Доступ к локальному ftp через WAN?
-
@pigbrother Писал выше - не помогает.
В настройках сервера надо указать его ВНЕШНИЙ адрес IP, чтобы он ПРАВИЛЬНО мог работать с клиентом и тот мог подключиться. Вот этот ВНЕШНИЙ адрес В НАСТРОЙКАХ сервера и МЕШАЕТ при подключении из ЛОКАЛКИ. Клиента посывает НА ВНЕШНИЙ адрес IP, который из локалки НЕ ДОСТУПЕН.
При чём тут пакет прокси и как это должно было помочь?!
-
@luha said in Доступ к локальному ftp через WAN?:
@pigbrother Писал выше - не помогает.
В настройках сервера надо указать его ВНЕШНИЙ адрес IP, чтобы он ПРАВИЛЬНО мог работать с клиентом и тот мог подключиться. Вот этот ВНЕШНИЙ адрес В НАСТРОЙКАХ сервера и МЕШАЕТ при подключении из ЛОКАЛКИ. Клиента посывает НА ВНЕШНИЙ адрес IP, который из локалки НЕ ДОСТУПЕН.
При чём тут пакет прокси и как это должно было помочь?!
Да, проморгал.
@luha said in Доступ к локальному ftp через WAN?:
Клиента посывает НА ВНЕШНИЙ адрес IP, который из локалки НЕ ДОСТУПЕН.
Для доступа из LAN к внешнему IP помог бы NAT Reflection, но как вы писали выше, с вашим FTP это не работает.
-
Вот только для доступа к ftp-серверу в локальной сети нужно подключиться с клиента в активном режиме.
Активный и пассивный - режимы работы СЕРВЕРА, не клиента.
А если на Default оставить или Retrive выбрать?
Там еще и пункт Don't use external .. есть для запрета подключения по внешнему ип локальным клиентам. Если не откл., то по внешнему ип локальные клиентв не подключаться (ну и костыль) Его пробовали откл для варианта вашей петли?
-
@werter Я за топикстартера не возьмусь говорить, но поскольку тоже имею похожую ситуацию то отписываюсь.
Бывает что сервисы завязаны только на ftp и его используют клиенты в большом количестве. У нас туда загружаются фотографии. И проблема лежит в разнообразии клиентов. Надо всем им обеспечить доступ. У части работает и пассивный режим и активный нормально, у другой части или одно или другое. А ещё высылают с разных устройств - могут из дому с компьютера, а могут прято с фотоаппарата. И ничего с этим нельзя поделать. Поэтому приходится сервер FTP настраивать на все режимы. А в связке с PF оказывается что не все режимы работают правильно и не на любом сервере FTP. И вроде сам PF тут не виноват.
-
@luha said in Доступ к локальному ftp через WAN?:
, у другой части или одно или другое.
В фаере винды фтп клиент разрешен? Проверьте этот момент на всех проблемных машинах. И во всяких касперских и т.д. на рабочих местах.
Далее. Если подключение идет ИЗВНЕ - проверить, открыты ли порты 20-21 и диапазон пассивных вовне.
Ни разу, сколько не настраивал не было проблем с СЕРВЕРОМ. Были проблемы в кривых руках на местах. Повторюсь, НИ РАЗУ. А настроил я их мнооого.
Зы. Если у вас есть проблемные клиенты - давайте доступ. Вместе проверим.
Зы2.
а могут прято с фотоаппарата
ПО на нем обновите. И не очень верится, что ПРОСТОЙ пользователь сможет настроить фтп-клиент НА ФОТОАППАРАТЕ. Сказки это.
Больше верится в то, что описал выше. -
Попробуйте NAT Reflection mode for port forwards = NAT + proxy, снять галку Don't use external .. на зилле и перезагрузить пф и зилле.
Далее на ЛАН пф создать правило, где в src - локальный IP зиллы, а в GW - GW WAN3.
Поставить это правило ВЫШЕ всех.После - Diagnostics -> States -> Reset States.
Немного подождать и обратиться фтп-клиентом к адресу WAN3 для проверки
К ip адресу - не имени. -
@werter )))
Сервер это линукс машина в шкафу. Она в работе уже много лет.
Клиенты это фотографы по всему миру, которые работают в разных полевых условиях, начиная от встречи глав государств и заканчивая удобрением грядок в нагорье Испании. Они берут зеркалку NIKON, у неё есть втроенная функция описать IPTC и выслать на FTP.
В какой винде мне надо что проверить, какие порты, какой антивирус и как поступить с клиентами? И почему годами работало нормально, а поставили PF и перестало?
-
@luha said in Доступ к локальному ftp через WAN?:
Сервер это линукс машина в шкафу. Она в работе уже много лет.
ПО на нем обновляли? apt update\yum update давно делали ?
Давайте доступ - разберемся вместе. Самому интересно. В сказки давно не верю, извините.
ЗЫ. Passive mode на Никонах - https://www.youtube.com/watch?t=238. Другой вопрос, что порты для пассива могут быть закрыты в том месте, где клиент подключается. Но это проблема не фтп-сервера и не пф.
