Active Mode hinter Netgear RP614v2

[DukeDL]

Hallo

folgendes Problem quält mich:
Ich habe hinter einem Netgear Router Modell RP614v2 mit der aktuellsten Firmware eine Redhat 9.0 Kiste stehen mit installiertem ProFTPd 1.2.9. FTP Server läuft lokal auf Port 21 und entsprechender Forwarding-Eintrag ist am Router vorhanden.

Folgendes ist nun zu beobachten:

1. Verbinde ich mich mit einem Client, der Internet hängt (also kein NAT/Router davor), ist eine Verbindung im aktiven Modus möglich.
2. Verbinde ich mit mit einem Client, der ebenfalls hinter einem Router hängt, kommt nur eine erfolgreiche Verbindung im passiven Modus zustande. Im aktiven Modus bleibt man Directory-Listing (LIST) hängen.

Frage ist nun:
Wie kann ich es ermöglichen, dass ich, egal welche Voraussetzungen bezüglich Netzwerkstruktur hat, immer einen aktiven Modus ermögliche?

Hierfür muss ich sicherlich primär am Router ansetzen, wobei mir der Netgear da nicht viele Möglichkeiten bietet. Port-Forwarding ist dafür ja eigentlich schon korrekt definiert und mit Port Triggering komm ich hierfür auch nicht wirklich weiter.

Eventuell bringt es ja aber die Kombination aus richtiger Router-Einstellung und proFTPd-Konfiguration. Ich hab deswegen mit PassivePorts, MasqueradeAddress, AllowForeignAdress etc. rumprobiert, aber alles half nix.

Weiss dazu eventuell jemand Rat?
mfg DukeDL

[stonki]

Hallo

folgendes Problem quält mich:
Ich habe hinter einem Netgear Router Modell RP614v2 mit der aktuellsten Firmware eine Redhat 9.0 Kiste stehen mit installiertem ProFTPd 1.2.9. FTP Server läuft lokal auf Port 21 und entsprechender Forwarding-Eintrag ist am Router vorhanden.

hast Du Port 20 auch geforwardet ?

[DukeDL]

Ja, habe ich testweise probiert. Dabei ändert sich aber nichts am genannten Problem. Ausserdem las ich, dass ein Port Forwarding auf den Data-Port 20 nicht nötig ist und das Forwarding auf 21 reichen würde.

Hast Du noch ne Idee dazu?
Danke

[stonki]

Ja, habe ich testweise probiert. Dabei ändert sich aber nichts am genannten Problem. Ausserdem las ich, dass ein Port Forwarding auf den Data-Port 20 nicht nötig ist und das Forwarding auf 21 reichen würde.

Hast Du noch ne Idee dazu?
Danke

Wo kann man denn lesen, dass Port 20 nicht noetig ist ? (Was fuer nen schwachsinn).

[Moldy]

Das geht nicht. Genau dafür ist doch der passive Modus da.

Um aktiven Modus hinter NAT zu ermöglichen, müßtest du die Konfiguration auf der Client-Seite ändern - nämlich den NAT abschalten oder den Client in die DMZ stellen.

[stonki]

Das geht nicht. Genau dafür ist doch der passive Modus da.

Um aktiven Modus hinter NAT zu ermöglichen, müßtest du die Konfiguration auf der Client-Seite ändern - nämlich den NAT abschalten oder den Client in die DMZ stellen.

seit wann ?
Bitte lesen: http://www.proftpd.de/7.0.html

Nochmal:
Port 20 und 21 von der Firewall auf den FTP Server weiterleiten und schon geht aktiver FTP. Klappt bei mir ja auch.

cu
stonki

[Anonymous]

Das geht nicht. Genau dafür ist doch der passive Modus da.

Um aktiven Modus hinter NAT zu ermöglichen, müßtest du die Konfiguration auf der Client-Seite ändern - nämlich den NAT abschalten oder den Client in die DMZ stellen.

seit wann ?
Bitte lesen: http://www.proftpd.de/7.0.html

Nochmal:
Port 20 und 21 von der Firewall auf den FTP Server weiterleiten und schon geht aktiver FTP. Klappt bei mir ja auch.

cu
stonki

Das geht dann, wenn der *Server* hinter nem NAT ist, aber nicht, wenn der *Client* auf seiner Seite ein NAT zwischen sich und dem Internet hat.

Denn im aktiven Modus ist die Datenverbindung aus Sicht des Clients eine eingehende Verbindung.
Dafür müsstest du ein Port Forwarding einrichten, auf dem NAT der Clientseite (zusätzlich zu den Forwardings für Port 20 und 21 auf dem NAT der Serverseite). Dann würde es gehen - wobei dann aber auch noch die zusätzliche Schwierigkeit auftreten würde, dass die Verbindung auf dem Client auf einen zufälligen high-range Port geht.

Steht auch in dem von dir angegebenen Link:

The main problem with active mode FTP actually falls on the client side. The FTP client doesn't make the actual connection to the data port of the server--it simply tells the server what port it is listening on and the server connects back to the specified port on the client. From the client side firewall this appears to be an outside system initiating a connection to an internal client--something that is usually blocked.