Newsgroup: it.comp.reti.ip-admin
Titolo: Problema con accesso FTP

Buongiorno a tutti, avrei un problema di accesso al Server FTP dall'esterno.
In un ufficio ho un server FTP su una macchina con Windows 2000 Server con
indirizzo locale 192.168.0.1
La macchina è in una Lan collegata ad una Adsl con indirizzi pubblici e con
un firewall nel quale ho creato
la NAT con 192.168.0.1 sulla porta 21
Da casa digitando l'Ip pubblico ci accedo senza problemi a patto di non
usare l'FTP passivo ma a me sta bene. Se provo ad usare l'FTP passivo mi da
errore il comando port ma non fa nulla.
Ora avrei l'esigenza di mettere in rete un altro server con accesso sempre
esterno utilizzando lo stesso ip pubblivo. Prima di farlo ho voluto
modificare la NAT verso il server 192.168.0.1 rimappando la porta 21 con
un'altra porta (ne ho provate sia alte che basse) . Provando ad accedere
dall'esterno dallo stesso pc di casa (anch'io ho un router) però l'FTP non
funziona nè in attive, nè in passive mode benchè abbia ovviamente modificato
l'accesso alla porta 21 con la nuova porta descritta nel router
dell'ufficio.
Allora ho cambiato strategia, ho provato nel Windows 2000 server a
modificare la configurazione del server FTP in modo che utilizzi anzichè la
porta 21 la porta 42 e ovviamente ho modificato la NAT in modo che aprisse
sul server la porta 42 SENZA rimapparla. In locale utililizzando l'ip
locale:42 tutto funzionava.
In remoto no !
Come è possibile che riesca (attive mode) ad accedere al server FTP solo
utilizzando la porta 21 e non un'altra porta oppure una rimappatura della 21
sul router ?
A me servirebbe con lo stesso indirizzo pubblico poter accedere nel futuro a
due server diversi su due macchine differenti (entrambe Windows 2000 server)
sulla stessa LAN ed avevo pensato di giocare sulle porte per distinguere gli
accessi !
Grazie a chi mi potrà aiutare ! Maria
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 sul router ?
Perche' il connection tracking operato dal firewall probabilmente
considera solo il traffico "comandi" che utilizza la porta destinazione
standard (ftp/21).
Devi tenere presente che il protocollo ftp e' un po' particolare
(...apposta ha bisogno del connection tracking - ma ci sono molti altri
casi, anche piu' complessi) dato che, a parte la sessione comando sulla
porta 21, per il trasferimento dati il client si mette in ascolto (fa
lui da server...) su una porta tcp da lui scelta, che viene comunicata
al server tramite la sessione di comando, ed il server poi "contatta"
questa porta sul client usando come porta sorgente la porta 20 (nel caso
del ftp in modalita' "attiva - e si ha un comportamento ancora diverso
nel client e nel server nel caso della modalita' attiva - lascio a te il
compito di documentarti).
In breve: il connection tracking del firewall "sniffa" quello che passa
sulla sessione comando, al fine di far funzionare correttamente le
sessioni trasferimento, aprendo dinamicamente il traffico in uscita solo
per gli ip e le porte necessari per la sola durata della connessioni su
cui viene effettuato il trasferimento dati.
Una cosa pero' mi pare abbastanza evidente: il tuo firewall ha problemi
nel gestire il connection tracking nel caso della modalita' passiva. E
forse non e' neanche "parametrizzabile" per gestire il connection
tracking sulle sessioni comandi che si instaurano su porte destinazione
diverse dalla 21.
bye G.L.
-- 
Renaissance, aka Gian Luca Sole
"E' assolutamente evidente che l'arte del cinema si ispira
alla vita, mentre la vita si ispira alla TV" - Woody Allen

 > Come č possibile che riesca (attive mode) ad accedere al server FTP solo

--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 distinguere gli accessi !
Come hai constatato di persona e come ti ha giustamente detto
"renaissance"
il problema è che molti firewalls, specie quelli economici non
"riconoscono"
le sessioni FTP su porte diverse dalla 21 per cui non è solo un problema
del
tuo firewall ma potrebbe anche diventare un problema di un qualunque f/w
posto di fronte ad un client che tenti di connettersi al tuo server
Tornando al discorso FTP, credo che una possibile soluzione al problema
possa essere quella di "mappare" in FTP alcune cartelle del secondo
servers
usando le share di rete; in tal modo, accedendo tramite FTP sempre al
primo
server ma con le opportune credenziali, si avrà accesso anche alle
cartelle
poste sul secondo server
ciao

 poste sul secondo server
Ciao, infatti avevo pensato di fare cosě dal momento che giŕ adesso una
delle cartelle a cui accedo con 21 č posta su una macchina diversa.
Comunque penso che dipenda dal modem-router-firewall di casa mia (un dlink
nuovo ma economico, mentre quello dell'ufficio invece č un vecchio Symantec
meno economico anche se Matusalemme) dal momento che facendo la prova in
dialup o in umts da una chiavetta Alice gestisco senza problemi l'FTP su
porte diverse dal 21.
Grazie Maria
