FTPS Server im Lan von aussen nicht erreichbar



  • Hallo

    Ich habe im internen Netz einen proftpd aufgesetzt, zu dem aus der Aussenwelt nur gesicherte Verbindungen per FTPS aufgebaut werden sollen. Es wurde eine entsprechende NAT- und Firewall Regel erstellt (pfSense 1.2-release) und normale FTP Verbindungen von aussen funktionieren auch einwandfrei. Schalte ich jedoch TLS scharf, bleibt es beim Connectversuch:

    Status:	Verbindung hergestellt, warte auf Willkommensnachricht...
    Antwort:	220 FTP Server ready.
    Befehl:	AUTH TLS
    Antwort:	234 AUTH TLS successful
    Status:	Starte TLS...
    Befehl:	USER testuser
    

    Der FTP-Helper sind sowohl am WAN- als auch am LAN-Interface aktiviert. Eine Suche im Forum ergab, daß es mit Thematik scheinbar häufiger Schwierigkeiten gibt ;D und das es eine mögliche Lösung sein soll, den FTP-Helper zu deaktivieren. Dies habe ich in allen drei Kombinationen am WAN- und LAN-Interface gemacht aber es brachte leider keine Erfolg.
    Die TLS-Verbindung kam dann zwar tatsächlich zustande aber schon der Verzeichnisinhalt konnte danach nicht mehr aufgelistet werden, da in den Antwortpaketen vom proftpd dann die interne Adresse als Absender steht, da der FTP-Proxy diese ja nicht übersetzt hat.

    Hat eventuell noch jemand einen FTPS-Server im internen Netz laufen und kann hier einen Tip geben?



  • hast du alle ports geöffnet, connection port und data port?



  • Es ist nur der Control-Port 21 geöffnet. Für unverschlüsseltes FTP reicht dies auch aus, da ja der FTP-Helper die nötigen Data-Ports öffnet. Nur scheint dies bei FTPS nicht zu klappen.



  • Ich hab die Erfahrung mit FTP gemacht, dass das einfachste ist den ftp helper abzuschalten und von Hand auf dem Server eine Portrange für die Datentransfers einzustellen und dann einfach diese Range zu NATen.

    Ich nehme mal an für FTPS sollte dies auch funktionieren.



  • So habe ich es jetzt auch gelöst und die ersten Tests per FTPS liefen einwandfrei. Ich werde es mal weiter beobachten, ob das so bleibt.
    Vielen Dank erstmal für den Tip.



  • Der ftü-helper funktioniert für FTPS nicht, da geht's nur mit expliziten Portforwards aller benötigten Ports. Zusätzlich muß der Server im LAN seine öffentliche IP wissen und diese dem Client mitteilen. Hierzu muß man dann ggf. das Manual des FTP-Servers prüfen. Besser wäre es allerdings SFTP zu nutzen, das ist quasi ftp über SSH und benötigt nur einen Port. Passende Software siehe http://en.wikipedia.org/wiki/List_of_SFTP_server_software .


Log in to reply