Newsgroup: it.comp.sicurezza.varie
Titolo: Problemi FTP con firewall

Salve.
nel mio router ADSL c'è un firewall stateless integrato.
l'ho impostato in modo da rifiutare tutto eccetto il traffico sulle 
porte 21,25,53,80,110,119,443,8080.
ovviamente essendo stateless non posso specificare l'applicazione ma 
solo le porte.
Il problema è che non riesco a scaricare file tramite FTP.
ho notato con ActivePorts che quando mi collego a un sito FTP,
la connessione viene stabilita, oltre che sulla porta 21, su una porta 
randomica (scelta dal server ftp probabilmente) che ovviamente è chiusa 
sul mio firewall quindi mi risulta impossibile scaricare il file.
mi chiedevo se fosse possibile forzare in qualche modo lo scaricamento 
ftp solo dalla porta 21 oppure suggeritemi possibili soluzioni senza 
aprire grossi buchi nel firewall.
Ringrazio in anticipo

 solo le porte.
Prova ad usare il passive mode e poi ti ricordo che oltre la porta
21 c'e' anche la 20 (ftp-data).
-- 
Due scopettoni per domarli, un detersivo per lavarli e nel cesso scaricarli

 21 c'e' anche la 20 (ftp-data).
non so cosa sia il passive mode e non credo che il mio firewall 
rudimentale lo preveda.
la tcp20 (ftp data) serve per scaricare? (non mi interessa fare da 
server ftp).
la devo aprire in direzione inbound?
grazie mille.

 la devo aprire in direzione inbound?
Perche', invece di complicarti la vita con un aggeggio che non e'
capace di fare stateful inspection non ne metti su uno serio? Se vuoi
qualcosa per Uindous c'e' CHX-I (
http://www.idrci.net
) oppure prendi
un PC, installi IpCop (
http://www.ipcop.org/
) e vivi felice.


 la devo aprire in direzione inbound?
Se vai in passive mode, no. altrimenti, si.
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*                         
http://www.google.com
                    *
*                                                                  *
*                           ET IN ARCADIA EGO                      *

 
Grazie 
mille.ma
 il browser IE può essere impostato in qualche modo per 
lavorare in passive mode ftp oppure mi serve un client ftp a parte?

 fare: basta digitare il comando PASSIVE.
No: il client di default di win2000, afair, non conosce "PASSIVE". <g>

 No: il client di default di win2000, afair, non conosce "PASSIVE". <g>
E ricordi bene, mio giovane hackaro..
C:\Documents and Settings\pier>cd\
C:\>ftp 
ftp.linux.it
Connesso a 
vlad-tepes.bofh.it
.
220 (vsFTPd 1.2.0)
Utente (vlad-tepes.bofh.it:(none)): anonymous
331 Please specify the password.
Password:
230 Login successful.
ftp> passive
Comando non valido
che dire, bel cesso..


 oppure mi serve un client ftp a parte?
Mi sembrerebbe comunque una buona idea.
RTF[abio]M

 la devo aprire in direzione inbound?
Si, ma come porta sorgente, con destinazione le
porte alte ed impostando NAT statico per il tuo
ip interno. In pratica, cosi' facendo, bastera'
che i cattivi usino la 20/tcp come sorgente per
arrivare al tuo host su un certo range di porte
alte.
Con riferimento al tuo primo post, le porte per
la connessione DATA (quella con cui scarichi il
file) vengono scelte:
 - dal client, con ftp attivo: il server inizia
   la connessione dalla porta 20/tcp alla porta
   che il client ha comunicato...
 - ... o dal server, con ftp passivo: il client
   inizia una connessione da una sua porta alta
   verso una porta alta (del server) comunicata
   dal server.
Fabio
PS: che router ADSL e'?

 E ricordi bene, mio giovane hackaro..
Be', ma tu parlavi di client "primitivi", non "pessimi" <g>
Fabio (pero' e' facilmente scriptabile)

    che il client ha comunicato...
Sicuro che non sia il client a iniziare da effimera comunicata a porta 20?!? ;-)
Baùnz a tutti...

 Fabio (pero' e' facilmente scriptabile)
Capirai.. usare un cesso quando c'e' di molto meglio in giro, anche
free..


 La differenza e' molto sottile, devi ammettere, pero'..
ROTFL... Parla l'esperto... Quello che pretendeva di uscire in FTP 
collegandosi in locale... LOL..
http://groups.google.it/groups?hl=it&lr=&ie=UTF-8&oe=UTF-8&th=c872da66
a309c3cf&rnum=1
-- 
Money is the root of all wealth 
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com
Akapulce portal: 
http://www.akapulce.net

 ;-)
Ah! :-p

 free..
Beh, pero' cio' permette l'innegabile vantaggio di poter scrivere
giocattolini come sasser, no? <eg>


 effimera comunicata a porta 20?!? ;-)
O che sia comunicare l'effimero che porta il
client a non iniziare sicuro da 20?
Fabio



3 soli caratteri:
O_o

 O_o
E' solo perche' l'effimero 20 non inizia a portare
la comunicazione sicura al client.
(aaargh)

 giocattolini come sasser, no? <eg>
Beh se i tipi che li scrivono sono come il bamboccio che scrisse
Blaster ora capisco perche' la gente che crede ciecamente in m$
_merita_ che gli si riavvii il PC ;-)
