jamais vu ^^) et je galère un tout petit peu pour le ftp :(

jdh

Voyez : vous ajoutez maintenant des infos qui peuvent faire changer les réponses !
Si vous saviez le temps gagné pour tout le monde si, dès le départ, le problème était bien exposé …

Il est très clair que, pour FTP, il est essentiel de comprendre qu'il y a 2 modes de fonctionnement, et qu'il y a un choix à faire.
(Le bon site : wikipedia forcément).

La doc pfSense est, elle aussi, très claire (si lue plusieurs fois).

Vous avez fait un choix, le mode actif. Bien.

Cobian Backup sait gérer : http://www.astucesinternet.com/modules/smartsection/item.php?itemid=81 Etape 2-C (1er lien trouvé avec 'cobian backup ftp mode'). (Je croyais Cobian Backup mort ?)

Robocopy n'a jamais fait de ftp, à ma connaissance.

Je crois que rsync n'est pas à ignorer pour faire des backup.

Clairement ce fil est loin d'être parfait :

présentation mauvaise et insuffisante
connaissances insuffisantes de protocoles

J'espère que vous ferez un beau post de conclusion :

rappelant la problématique
indiquant les éléments mis en place avec les choix de mode, les paramètres
le fonctionnement obtenu