Dotaz: pure-ftpd + pasivni mod + TLS (debian)

[Pury]

Zdravim,

měl bych na vás prosím dotaz ohledně FTP.

Při připojení z interní sítě na ftp server v pasivním módu a se zabezpečeným přenosem (TLS) vše funguje v pohodě.

Problém nastává, když se chci připojit z vnější sítě. Vše probíhá normálně, problém nastává tehdy kdy se aktivuje passive mode a ftp server mi vrací interní adresu, což je asi určitě špatně. Měl by mi dát venkovní adresu, která je na routeru.

Jsem sice schopnej natvrdo podstrčit serveru venkovní IP adresu přes ForcePassiveIP, ale pak se zase nenapojím z vnitřní sítě, kde mi FPT server vrací zase venkovní adresu.

Dá se nějak udělat, aby pure-ftpd server rozeznal z jaké sítě jde komunikace a podle toho přidělil IP adresu (buď vnitřní nebo vnější) ? Děkuji

Odpovědi

[NN]

Pocitam, ze router ma problem s pasivnim FTP, server s tim nema moc spolecneho. Nicmene to muze routeru trochu ulehcit, napriklad konfiguraci pasivnich portu.

[Pury]

Zdravím,

Pasivní porty mám nastaveny taky a to v /etc/pure-ftpd/conf/PassivePortRange, ale mám je nastaveny jen tam nebo se musí nastavit ještě někam ? Díky

[NN]

Ja je nakonfigurovany router?

[Pury]

k routeru bohužel nemám přístup, jedině co jsem na něm měl požadavek tak aby se uživatel z venku dostal na ftp server z vnější adresy. Což normálně funguje, ale nesmí použivat passive mode. Tam už je ta chyba, kde server vrací interní adresu ne externí podle mě.

[tomk]

Nevim o tom, ze by pure-ftpd mel nejakou moznost, jak rozlisit kdy ForcePassiveIP pouzit a kdy ne. Pokud se nic lepsiho nenajde, tak vidim dva universalni workaroundy:

a) Spustit si druhou instanci pure-ftpd s nastavenym ForcePassiveIP naslouchajici napr. na portu 2121 a na tento port redirectovat ridici spojeni z venku. Druha instance snad nepredstavuje moc velkou rezii, bude koukat do stejneho adresare, muze pouzivat stejnou db uzivatelu, ...

b) DNATovat+SNATovat datova spojeni od klientu z vnitrni site na routeru/firewallu.

Tomas

[Pury]

Diky podivam se na to

[lertimir]

A ForcePassiveIP vám z vnějšku funguje? to máte na routru redirektovnou celou tu oblast?