Newsgroup: it.comp.os.linux.sys
Titolo: ftp su porta non standard

Ciao a tutti,
 
ho un server ftp su una porta non standard.
All'avvio carico il modulo nf_conntrack_ftp (passando la porta 21 e la 
porta non standard) e nf_nat_ftp.
Visualizzando /sys/module/nf_conntrack_ftp/parameters/ports vedo che i 
parametri sono ok.
Ovviamente in lan il server è ok.
Da fuori, non va. Il problema è che il firewall non mi fa passare la 
porta passiva.
Se in shorewall natto esplicitamente la porta passiva, funziona.
Se sposto il server sulla 21, va anche da fuori.
Insomma, parrebbe che il modulo nf_conntrack_ftp non faccia il suo 
lavoro su porte diverse dalla 21.
Qualcuno ha delle esperienze in merito?
 
Ciao e grazie!
 
L


Sospetto, che la porta 21 *definisca* il servizio ftp.
 
Back in the day, l'idea era di associare ad ogni
servizio una porta *specifica*.
In modo tale che porta-servizio e servizio-porta
fossero una cosa unica ed inscindibile.
 
Solo in seguito la cosa si e` dissociata e le
relazioni servizio-porta sono diventate, come
dire, freestyle.
 
Detto altrimenti, nf_conntrack_ftp fa esattamente
il suo dovere quando considera *solo* la porta 21,
perche` quella *e`* il servizio ftp.
 
Sempre un sospetto...
 
bye,
 
-- 
 
piergiorgio

 perche` quella *e`* il servizio ftp.
 
Ciao e grazie per l'aiuto!
il modulo nf_conntrack_ftp accetta il parametro ports con cui passargli 
le porte da esaminare (ports=21,12345).
Sono certo che le porte se la sia mangiate perchè cat 
/sys/module/nf_conntrack_ftp/parameters/ports ritorna 21,12345.
Solo che da fuori mi funziona solo se mi connetto all'ftp con la 21, se 
uso la 12345 non va. Ovviamente in lan tutto ok.
Se natto esplicitamente le porte passive, funziona anche da fuori sulla 
12345.
Ho aggiornato il kernel alla 4.4.5 ma non ho risolto nulla.
Esperienze in merito?
 
Ciao e grazie!
 
L

 uso la 12345 non va. Ovviamente in lan tutto ok.
 
Forse ho letto male il thread, ma il tuo gateway/router/firewall davanti 
al server accetta le connessioni sulla porta 12345?
Se sul server ti metti in ascolto su quella porta con un altro servizio 
(ad esempio con nc -l 12345) da fuori LAN lo raggiungi?
 


Ciao,
 
Sì le accetta. Risponde fino al PASV, ma poi muore tutto alla successiva 
richiesta MLSD.
Grazie,
 
L

 richiesta MLSD.
 
..nessuno? :-(
 

Che kernel usi? Son sicuro che tu l'abbia già fatto ma hai seguito 
quanto scritto a questo link?
http://shorewall.net/FTP.html#Ports
 


Quando dici "da fuori" intendi direttamente attaccato dopo il firewall 
(shorewall?) oppure da una altra macchina su Internet? Nel secondo caso, 
sei sicuro che qualcuno nel mezzo non rompa le scatole?
 
In entrambi i casi, se sniffi quello che invia il client cosa vedi? 
(immagino solo il SYN e niente ACK).
 
-- 
Luca
http://www.civinini.net
 
 
"Unix is simple. It just takes a genius to understand its simplicity." - 
Dennis Ritchie

 (immagino solo il SYN e niente ACK).
 
Corretto, vedo il SYN e una sua ritrasmissione, nessun SYN ACK.
 
Molte grazie per l'aiuto!
 
L


ma porc... ho usato lo scheletro del file conntrack dove quella riga per 
l'ftp non standard era già inclusa... peccato che in testa ci fosse ?if 
$AUTOHELPERS && __CT_TARGET che probabilmente veniva valutata falsa...
Ora funziona!
 
Grazie a tutti!!!!
 
L

 Corretto, vedo il SYN e una sua ritrasmissione, nessun SYN ACK.
 
Risolto, come da risposta a Beppe!
Grazie a tutti!!!!
 
L
 

 (immagino solo il SYN e niente ACK).
 
Ciao a tutti,
 
riesumo il thread perché vorrei sistemare una cosa che con l'ftp non è 
bloccante, ma che probabilmente è la causa dei miei problemi con asterisk.
Premesso: Il server proftpd (che fa anche da firewall) è in una DMZ, 
lato router l'ip è 192.168.100.1.
A seguito del comando PASV, il server risponde col suo IP e la porta 
passiva. Come ip però riporta 192.168.100.1, che fa arrabbiare i client 
FileZilla con un messaggio "Server sent passive reply with unroutable 
address. Using server address instead". Comunque a parte questo, l'FTP 
funziona.
Se utilizzo l'opzione MasqueradeAddress in proftpd, essa funziona 
fantasticamente e il server al PASV risponde con l'ip pubblico. Peccato 
però che a questo punto tutto si pianti, sicuramente perché 
nf_conntrack_ftp non sa nulla dell'ip pubblico e quindi la porta 
dell'ftp passivo non viene nattata.
La domanda a questo punto è se c'è un modo per dire al signor 
nf_connfrack_ftp anche l'ip pubblico per dirgli che è sempre quella 
macchina, o se c'è anche un altra soluzione.
 
Molte grazie,
 
L