Nefunguje ftp přes nat

A nefuguje aktivni i pasivni ftp nebo jen aktivni? Jestli funguje pasivni,tak je to OK. V aktivnim ftp se totiz FTP server snazi pro data pripojovat na klienta na port 20 (ftp-data), a jestli mas zakaz vytvareni spojeni z Inetu do priv.site, tak mas smulu. Leda by ten modul, kterej tady kolega zminuje, umel rozpoznat tenhle pokus o navazani spojeni. Ale ja osobne tohle moc rad nemam. Skoro vsechno uz dneska umi passive ftp, takze se bez toho da obejit.

6.7.2003 22:15 unchallenger | skóre: 69 | blog: unchallenger
Rozbalit Rozbalit vše Nefunguje ftp přes nat

naprostá většina klientů umí pasivní FTP, ale některým je třeba explicitně říci, aby ho používali, např. wgetu (pomůže option --pasive-ftp, resp. passive-ftp=on v $HOME/.wgetrc)

7.7.2003 15:59 Antonin Fabicovic | skóre: 21
Rozbalit Rozbalit vše Nefunguje ftp přes nat

no ja se nechci hadat, ale FTP server umisteny za NATem nebude fungovat ani v passive. Je treba mit ve firewallu aktivovanu ftp proxy, ktera bude parserovat pakety nalezici ftp a pri DNATovani prepise jeste ip adresu uvnitr tela paketu. Stejny problem nastava napr. u H.232

7.7.2003 20:05 Pavel
Rozbalit Rozbalit vše Nefunguje ftp přes nat

No jo, ale celá diskuze tady je o ftp KLIENTECH za NATem....

7.7.2003 20:31 Antonin Fabicovic | skóre: 21
Rozbalit Rozbalit vše Nefunguje ftp přes nat

oops 8-) Priste si vezmu brejle :-)

7.7.2003 23:01 RWS
Rozbalit Rozbalit vše Nefunguje ftp přes nat

K tomu bych jen doplnil:
pokud je FTP server umisteny za NATem a ma byt pristupny pro verejnost, tak

pro aktivni FTP na firewallu musi byt povoleno predavani pozadavku na port 21 na ftp server (cili dovnitr site) a musi byt povoleno predavani (navazovani spojeni) pozadavku z FTP serveru ven na porty 20 (v aktivnim modu je klient musi otevrit pro prijem dat). Samozrejme musi mit klient verejny IPcko nebo byt za firewallem, ktery mu predava pozadavky na port 20 a firewall musi povolovat klientovi ven na port 21.
pro pasivni FTP musi mit firewall u FTP serveru povoleny krome portu 21 dovnitr take porty 1024-65535 (tam se totiz snazi klient pripojovat pri pasivnim modu pro data-naopak u aktivniho se pripojuje FTP server ke klientovi). A na klientovi musi byt povoleny na porty 21 a 1024-65535 ven.

Samozrejmosti je nastaveni firewallu u FTP serveru na DNAT, pripadne spravnyho routovani (pokud ma FTP server verejnou IP).

Jinak v tom nevidim problem, protoze pri ftp prenosech se navazujou normalni TCP/IP spojeni, ale ne jen jedno, ale dve-ridici a datovy. Cili, neni v tom velky problem, ale predpoklada to spravne nastaveny firewally:)

8.7.2003 12:49 Antonin Fabicovic | skóre: 21
Rozbalit Rozbalit vše Nefunguje ftp přes nat

no jestli ma verejnou adresu, neni co resit (normalne se to proroutuje, jde v zasade o model klasicke DMZ -- NAT v tomto pripade postrada smysl (snad az na ty uchyly v CTc-aDSL:) )), me slo o FTP server za klasickym NATem, tedy s neverejnou adresou. Tam je potreba manglovat nejen hlavicku paketu, ale i informace v tele. Protoze i v pasivnim rezimu odesila ftp server informace o IP pro vytvoreni datoveho spojeni v "mylnem" tvaru s neverejnou IP adresou (ona znama "sestikombinace" cisel urcujicich IP a port na kterem bude naslouchat ftp server s datovym spojenim prislusicim k prave probihajici ridici session.

ale to je vcelku jedno, puvodni dotaz byl o necem jinem :o)

Dotaz: Nefunguje ftp přes nat

Odpovědi