Newsgroup: it.comp.reti.ip-admin
Titolo: Server FTP dietro router Aethra Starbridge EU

Il router in questione dispone di una porta ethernet ed è collegato (oltre
ad altre macchine) ad una macchina su cui gira un server ftp che deve essere
visibile dall'esterno. Il router, che dispone di NAT e server DHCP, ha
indirizzo 192.168.0.1, mentre il server ftp ottiene l'indirizzo
192.168.0.198 tramite DHCP. Il router include anche un proprio server ftp e
un server web per la configurazione.
Per rendere visibile il server ftp dall'esterno ho impostato due regole di
port forwarding nel router:
public port 21, private port 21, host address 192.168.0.198
public port 20, private port 20, host address 192.168.0.198
L'idea è ovviamente quella reindirizzare le richieste a 
192.168.0.1:21
 (o
20) verso 
192.168.0.198:21
 (o 20).
Perché collegandosi sempre via ftp a 
192.168.0.1:21
 non funziona?
Evidentemente il router non forwarda la richiesta verso il server. Come
fare?
Ho rifatto altre prove con:
- indirizzo del router 192.168.1.1 e del server ftp 192.168.1.198,
modificando conseguentemente le regole;
- con nat attivo/disattivo;
- numeri di porta diversi, ad esempio 2121 e 2020 e impostando il server
sulla porta 2121.
e combinazioni di queste, ma continua a non funzionare!
Nella configurazione del router esiste una voce "enable ftp server".
Attivandola ogni richiesta a 
192.168.0.1:21
 non viene ovviamente forwardata,
ma risponde il server ftp del router.
Qualcuno ha qualche illuminante idea?
Tax

 Qualcuno ha qualche illuminante idea?
Ma non e' un router adsl?
Di indirizzi pubblici, nel tuo discorso manco l'ombra, eh?
bye G.L.
-- 
- Renaissance, aka Gian Luca Sole -
Cit. « E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
                                         (Woody Allen)

 bye G.L.
Già, dimenticavo...
Il router in questione è un router adsl, a cui viene assegnato un indirizzo
pubblico dal provider (il fatto che l'indirizzo pubblico possa cambiare non
è un problema...)
Tax

 è un problema...)
1) E' prassi assegnare un indirizzo statico al server. Sempre che tu
    non voglia riscriverti spesso le regole di nat sul router...
2) Dall'interno della lan, il 99% dei router non fanno la redirezione che
     desideri.
  a - prova dall'esterno, prendi un pc della lan,
       staccalo dalla rete e disattiva la scheda di rete, muniscilo di 
modem e
       connettiti ad un provider qualsiasi e prova a "ftp-are" l'ip 
pubblico,
       che otterrai da un pc collegato all'adsl dal sito 
http://myip.dk
.
   b - In alternativa fai fare questa prova "esterna" da un amico 
connesso a internet
        se il punto "a" ti dovesse venire scomodo..
3) L'apertura di un servizio all'esterno costituisce una possibile 
security-hole della
      tua rete, specie se il server "convive" in lan con gli altri pc:
      se il router ha un firewall, o perlomeno delle acl configurabili, 
cerca di limitare
      l'accesso solo ad ip "fidati".


       l'accesso solo ad ip "fidati".
Prima di tutto grazie per le info!!!
C'è ancora qualcosa che non mi è chiaro... :-(
- sulla scatola del router c'è scritto "allows internal servers on the lan
to be accessed by external hosts", per cui credo che il router rientri nel
misero 1% :-)
- la tua affermazione al punto 3 è sacrosanta, ma impostando il firewall del
router in modo da accettare connessioni dall'esterno solamente sulla porta
21 e forwardando queste richieste verso l'ftp server non dovrebbero aprirsi
buchi o voragini nella sicurezza della rete... o sbaglio?
Tax

 buchi o voragini nella sicurezza della rete... o sbaglio?
Sbagli: a parte eventuali attacchi Dos, se c'e' un baco sul server ftp, 
o sullo
stack tcp/ip del server, possono prendere controllo del server, e forse 
dal server
accedere agli altri pc della lan. Il firewall non copre i bachi di un 
servizio (a parte
altri tipi di firewall che non siano un normale filtraggio/manipolazione 
di indirizzi
e porte).


 e porte).
Se c'č un errore nel server ftp o nello stack tcp/ip č naturale che un
firewall packet filtering puň fare ben poca cosa... :-(
Tax

 porte opportune verso il server?
Normalmente si, e' questo lo puoi tranquillamente verificare nel
modo che ti ho consigliato. Qual'e' il problema?
