Dotaz: Passive přístup na FTP

[lukas]

Mám svoje vlastní FTP (proftpd) a pokaždé když se na to někdo zkouší připojit přes total commandera (pasivní režim) tak mu to vyhodí toto:

227 entering passive mode
příkaz port selhal

Ale přes okno, třeba firefox to funguje. Může mi někdo prosím říct, jak by měli být v konfiguraci správně nastaveny passive porty?

Odpovědi

[#Tom]

V nastavení FTP serveru lze zvolit obecně jakékoli porty, které budou použity k pasivnímu přenosu (tj. takovému, kdy veškerá spojení vytváří připojující se uživatel). Tyto porty musejí být zvenčí přístupné stejně jako základní port, na němž FTP běží (21).

Nevím ale, který z režimů používá prohlížeč.

[lukas]

Aha! Takže když na modem frowarduji 20 a 21, mohu nastavit passive na tyto porty?

[lukas]

Tak si odpovím sám- Nemohu. Proftpd hlásí error: Port number must be above 1023

[Filip Jirsák]

V unixových systémech jsou tradičně porty do 1023 vyhrazeny a může na nich naslouchat pouze program s právy roota. Aplikace běžící pod jiným účtem tedy mohou používat až porty od 1024 výš.

[#Tom]

Teoreticky může být i pod 1024. Server ale obvykle běží s právy roota jen dokud se nenapojí na port 21 a dokud nezmění kořenový adresář (chroot). Pasivní spojení přijímá teprve po změně uživatele (obvykle něco jako proftpd, ftpd, ftp-server a tak), z čehož plyne výše uvedené omezení. Rozsah portů pro pasivní spojení bývá velký a volí se obvykle mezi nejvyššími čísly. Zrovna ProFTPd má přednastaveno 49152-65534 – potom je třeba nastavit firewall třeba takto:

iptables -I INPUT -p tcp -m multiport --dports 49152:65534 -j ACCEPT

Jak už jsem napsal, rozsah portů lze zvolit libovolný. Pokud se bude připojovat málo uživatelů, stačí malý, bude-li jich hodně, můžete nechat ten přednastavený.