Newsgroup: it.comp.sicurezza.varie
Titolo: Ftp Server e ftp Passivo

Ho configurato una macchina con Winroute per condividere una connessione ad
internet. Su un host della mia lan ho installato un ftp server raggiungibile
dall'esterno con oppurtune regole di nat. Connettendomi al server
dall'esterno in modalita' attiva nessun problema. Se tento di connettermi in
modalita' passiva invece devo lasciare aperte sull'interfaccia esterna del
firewall tutte le porte >1023. Questa soluzione pero' non mi sembra il
massimo della sicurezza. C'è qualche soluzione alternativa?
Grazie.

 ha scritto:

Che io sappia no.
Quando il client chiede la modalita' passiva il server ftp seleziona una
porta tra la 1024 e la 65535 per il canale dati e la comunica al client
tramite la porta comandi 21. Da quanto ho capito io non v'e' alcun modo
banale per dire al firewall qual 'e' questa porta tra la 1024 e la 65535,
ergo il firewall, se configurato come il tuo, la taglia. L'unica
possibilita' e', per quanto ne so io, piazzare il server ftp in una DMZ
esterna al firewall, e magari protetta da un altro firewall con regole
meno restrittive. In generale comunque piazzare un server ftp che permetta
accesso in modalita' passiva (o un server ftp in generale) in una rete
interna privata credo sia un'idea molto "no buona". 
Stammi bene,
b.

 rete interna privata credo sia un'idea molto "no buona". 
Decisamente vero. Di solito si dedica una macchina per questa 
funzione completamente a se.
-- 
Lenny 


In effetti il server sta su un segmento di rete separato (DMZ). Il problema
è che sulla stessa macchina è configurato anche un web server e la mia
preoccupazione era non compromettere piu' del necessario la sicurezza del
web.
Ciao

 necessario la sicurezza del web.
Secondo me non è buona cosa far condividere due servizi così 
imponenti sulla stessa macchina, ma ovvio, parere mio.
ciao
-- 
Lenny 
<< 
www.italweb.it
 >>
<< 
www.openlabs.it/index.php
 >>

 massimo della sicurezza. C'è qualche soluzione alternativa?
Il modulo di iptables ip_nat_ftp credo sia quello che ti serve.
-- 
HappyCactus - Registered Linux User #209744
http://www.angelfire.com/jazz/happycactus/index.html
Made with 100% recycled electrons

 ha scritto:

Mah se devi semplicemente permettere l'accesso in lettura a determinati
file mi sembra non del tutto disprezzabile l'idea di usare le funzionalita' del web
sever stesso, altrimenti se devi permettere per forza l'upload di file (ad
utenti opportuni) mi sembra ragionevole la restrizione di imporre l'uso di
client  solo in modalita' attiva (che e' supportata sia dai vari Ws_Ftp sia da
cuteftp4 sia dai client ftp unix) e che quindi ti permettano, per il canale
dati dell'ftp, di impostare il firewall in maniera da accettare
connessioni 'non syn' sulla porta 20 e basta. Permettere l'upload di file
da client in modalita' passiva significa di fatto che devi impostare 
filtro in maniera che lasci passare, per il tuo server web/ftp, qualsiasi
syn remoto da qualsiasi porta > 1023 su qualsiasi porta del server >1023. 
Insomma un filtro che non filtra poi sto granche'.
Stammi bene,
b.

C'è qualche soluzione alternativa?
Mi sembrava che winroute gestisse correttamente il nat ftp, anche
in modo passivo, ma non l'ho usato mai di persona e quindi non te
lo posso assicurare (mamma mia: sulla pagina del nat, nel manuale
di winroute sul sito di kerio, c'e' una cagata tremenda. O mi sto
sbagliando io?).
http://www.kerio.com/manual/wrp/en/147.htm
Altrimenti, piu' o meno in ordine di opportunita' di applicazione
(IMHO):
- cambi router/firewall e ci metti qualcosa di serio: il modulo a
  cui ha fatto riferimento HappyCactus funziona proprio bene (non
  trascurerei di installare anche ip_conntrack_ftp);
- metti un proxy ftp;
- non usi la modalita' passiva;
- apri l'accesso a tutte le porte sul server ftp e stai attento a
  non metterci in ascolto niente.
Fabio
PS: ma a cosa ti serve ftp? Se non e' un server pubblico io farei
    a meno di ftp e userei scp o sftp, cosi' non ci pensi piu'.

 
forse ti riferisci:
"Note: Clients in passive mode will try to open a new connection on port 20. WinRoute will dynamically allocate this port so
there is no need to create an additional port mapping"?
Stammi bene,
b.
p.s.
Personalmente, specie se in compagnia di una ragazza, ne ho sparate
di enormemente peggiori.

 di enormemente peggiori.
Alzi la mano chi non non ha mai detto una cagata. Su dai... in alto
queste mani, ce n'e' per tutti... vabbe' lasciamo perdere. Comunque
tu non sei il sito ufficiale di un prodotto di cui pubblichi (sigh)
il manuale d'uso [1].
Chissa' perche': la versione localizzata in italiano non riporta la
frase in oggetto.
Fabio
[1] ho un dubbio: non so bene quale fosse il prodotto, nel tuo caso,
    ma sarei molto curioso di leggerne il manuale d'uso.