Dotaz: Nefunguje ftp přes nat

[T P]

Kde mám hledat chybu, pokud se stanice, která je za routerem na neveřejné adrese nemůže dostat na jakékoliv veřejné ftp? Všechno ostatní funguje (www, mail, icq). Pokud té samé stanici dám veřejnou adresu, vše funguje.

Odpovědi

[Petr]

Melo by stacit zavest modul ip conntrack, tedy: /sbin/modprobe ip_conntrack_ftp

[Lubos Kopecky]

Co kdyz pouzivam maskaradu? Je to to same? Nebo mam zavest jiny modul? Potreboval bych, aby to fungovalo pro vsechny programy ve vnitrni siti, ne jen ftp.
Dik, Luba

[Petr]

Mysleno tedy na routeru s NATem ...

[RWS]

A nefuguje aktivni i pasivni ftp nebo jen aktivni? Jestli funguje pasivni,tak je to OK. V aktivnim ftp se totiz FTP server snazi pro data pripojovat na klienta na port 20 (ftp-data), a jestli mas zakaz vytvareni spojeni z Inetu do priv.site, tak mas smulu. Leda by ten modul, kterej tady kolega zminuje, umel rozpoznat tenhle pokus o navazani spojeni. Ale ja osobne tohle moc rad nemam. Skoro vsechno uz dneska umi passive ftp, takze se bez toho da obejit.

[unchallenger]

naprostá většina klientů umí pasivní FTP, ale některým je třeba explicitně říci, aby ho používali, např. wgetu (pomůže option --pasive-ftp, resp. passive-ftp=on v $HOME/.wgetrc)

[Antonin Fabicovic]

no ja se nechci hadat, ale FTP server umisteny za NATem nebude fungovat ani v passive. Je treba mit ve firewallu aktivovanu ftp proxy, ktera bude parserovat pakety nalezici ftp a pri DNATovani prepise jeste ip adresu uvnitr tela paketu. Stejny problem nastava napr. u H.232

[Pavel]

No jo, ale celá diskuze tady je o ftp KLIENTECH za NATem....

[Antonin Fabicovic]

oops 8-) Priste si vezmu brejle

[RWS]

K tomu bych jen doplnil:
pokud je FTP server umisteny za NATem a ma byt pristupny pro verejnost, tak

1. pro aktivni FTP na firewallu musi byt povoleno predavani pozadavku na port 21 na ftp server (cili dovnitr site) a musi byt povoleno predavani (navazovani spojeni) pozadavku z FTP serveru ven na porty 20 (v aktivnim modu je klient musi otevrit pro prijem dat). Samozrejme musi mit klient verejny IPcko nebo byt za firewallem, ktery mu predava pozadavky na port 20 a firewall musi povolovat klientovi ven na port 21.
2. pro pasivni FTP musi mit firewall u FTP serveru povoleny krome portu 21 dovnitr take porty 1024-65535 (tam se totiz snazi klient pripojovat pri pasivnim modu pro data-naopak u aktivniho se pripojuje FTP server ke klientovi). A na klientovi musi byt povoleny na porty 21 a 1024-65535 ven.

Samozrejmosti je nastaveni firewallu u FTP serveru na DNAT, pripadne spravnyho routovani (pokud ma FTP server verejnou IP).

Jinak v tom nevidim problem, protoze pri ftp prenosech se navazujou normalni TCP/IP spojeni, ale ne jen jedno, ale dve-ridici a datovy. Cili, neni v tom velky problem, ale predpoklada to spravne nastaveny firewally:)

[Antonin Fabicovic]

no jestli ma verejnou adresu, neni co resit (normalne se to proroutuje, jde v zasade o model klasicke DMZ -- NAT v tomto pripade postrada smysl (snad az na ty uchyly v CTc-aDSL:) )), me slo o FTP server za klasickym NATem, tedy s neverejnou adresou. Tam je potreba manglovat nejen hlavicku paketu, ale i informace v tele. Protoze i v pasivnim rezimu odesila ftp server informace o IP pro vytvoreni datoveho spojeni v "mylnem" tvaru s neverejnou IP adresou (ona znama "sestikombinace" cisel urcujicich IP a port na kterem bude naslouchat ftp server s datovym spojenim prislusicim k prave probihajici ridici session.

ale to je vcelku jedno, puvodni dotaz byl o necem jinem :o)

[BoB2NET]

problem pasivni aktivni rezim pri pouzivani FTP za NATem by mel resit modul ip_nat_ftp....takze vyzkousej zavest modprobe ip_nat_ftp

[Bimbo]

Tak koukam,ze je tu docela hodne chytrych hlav... Zeptam se jednoduse..Mam CDMA=) sem za NATem a IP se mi meni skoro pri kazdym reconnectu. snazim se rozjet Filezillu FTP server a jako firewall pouzivam Kerio. Jak bych mel v options nastavit passive mode settings aby to bylo viditelny z venku?? je to vubec mozny ?? Diky ! A sorry za takovej lamackej dotaz..

[Michal Marek (twofish)]

Ne.

[Bimbo]

Jo a jeste takovy detail...pouzivam Win XP SP2 =))

[zabza]

Gratulujeme!