Dotaz: iptables a explicitní FTP přes TLS

[bobo]

pokouším se o spojení na FTP ale spojení proběhne následovně:

Připojení navázáno, čekání na uvítací zprávu...

Stav: Inicializace TLS... Stav: Ověřování certifikátu...

Stav: TLS připojení navázáno.

Stav: Logged in

Stav: Načítání výpisu složky...

Chyba: Nezdařilo se získat výpis složky

potom vyprší časový limit a spojení je ukončeno, pokud použiji nešifrované spojení tak se naváže normálně

iptables:

-A FORWARD -s 192.168.0.1 -m state --state RELATED,ESTABLISHED -j ACCEPT

-A FORWARD -s 192.168.0.1 -p tcp -m tcp --dport 21 -j ACCEPT

povolené moduly v iptables-config: IPTABLES_MODULES="ip_conntrack_ftp" IPTABLES_MODULES="ip_nat_ftp"

nevíte někdo kde dělám chybu?

---

---

Odpovědi

[Jendа]

Nepřiložil jsi packet capture spojení a dump FTP příkazů. Z nich by problém měl být zjevný (klient snaží navázat další TCP spojení na nový port, ale forwardující počítač o tom nemůže vědět, protože je spojení šifrováno).

[bobo]

asi jem trochu natvrdlý ale nevím jak získat paket capture spojeni a dump FTP příkazů - mohl by jsi mě trochu navést?

[Jendа]

asi jem trochu natvrdlý ale nevím jak získat paket capture spojeni

tcpdump

a dump FTP příkazů

Použitím FTP klienta, který je vypisuje (řádkové FTP, filezilla…)

[NN]

http://serverfault.com/questions/362224/using-ftps-ftp-over-explicit-tls-ssl-with-active-ftp

[fish]

Mam ti cece takovej divnej pocit ... ze sifrovany ftp jaksi pres NAT nedostanes, kupodivu prave proto, ze je sifrovany, a tudiz ten modul jaksi nema kde vzit tu IP adresu, kterou vysava prave z toho nesifrovanyho spojeni.

Takze, pokud mas za tim NATem server, musis mu nastavit rozsah portu ktery smi pouzivat a vsechny tyhle porty forwardnout. Pokud je to klient, tak samo musi bezet v pasivnim rezimu. Ten modul muzes vyhodit, je ti knicemu.

A jestly ty IP minis jako priklad, tak i ten priklad mas blbe.

[bobo]

pokud upravím pravidlo na:

-A FORWARD -s 192.168.0.1 -p tcp -m tcp --dport 1024:65535 -j ACCEPT

tak se spojení naváže ale nevím jestli je to dobré z hlediska bezpečnosti

[Jendа]

Pokud ti tam neposlouchá žádná služba, kterou potřebuješ firewallem chránit (což je až na některé speciální případy problém sám o sobě), tak ne.

[fish]

Pro klid duse si ten rozsah portu muzes zmensit, podle ocekavaneho poctu klientu. Snad vsechny bezne ftp servery umoznuji nastavit rozsah portu pro pasivni spojeni - vsftpd napriklad pasv_min_port a pasv_max_port.

[Filip Jirsák]

Z hlediska bezpečnosti musíte přesně vědět, která pravidla firewallu tam proč máte a čemu mají bránit. Pokud to nevíte, firewall je zbytečný, protože vám stejně bude komunikaci propouštět nebo blokovat víceméně náhodně. Normálně na počítači nepotřebujete žádný firewall, cpát firewally všude je zlozvyk z Windows, kde dříve ve výchozím nastavení běžela spousta děravých služeb, takže firewall byla jediná možnost, jak to aspoň trochu zabezpečit.

[Filip Jirsák]

Používáte u FTP pasivní režim? Výpis složky se myslím přenáší datovým spojením, a to se u klasického FTP navazuje ze serveru na klienta. Když použijete pasivní režim, navazuje se i datové spojení směrem z klienta na server. Aktivní FTP potřebuje v případě NATu podporu na straně NATu (musí správně upravit i obsah FTP komunikace, ve které se přenášejí IP adresy). Když je spojení šifrované, NAT dovnitř nevidí ani to nemůže modifikovat, takže lze použít jedině pasivní FTP.

[bobo]

používám pasivní režim a je to komunikace z clienta na vzdálený FTP server

[Filip Jirsák]

Teď koukám, že tam máte omezení na port 21. To je problém, v pasivním režimu se datové spojení na server nenavazuje na port 21, ale na libovolný port určený serverem. Potřebujete tedy nechat na firewallu povolený přístup na libovolný port toho serveru.