FTPS Server im Lan von aussen nicht erreichbar

fwuser07

Hallo

Ich habe im internen Netz einen proftpd aufgesetzt, zu dem aus der Aussenwelt nur gesicherte Verbindungen per FTPS aufgebaut werden sollen. Es wurde eine entsprechende NAT- und Firewall Regel erstellt (pfSense 1.2-release) und normale FTP Verbindungen von aussen funktionieren auch einwandfrei. Schalte ich jedoch TLS scharf, bleibt es beim Connectversuch:

Status:	Verbindung hergestellt, warte auf Willkommensnachricht...
Antwort:	220 FTP Server ready.
Befehl:	AUTH TLS
Antwort:	234 AUTH TLS successful
Status:	Starte TLS...
Befehl:	USER testuser

Der FTP-Helper sind sowohl am WAN- als auch am LAN-Interface aktiviert. Eine Suche im Forum ergab, daß es mit Thematik scheinbar häufiger Schwierigkeiten gibt ;D und das es eine mögliche Lösung sein soll, den FTP-Helper zu deaktivieren. Dies habe ich in allen drei Kombinationen am WAN- und LAN-Interface gemacht aber es brachte leider keine Erfolg.
Die TLS-Verbindung kam dann zwar tatsächlich zustande aber schon der Verzeichnisinhalt konnte danach nicht mehr aufgelistet werden, da in den Antwortpaketen vom proftpd dann die interne Adresse als Absender steht, da der FTP-Proxy diese ja nicht übersetzt hat.

Hat eventuell noch jemand einen FTPS-Server im internen Netz laufen und kann hier einen Tip geben?

heiko

hast du alle ports geöffnet, connection port und data port?

fwuser07

Es ist nur der Control-Port 21 geöffnet. Für unverschlüsseltes FTP reicht dies auch aus, da ja der FTP-Helper die nötigen Data-Ports öffnet. Nur scheint dies bei FTPS nicht zu klappen.

GruensFroeschli

Ich hab die Erfahrung mit FTP gemacht, dass das einfachste ist den ftp helper abzuschalten und von Hand auf dem Server eine Portrange für die Datentransfers einzustellen und dann einfach diese Range zu NATen.

Ich nehme mal an für FTPS sollte dies auch funktionieren.

fwuser07

So habe ich es jetzt auch gelöst und die ersten Tests per FTPS liefen einwandfrei. Ich werde es mal weiter beobachten, ob das so bleibt.
Vielen Dank erstmal für den Tip.

hoba

Der ftü-helper funktioniert für FTPS nicht, da geht's nur mit expliziten Portforwards aller benötigten Ports. Zusätzlich muß der Server im LAN seine öffentliche IP wissen und diese dem Client mitteilen. Hierzu muß man dann ggf. das Manual des FTP-Servers prüfen. Besser wäre es allerdings SFTP zu nutzen, das ist quasi ftp über SSH und benötigt nur einen Port. Passende Software siehe http://en.wikipedia.org/wiki/List_of_SFTP_server_software .