Dotaz: nejde se připojit na FTP

[tezkatlipoka]

nejde se připojit FTP na jeden pocitac, vsechny ostatni mezi sebou mohou. Pri pripojeni z prikazove radky se normalne pripojim, vse se zda OK, ale pri jakemkoliv prikazu to vyplivne ftp: connect: connection refused pri pripojeni z MC, to napise: striktní rcf959 (nejprve CHDIR), a nedeje se nic. ten pocitac je za adsl routerem, ten ma verejnou IP a veskery provoz smeruje na pocitac za sebou. jedna se o RH 9, nejprve tam bylo, wu-ftpd, pak jsem to hodil na VSFTPD ale vse stejne. napada nekoho nejaka spasna rada, za radu daruji pulku kralovstvi a ruku prince k tomu.

Odpovědi

[David Jež]

Nefiltrujes to nejak po ceste? Pokud by neproslo stahovani dat vyresil by mozna problem pripojovani vsechno pres jeden port (pasivni spojeni nebo jak se to nazyva) pokud je to dobre nakonfigurovane. Ale to jen jako tip, mozna ze jsem mimo.
-djz

[tezkatlipoka]

zkousel jsem to prepnout na clientovi na passive, -p, ale to same, zkusil jsem to pres Win Commander, tak to skonci na 500 Illegal port command, port command failed

[zkustotelnetem]

je jen jedina cesta, jak to spolehlive odladit - telnet

$> telnet ftp.vr.net 21
Trying 205.133.13.13...
Connected to ftp.vr.net.
Escape character is '^]'.
220 ftp.vr.net FTP server ready.
USER anonymous
331 Guest login ok, send your complete e-mail address as password.
PASS mozilla@
230 Guest login ok, access restrictions apply.
SYST
215 UNIX Type: L8
TYPE I
200 Type set to I.
PASV
227 Entering Passive Mode (205,133,13,13,21,169)
QUIT
$>

You'll need to read and interpret the 227 response. The first four numbers are the IP address you must connect to (usually the same as the FTP server's IP address). The next two are the port number. You will need to do a little math here. In this case, calculate ((21 * 256) + 169) to get the port number, 5545.

a pak bych se podival, jestli ten port neni blokovany ...

[kama]

Co ti rekne telnet localhost 21 localhost je server s ftp ? Kama

[tezkatlipoka]

tying 127.0.0.1... connected to localhost Escape character is "striska" 220 (vsftpd 1.1.3)

kdyz se pripojuju z WinCommander, tak to nejprve dlouho stoji na prechazeni to passive modu, pak to hodi tu chybu.

[kama]

1) predpokladam, ze mas na FTP serveru ID a heslo uzivatele, kteroho chces pripojit. 2) Nemas ho zakazaneho v Hosts.deny 3) mas ho povolenecho na hosts.allow 4. Nemas nejaka filtrovaci pravidla, ktera ho vylucuji? 5) Co IPtables.? 6) Jede spolehlivě ping?

To prihlaseni ti nejde pouze z 1 klienta? Z ostatnich ano? Kama

[tezkatlipoka]

prihlaseni nejde odnikud, ve firewallu jsou povoleny porty 20,21, uzivatel pod kterym se pripojuji existuje. ping jede spolehlive. poznatek z prikazove radky se prihlasim, jde i prikaz cd, ale pri prikazech napr. dir, ls se to odpoji. nejsou tam iptables, ale ipchains, mojl by to byt problem??

[Ondrej Benedik]

No ja som mal taky problem a bolo to sposobene tym, ze som v jadre routra nemal podporu pre ftp, ak ste jadro neprekompilovali, mozte zaviest moduly pre podporu ftp. Tym myslim ip_conntrack, ip_conntrack_ftp a ip_nat_ftp. Nie som si isty nazvami, ale malo by to byt v poriadku.

[tezkatlipoka]

s tim jsem si taky hral, problem je ze se mi nedari ty moduly zavest. vyplivne to tohle /sbin/modprobe ip_conntrack /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ip_conntrack.o: init_module: Device or resource busy Hint: insmod errors can be caused by incorrect module parameters, including invalid IO or IRQ parameters. You may find more information in syslog or the output from dmesg /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ip_conntrack.o: insmod /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ip_conntrack.o failed /lib/modules/2.4.20-8/kernel/net/ipv4/netfilter/ip_conntrack.o: insmod ip_conntrack failed

[tezkatlipoka]

hmmmmm, ty pocitace berou jen ftp mezi sebou, od nikoho jineho, tak jsem nastavil aby od ostatnich bral cely rozsah od 1024 do 65000, a funguje to. nekde jsem se ted docetl bud zavedte moduly nebo povolte velky rozsah, moduly se mi nedarej, tak rozsah, a ono to jde. jak to vlastne funguje kdyz dokazu nahradit moduly pro pruchod ftp skrz NAT velkym rozsahem portu??

[kama]

Nakladatelství Grada, Administrace systému linux , Steven Graham,str 330 - Mechanizmy FTP... Kama

[zdenek]

A jak se da pomoci IPtables povolit rozsah portu? Potreboval bych na routeru s default politikou DROP povolit 26000 az 29999 TCP i UDP.

[jm]

/etc/modules.conf

options ip_conntrack_ftp ports=21,aaaa,bbbb

options ip_nat_ftp ports=21,aaaa,bbbb

No a jinak co se tyce pasivniho a aktivniho FTP - tak vysvetleni napr. tady. Povolovat desitky tisic portu je pochopitelne nesmysl.

[zed]

nmyslel jsem to jinak, nepotrebuju povolit aktivni mod ftp, tyhle moduly mam zavedene. Problem je v tom ze potrebuji uzivateli povolit rozsah portu pro nejakou aplikaci. na firewalu je standartne drop a povoluju pouze dns, web, postu apod.

[jm]

na firewalu je standartne drop a povoluju pouze dns, web, postu apod.

Jako zevnitr? Ach jo, a proc to delate? K veci: Povolit rozsah portu v iptables samozrejme lze, ale ne pro jednotlivou aplikaci, proste ty porty budou otevrene pro kazdou aplikaci, ktera se pres ne bude chtit pripojit.

[zed]

drop je nezbytny, mame velice nedisciplinovane uzivatele. alespon to tak ted vidim. plny rozsah povoluju jen nekomu. Jaka je syntaxe pro povoleni rozsahu portu v iptables?

[krenem00]

-dport 1024:65535