Proftpd mit mod_tls hinter einem router

[m3dusa]

Hi,

hab Proftpd mit dem tls Modul installiert. Der sftp server läuft und ist auch aus meinem lan erreichbar.

Hab proftp so eingestellt, dass er sowohl verschlüsselte als auch unverschlüsselte Verbindungsanfragen von Clients zulässt.
Unverschlüsselte Verbindungen können auch übers Internet aufgebaut werden. Bei Verschlüsselten Verbindungen aus dem Internet jedoch bleibt der Client hängen.

Als Fehlermeldung kommt bei passive mode connections:
PASV
227 Entering Passive Mode (192,168,0,2,255,169).
Data Socket Error: Connection refused
List Error
Bei connections im active mode bleibt er einfach nach dem List command stehen.

Gibt es spezielle einstellungen die ich z.b. bzgl. Portforwarding treffen muss damit der sftpserver auch übers internet erreichbar ist ?
Oder kann mir jemand einen Tip geben wie er seinen sftpserver bei sich übers internet erreichbar gemacht hat.

mfg
Andreas H

[stonki]

Gibt es spezielle einstellungen die ich z.b. bzgl. Portforwarding treffen muss damit der sftpserver auch übers internet erreichbar ist ?
Oder kann mir jemand einen Tip geben wie er seinen sftpserver bei sich übers internet erreichbar gemacht hat.

mfg
Andreas H

MasqueradAddress einmal versuchen (siehe directiven Liste fuer genaue Syntax).

cu
stonki

[TL]

Der Server hängt hinter ner Firewall+Router mit NAT denke ich mal.
Bei unverschlüsselten FTP-Verbindungen "lauscht" der Router immer aufm dem FTP Port mit, um herauszubekommen welchen Port er für die nächste Datenverbindung aufmachen muss.
Falls wie in deinem Fall die Verbindung verschlüsselt ist, funktioniert dieser Mechanismus nicht mehr, da der Router die verschlüsselten FTP Kommandos nicht mitlesen kann.
Um das Problem in den Griff zu bekommen einfach dem Server eine definierte Port-Range zuweisen (mittels

Code:

PassivePorts  49000 49100

) und diese Ports auch fest im Router freigeben und auf den Server forwarden.

[m3dusa]

Hi,

TL: Hatte den Eintrag mit "PassivePorts" schon in meiner .conf! Forwarding hab ich dann auchnoch eingestellt - aber daraufhin hat sich erstmal nichts geändert. (expliziet gesperrt warn die ports sowieso nicht)

Stonki: Obwohl du mir schon hilfreiche tips gegeben hast hat mich der Tip mit MasqueradAddress leider nicht weiter gebracht.

Aber hab die Lösung durch rumspielen am Client gefunden. Da gabs ne Option "Site uses Masq/Nat/Non-Routable IP" und als ich die angemacht hab gings ohne Probleme.
Wundert mich aber schon weng, da ja normales ftp auch ohne diese Option funktioniert hat.
Kann sich jemand erklären was das genau bewirkt hat?

mfg
Andreas H

[Anonymous]

Hi,

na genau das selbe wie bei einem VPN das NAT schreibt die Pakete um, und das führ dazu das die cecksumme der Pakete nicht mehr stimmt.

mfg charlie

[Marc Korthaus]

Das gleiche Problem hatte ich heute auch und konnte es mit "MasqueradeAddress" lösen: Diese Direktive gibt an, welche IP ProFTP in der Anweisung

227 Entering Passive Mode (*,*,*,*,234,99).

mitliefert (die *,*,*,* muss Deine externe IP-Nummer sein - also die des Routers oder der Firewall) andernfalls versucht der Client sich auf andere IP zu verbinden - was hoffnungslos ist wenn der nicht im selben Subnetz ist wie Dein FTP-Server (hier: 227 Entering Passive Mode (192,168,0,2,255,169) - IP ist also 192.168.0.2).

Hilft das?

[Anonymous]

Jo kewl! Big THX genau das hab ich gesucht!