ftp passive mode Problem

[ava2k3]

Hi,

mit folgendem Problem würde ich mich gerne an euch wenden.

Einer unserer Kunden zieht gerade seine Systeme von einem anderen Anbieter zu uns um. Nun hat er ein FTP Problem festgestellt, welches er auf der alten Umgebug nicht hat, auf unserer (neuen) aber schon.

folgendes geht nicht:

Wenn er in einer FTP verbindung von uns aus den passive mode ausschaltet, wird die Verbindung getrennt.

bsp:

NEUE Umgebung:

Remote system type is Windows_NT.

ftp> passive

Passive mode off.

ftp> ls

421 Service not available, remote server has closed connection

ftp>

ALTE Umgebung:

Remote system type is Windows_NT.

ftp> passive

Passive mode off.

ftp> ls

200 PORT command successful.

150 Opening ASCII mode data connection for /bin/ls.

03-23-10 04:49PM <DIR> CUSTUSERS

226 Transfer complete.

ftp>

Ich habe leider weder Zugriff auf den FTP Server der Gegenseite, noch weiss ich (oder kann ich Erfahrung bringen) wie die alten System eingerichtet sind oder wie das Netzwerk dort aussieht.

Ich kann nur folgendes zu unserem System sagen:

- CentOS 5.3

- nur eine private IP

- Zugang zum Internet über NAT

- Firewall ist nach aussen komplett offen (nur incomig gibt es Regeln).

Ich habe im moment leider nicht wirklich einen Ansatz was ich machen soll/kann.

Vielleicht hat einer von euch einen Tipp / eine Idee!?

Gruß und danke

Sebastian

[FinalFantasy]

Bei aktivem FTP baut der Client seine Datenverbindung zum Server aktiv auf. Der Server hat hierzu einen Portrange auf dem er diese Verbindungen annimmt, in der Regel kann man die auch einstellen.

Da dein Server über NAT am Internet hängt, brauchst du hierbei Portforwarding für die entsprechenden Ports auf dem Router.

Ich bin mir ziemlich sicher, dass diese bei dir fehlen.

Andere Vermutung, aber ein absoluter Tip ins blaue:

Ist es denn die selbe Serversoftware als auf dem alten System? Vielleicht kann der Server einfach nicht in einer laufenden Verbindung zwischen aktiv und passiv wechseln?

Bearbeitet 14. April 2010 von FinalFantasy

[ava2k3]

ich hätte erwähnen sollen, dass wir auf der Firewall (pfsense) einen sogenannten "Userland FTP helper" laufen haben, der dieses Problem eigentlich umgehen sollte.

Gruß!

[FinalFantasy]

Hmm, so einen "Userland FPT Helper" kenne ich nicht, aber schonmal kontrolliert, ob er wirklich das tut, was er soll?

Schonmal versucht eine Verbindung zu dem Server von vornherein mit active FTP aufzubauen? Ich tippe darauf, dass das genausowenig funktioniert. Sollte dann natürlich auch von aussen versucht werden.

Sollte es von innen mit active FTP funktionieren, von aussen jedoch trotzdem nicht, ist mit ziemlicher Sicherheit die Firewall das Problem.

Im zweifelsfall mal den ganzen Vorgang mit Ethereal (oder Wireshark, wie auch immer das jetzt heisst) genauer unter die Lupe nehmen.

[RipperFox]

Ihr habt also einen FTP ohne öffentliche IP hinter einem NAT?

Die FTP-Helper unterstützten afaik nur in "umgedrehter" Richtung und ermöglichen aktives FTP hinter NAT. Passives sollte gehen, wenn der Client hinter NAT ist und der Server eine öffentliche IP hat.

Problem dürfte sein, dass der Client auch hinter einem NAT sitzt.

@FinalFantasy: Ahh.. bei aktivem FTP baut der SERVER für Dateitransfers eine Verbindung zum Client auf.

Daher sollte aktives FTP funktionieren, wenn der Client eine öffentliche IP hat und der Server hinter einem NAT ist.

Aber: Sauberste und einfachste Lösung heißt FTP in die Tonne zu treten und gleich SFTP/SCP einsetzen.

Grüße

Ripper

[FinalFantasy]

@FinalFantasy: Ahh.. bei aktivem FTP baut der SERVER für Dateitransfers eine Verbindung zum Client auf.

Daher sollte aktives FTP funktionieren, wenn der Client eine öffentliche IP hat und der Server hinter einem NAT ist.

Ok, ich hab jetzt nicht noch extra nachgeschaut, aber ich glaube du hast Recht. Ich verwechsel das immerwieder.

Dann nehme ich an, hat der Kunde aber eine öffentliche IP ohne NAT, sonst hätte bei ihm aktives FTP vorher auch nicht funktioniert, ODER ABER er hat NAT und für den alten Server bei sich entsprechende Portforwardings gesetzt, die aber jetzt nichtmehr zum neuen System passen.

Das Grundproblem bleibt das gleiche, ich bin mir fast sicher, dass da irgend ein Portforwarding nicht passt.