Dotaz: Router Huawei AR1822

[lowprize]

Ahoj, omlouvam se za dotaz ktery tak uplne nesouvisy s Linuxem. Temer jsem se naucil cinsky po te co jsem procital diskuzni fora.

Potrebuji forwardovat port pro FTP z venkovni adresy na IP:port z vnitrni site. V IPTABLES to neni problem. To mi funguje do soucanosti.

Port se mi podarilo forwardovat, pouzivam standartni port 21. Firewall ma defaultne vse allow resp PERMIT. Problem je ovsem v rychlosti, nez se mi vylistuje adresar po loginu, muzu si jit zalit kytky.

Castecny vypis z Huaweie. Ftp server ve vnitrni siti je na Slacku a Proftpd

interface Ethernet1/0
 ip address x.x.x.x 255.255.255.252
 nat outbound 3001 address-group 2
 nat server protocol tcp global VENKOVNI_IP ftp inside 10.125.0.2 ftp

Pokud ma nekdo nakou ideu nebo dokonce reseni sem s tim. Diky

Odpovědi

[Martin Oles]

Snad nepíšu úplnou blbost, ale zkusil bych udělat statický záznam taky pro FTP-DATA (20/udp).

nat server protocol udp global VENKOVNI_IP ftp-data inside 10.125.0.2 ftp-data

Raději si ale zkontroluj syntaxi příkazu, Huawei jsem nikdy neviděl ani v krabici.

[lowprize]

Dik za reakci. Bohuzel nepomohlo to. Uz sem fakt sisatej z tech cinskych for. Napsal sem si tam dotaz(anglicky) tak sem zvedavej :).

nat server protocol udp global VENKOVNI_IP 20 inside 10.125.0.2 20
  Can't configure FTP server like this

Skoda, ze me nerekne jak to teda mam udelat :)

[Martin Oles]

A nejde to zadat ani jako "ftp-data" místo jen čísla portu? Je možné, že soudruzi to zařízení trochu osekali a prostě to neumí. Případně, ještě mě napadá, jestli to má možnost upgrade firmware, tak zkusit nejnovější verzi a snad to tam dodělali.

S těmi čínskými fóry máš pravdu. Zlaté Cisco :c))

[MiK[3]Zz]

Respektive Linksys.

[lowprize]

Nejde zadat nez cislo portu, v nabidce neni :(. Fw jsem uz jednou updatoval spis me napada to s tim osekanim. uz ted to pry dela vic nez na coto bylo puvodne urceno.

nat server protocol udp global 1.1.1.1 ?
  <0-65535>    Port number of the server
  any          Any protocol (0)
  biff         Mail notify (512)
  bootpc       Bootstrap Protocol Client (68)
  bootps       Bootstrap Protocol Server (67)
  discard      Discard (9)
  dns          Domain Name Service (53)
  dnsix        DNSIX Security Attribute Token Map (90)
  echo         Echo (7)
  inside       Specify local server information
  mobileip-ag  MobileIP-Agent (434)
  mobileip-mn  MobilIP-MN (435)
  nameserver   Host Name Server (42)
  netbios-dgm  NETBIOS Datagram Service (138)
  netbios-ns   NETBIOS Name Service (137)
  netbios-ssn  NETBIOS Session Service (139)
  ntp          Network Time Protocol (123)
  rip          Routing Information Protocol (520)
  snmp         SNMP (161)
  snmptrap     SNMPTRAP (162)
  sunrpc       SUN Remote Procedure Call (111)
  syslog       Syslog (514)
  tacacs-ds    TACACS-Database Service (65)
  talk         Talk (517)
  tftp         Trivial File Transfer (69)
  time         Time (37)
  who          Who(513)
  xdmcp        X Display Manager Control Protocol (177)

[Martin Oles]

Tak mě už napadá jen něco jiného. Nastav natvrdo na FTP serveru, že se má používat pasívní režim. Tj. nebude se otevírat UDP20 ale použije se navázaný TCP21. Podle mne ta prodleva na kytky souvisí s tím, než klient nebo server zjistí, že UDP datový kanál se konat nebude a přepnou se do pasívního režimu. Mělo by to být vidět i v logu.

[alkoholik]

Pro oba dva experty jeste jednou. UDP se NIKDY konat nebude!
Viz treba Wikipedia. Hned prvni veta v "Connection Methods" je "FTP runs exclusively over TCP."

[Martin Oles]

Vycházel jsem z tohodle dokumentu Well known port .

[alkoholik]

Odkdy proboha beha ftp po udp?
Tohle nenajdes ani v /etc/services.

[lowprize]

Todle byl vypis pro port 20 ftp-data. Pro tcp tam samozdrejme primo alias je.

[Dušan Hokův]

tys nemel u toho routeru cdcko s pdf manualama ?

[puchy]

nastavene to mas urcite dobre, testoval jsem na AR 28-11 i AR 18-22-24, jako FTP windows a CentOS a funguje mi to dobre. Pokud jsou dlouhe odezvy, hledal bych spise problem na ftp serveru.

[lowprize]

Super konecne nejaka pozitivni odpoved. Diky moc, du hledat chybu na serveru.

[lowprize]

Vyreseno, dekuji za podporu. Chyba byla v proftpd, s vsftpd to jelo na drc.

Manual at uz operation ci command mam. Je docela dobre zpracovany, ale neni tam uplne vsechno. Ani ceska podpora netusila, ze muj model umi port forward.

[puchy]

Muzu se zeptat, kdo je ta "ceska podpora"? Primo Huawei CZ? Nebo nekdo jiny?

[lowprize]

Atlantis datacom. Od nich sme to brali. Mohu je jen doporucit, nikdy mi nerekli ne pri zadosti o radu.

[puchy]

Ano s Atlantisem spolupracuji uz nekolik let, jen mi prijde divne, ze by to G. Seemann nevedel :)

[lowprize]

Uz se nejmenuje Seemann, ale Maxa. :)

[puchy]

Jojo, vim.

[Ondrej 'SanTiago' Zajicek]

> Problem je ovsem v rychlosti, nez se mi vylistuje adresar po loginu, muzu si jit zalit kytky.

Takhle se projevuje spatne nastaveny firewall na klientovi. Nektere FTP servery pred navazanim spojeni provadeji dotaz na klienta AUTH protokolem. Pokud klient ma ve firewallu nastaveny DROP na pakety jdouci na AUTH port, tak spojeni timeoutuje. Spravne je nastavit na blokovane porty REJECT.

Nektere FTP servery to nedelaji, proto ti to prestalo zlobit pri vymene FTP serveru. Ale kdyz se budes chtit pripojit na nejaky jiny, tak to zas treba delat bude.