Newsgroup: it.comp.reti.cisco
Titolo: Ftp Pasv

Ciao a tutti,
qualcuno sa se è possibile fare in modo di collegarsi ad un server ftp in
pasv mode (qui sta il bello, se no era troppo facile) che sta dietro ad un
ios fw con indirizzo pubblico nattato in condivisione con altre macchine?
In altre parole, non posso mappare tutte le porte verso quel server in
quanto perderei le mappature verso gli altri host, non posso nemmeno mappare
delle porte specifiche superiori alla 1024 in quanto non so che porta
negozieranno il server ed il client.
Non ditemi che debbo far richiedere altri ip statici al cliente che lo so
già :-)
Ciao,
         Tosh.

 negozieranno il server ed il client.
io proverei facendo un nat overload e poi girando solo la 21 verso
quell'host e le altre verso gli altri.
tipico esempio:
ip nat ins sour list 100 int d1 over 
ip nat isn sour sta tcp 192.168.1.1 25 d1 25
ip nat ins sour sta tcp 192.168.1.2 80 d1 80
e dovrebbe funzionare tutto.
prova prima senza cbac per evitare interazioni e poi con cbac.
ricorda l'inspect tcp almeno (credo vi sia anche il ftp ma non ricordo
ora).
un mayhem grondante di sudore
-- 
 Diplomazia: dire bravo cagnetto fino a che non trovi il bastone. 
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613


La mia conf è proprio come quella che hai indicato tu, ma non funziona.
Il problema è che in pasv mode il client ed il server negoziano per il
trasferimento una sessione che ha entrambe le porte sopra la 1024 e
soprattutto non predicibili (almeno nel server del mio cliente), per cui il
trasferimento non riesce ad avvenire in quanto manca la mappatura delle
suddette porte nel nat del firewall, il cbac il suo lavoro lo farebbe anche.
Una soluzione sarebbe mappare tutte le porte, ma poi mi perdo tutto il
resto, compresa la connessione al router !!!
Se non si riesce ad usare la modalità standard dell'ftp, temo che non resti
altro che convincere il cliente a procurarsi altri indirizzi ip pubblici.
Tnx,
       Tosh.

 La mia conf č proprio come quella che hai indicato tu, ma non funziona.
detto che tale cfg e' presa da un 2504 che ha permesso il collegamenti a
diversi servizi, tra cui ftp, a casa mia, ripeto:
1. hai provato disabilitando le cbac?
2. hai provato girando anche la 20 oltre alla 21 e provando con ftp
normale?
3. il pasv e' un requisito?
un mayhem mal di testa


 3. il pasv e' un requisito?
Vedi sopra.
Grazie comunque per l'interessamento, mi interessava avere la conferma che
non si riesca ad aggirare il problema in qualche strano modo, ora che direi
di averla, posso tranquillamente dire al cliente che deve far modificare le
procedure o prendersi qualche ip pubblico in piů.
Ciao,
        Tosh.


 non prevedere ftp standard e vorrebbero evitare di rimetterci mano.
allora girare la 20 non serve a nulla: di norma lo fai per la paranoia di
non farti traslare anche la connessione che parte dalla 20 vesro l'esterno
su un'altra porta (visto chhe c'e' l'overload).
in merito a farlo con il pasv ... se non lo capisce la cbac sei spacciato.
un mayhem upgrading



La cbac lo dovrebbe capire, il problema è che manca la mappatura statica,
della seria manca una cosa del genere:
ip nat inside static ip xxxx yyyy
che non posso fare perchè debbo condividere lo stesso indirizzo con altri
servizi (ad esempio la navigazione e lo stesso accesso al router, dato che
yyyy è l'unico ip pubblico che ho a disposizione)
Oppure una cosa del genere:
ip nat inside static tcp xxxx  zz yyyy zz
che non posso nemmeno utilizzare perchè non conosco a priori la porta zz che
negozieranno il server ed il client.
Ho visto che il server parte dalla 1040 ed aumenta di 1 ad ogni sessione
fino (credo) ad esaurimento del numero delle porte od allo spegnimento del
server; non posso certo mappare una ad una tutte le porte sopra la 1024!!
Temo non ci sia soluzione.
Ciao,
         Tosh.