-
@werter Да всё у нас с сервером FTP нормально. Там свежее актуальное ПО. Рядом стоит другой сервер, тоже свежее ПО, но вместо proftpd там используется другой пакет - vsftpd (кстати его упоминают в доках PF). И на нём работает как в локалке, так и снаружи. А у proftpd или надо отключить пассивный режим или не будет работать в локалке.
Из конфига proftpd:
"If your host was NATted, this option is useful in order to allow passive tranfers to work. You have to use your public address and opening the passive ports used on your firewall as well."MasqueradeAddress 000.000.000.000 (тут внешний ip сервера, я спрятал ноликами)
Я с сервером сам могу разобраться, но спасибо большое за предложение.
Вот. Всётаки пришлось поискать ссылку, ато вижу начинается недопонимание в наших рядах:
https://docs.netgate.com/pfsense/en/latest/recipes/ftp-without-proxy.html -
@luha
https://www.dpreview.com/forums/post/63624307The issue is definately a question of active vs. Passive FTP.
Passive FTP works by: Client calls server on port 21. Here they negotiate a dataport the Client should use to contact the server on to transmit data. If you are accessing Internet via a NAT (You do - almost nothing is Public when it comes to clients), the firewall/NAT device needs to allow that port outbound as well - ussually that’s not a big problem - which is why passive FTP mostly works.
Active FTP works by: The same process, but the negotiation ends up with a port that the CLIENT needs to open so the server can access the client.. If you are behind a firewall/NAT device, that device needs to “inspect” the FTP session to see which port the server/client agrees upon and open that port up (Otherwise inbound ports are never open). It also needs to do a more advanced NAT as it needs to replace something within the packet for the session to work (apart from sender IP). This is a HORRIBLE HORRIBLE solution, and basically never works on Carriergrade NAT solutions that many ISP use, and is starting to be blocked by default on most homegrade firewalls as well because it’s a massive security hole.
-
@werter Да. У никонов странно реализовано. Причём бывает что в одной сети только активный фурычит, а в другой только пассивный. Когда появляется новый фотограф то я первое время с ним устаю учить как эти настройки менять.
-
@luha
И написал ,что на пф надо открывать TCP\21 + перечень портов для пассива ТАКОЙ ЖЕ как на фтп-сервере. Всё. Больше ничего не надо делать со стороны сервера и пф. -
@werter Всё открыто как надо. Я этой фигнёй несколько дней занимался, всё надеялся поправить как-то. Пойми - оно работает. Но только снаружи.
-
@luha
Вкл. дампинг трафика и смотри. Клиент же через ви-фи к фтп подключается? На ви-фи он не в ГОСТЕВОЙ сети? -
@werter Любая сеть, которая не "снаружи" провоцирует глюки при соединении с FTP. Клиент подключается нормально к серверу, нормально логинится, но дальше не получает ответ и сессия как-бы зависает. В терминале ничего не происходит.
-
@luha В логах фтп-сервера что при этом? Не может быть , чтобы там ничего не было.
-
@werter На вот, полюбуйся что творится.
Статус: Определение IP-адреса для ftp.bobik.com
Статус: Соединяюсь с 192.168.1.18:21...
Статус: Соединение установлено, ожидание приглашения...
Статус: Небезопасный сервер, не поддерживает FTP через TLS.
Статус: Авторизовались
Статус: Получение списка каталогов...
Команда: PWD
Ответ: 257 "/" is the current directory
Команда: TYPE I
Ответ: 200 Type set to I
Команда: PASV
Ответ: 227 Entering Passive Mode (XXX,XX,XX,XX,XXX,XX). - тут я подправил адрес
Команда: MLSD
Ошибка: Соединение прервано после 20 секунд неактивности
Ошибка: Не удалось получить список каталогов
Статус: Отключен от сервера
Статус: Определение IP-адреса для ftp.bobik.com
Статус: Соединяюсь с 192.168.1.18:21...
Статус: Соединение установлено, ожидание приглашения...
Статус: Небезопасный сервер, не поддерживает FTP через TLS.
Статус: Авторизовались
Статус: Получение списка каталогов...... и так бесконечно.
-
@werter А вот я соединяюсь с vsftpsd сервером
Статус: Определение IP-адреса для ftp.tuzik.com
Статус: Соединяюсь с 192.168.1.23:21...
Статус: Соединение установлено, ожидание приглашения...
Статус: Небезопасный сервер, не поддерживает FTP через TLS.
Статус: Сервер не поддерживает символы не ASCII.
Статус: Авторизовались
Статус: Получение списка каталогов...
Статус: Список каталогов "/" извлечен))
-
@luha
На втром листинге нет пассив моде.Покажите iptables -L -v -n на проблемном сервере.
-
@werter Браво! Я же говорю - два сервера. На одном работает на другом нет.
Оба настроены с пассивным режимом. Вот настройки со второго сервера:
by luha
** Use the hostname in the PASV response (DNS must be setup and match!)
pasv_addr_resolve=YES
** Enable Passive Mode
pasv_enable=YES
** Set the passive port range (1000 ports)
pasv_min_port=20000
pasv_max_port=20999
