Auf einem der Clients ist ein FTP-Server eingerichtet, netzwerkintern klappt der FTP-Transfer via Kommandozeile auch problemlos.
Wenn aber jetzt jemand von außen versucht darauf zuzugreifen, geht das mit den üblichen FTP-Programmen gar nicht und über Windows-Kommandozeile gibt’s n Timeout nach ner Zeit.
In der fli4l-Port Forwarding-Config sind 20 und 21 eingetragen, ipchains blockt sie nicht.
Hat jemand ne Idee?
Ihr könnt’s auch gern selbst mal probieren, ich hab nen Test-User angelegt, ne Test-Datei ist vorhanden:
In der fli4l-Port Forwarding-Config sind 20 und 21
eingetragen, ipchains blockt sie nicht.
Hat jemand ne Idee?
Ist protforwarding auf deinen Zielhost aktiviert aktiviert ?
Forwarding-Config gibt darüber nicht den Aufschluß. (kann ja bedeuten dass das Weiterleiten der Packete erlaub ist)
Ist protforwarding auf deinen Zielhost aktiviert aktiviert ?
Forwarding-Config gibt darüber nicht den Aufschluß. (kann ja
bedeuten dass das Weiterleiten der Packete erlaub ist)
Ja, sieht so aus. Sonst wäre ja auch kein connect via DOS-Shell von extern möglich, oder?
Nachtrag: Ich hab’s grad mal über http://www2ftp.de/ probiert, klappt tadellos. Kann es sein, daß heutige FTP-Clients standardmäßig PASV benutzen und das bei mir nicht geht?
Ist protforwarding auf deinen Zielhost aktiviert aktiviert ?
Forwarding-Config gibt darüber nicht den Aufschluß. (kann ja
bedeuten dass das Weiterleiten der Packete erlaub ist)
Ja, sieht so aus. Sonst wäre ja auch kein connect via
DOS-Shell von extern möglich, oder?
----snip
Auf einem der Clients ist ein FTP-Server eingerichtet, netzwerkintern klappt der FTP-Transfer via Kommandozeile auch problemlos.
Wenn aber jetzt jemand von außen versucht darauf zuzugreifen, geht das mit den üblichen FTP-Programmen gar nicht und über Windows-Kommandozeile gibt’s n Timeout nach ner Zeit.
----snap
So wie du das schreibst, sieht es doch aus das gar kein Verbindung zustande kommt (Timeout) oder verstehe ich da Falsch?
Nachtrag: Ich hab’s grad mal über http://www2ftp.de/ probiert,
klappt tadellos. Kann es sein, daß heutige FTP-Clients
standardmäßig PASV benutzen und das bei mir nicht geht?
In der Tat habe ich auch daran gedacht das es am passiven Modus liegen kann. Aber die commando Zeile unter Windoof benutz AFAIK standardmäßig aktives FTP.
htig ist erst mal zu wissen ob die Linuxbox überhaupt die Packte an den (Client) Server weiterleitet. Und zwar mit D-NAT (Destination NAT bzw. Portforwarding).
S-NAT (Source NAT bzw. Masquerading scheint ja bei dir schon eingerichtet zu sein).
Kann es sein, daß heutige FTP-Clients
standardmäßig PASV benutzen und das bei mir nicht geht?
In der Tat habe ich auch daran gedacht das es am passiven
Modus liegen kann. Aber die commando Zeile unter Windoof
benutz AFAIK standardmäßig aktives FTP.
Okay, dann liegt’s wohl daran… Verzeih mir, wenn ich mich zuvor etwas undeutlich ausgedrückt habe: Der Timeout komt nach erfolgreichem Beginn via Kommandozeile - Lässt das darauf schließen, daß das Problem evtl. bei der Gegenstelle liegt undnicht bei mir?
htig ist erst mal zu wissen ob die Linuxbox überhaupt die
Packte an den (Client) Server weiterleitet. Und zwar mit D-NAT
(Destination NAT bzw. Portforwarding).
S-NAT (Source NAT bzw. Masquerading scheint ja bei dir schon
eingerichtet zu sein).
Allerdings! Tja, also der erfolgreiche Test über das Webinterface lässt die Vermutung „PASV=Problem“ ziemlich heiß erscheinen…
Fazit? Ich brauch ne DMZ, und am besten ne richtige Firewall.
Doc „fängt schonmal an $20000 für ne PIX 515 zu sparen“ Valde.
…oder ich muß mich doch mal mit OpenBSD beschäftigen… *seufz*
Okay, dann liegt’s wohl daran… Verzeih mir, wenn ich mich
zuvor etwas undeutlich ausgedrückt habe: Der Timeout komt nach
erfolgreichem Beginn via Kommandozeile - Lässt das darauf
schließen, daß das Problem evtl. bei der Gegenstelle liegt
undnicht bei mir?
Ich sehe das Problem am liebsten mit allen dazugehörigen Meldungen (hier kann ich es nämlich gerade nicht nachvollziehen) aber das scheint mir eher nicht so.
Timeouts produziert man übrigens prima mit Wegwefen von Paketen.
Fazit? Ich brauch ne DMZ, und am besten ne richtige Firewall.
*gna*
Doc „fängt schonmal an $20000 für ne PIX 515 zu sparen“ Valde.
*örks*
…oder ich muß mich doch mal mit OpenBSD beschäftigen…
*seufz*
Gute Idee…
[niehaus@mail1] uname -a
OpenBSD mail1 3.0 GENERIC#94 i386
Ich sehe das Problem am liebsten mit allen dazugehörigen
Meldungen (hier kann ich es nämlich gerade nicht
nachvollziehen) aber das scheint mir eher nicht so.
Du, die würd ich Dir gerne geben, aber das ist leider nicht so trivial, wie es sich anhört.[1]
Timeouts produziert man übrigens prima mit Wegwefen von
Paketen.
Bleibt die Frage nach dem WER und WARUM.
Fazit? Ich brauch ne DMZ, und am besten ne richtige Firewall.
Doc „fängt schonmal an $20000 für ne PIX 515 zu sparen“ Valde.
*örks*
Beruhig Dich, haste Dich schonmal mit Features und Betrieb von so’nem Ding beschäftigt? Durchaus ansprechend.
…oder ich muß mich doch mal mit OpenBSD beschäftigen…
*seufz*
Gute Idee…
Leider die zeitaufwendigste (wobei… $20000 dauern länger!)
[1] Da ich hier leider nur eine Internetanbindung habe, ist es mir nicht möglich, selbst zu testen und die Fehlermeldungen zu sammeln. Im lokalen Netz klappt’s wunderbar. Das grenzt imho das Problem auf den Router sowie den Client ein.
Der Kollege, der was von mir holen möchte, kann sowas nicht. Genau aus diesem Grund habe ich jenen Testaccount eingerichtet, damit der engangierte www-Experte das live und (optional) in Farbe sehen kann. Alles, was ich dazu liefern kann, habe ich geliefert und es tut mir schrecklich leid, daß das nicht mehr ist.
Da die Steuer-Verbindung aufgebaut ist, hängt das TimeOut wohl mit der Datenverbindung zusammen, aber sie wird trotzdem aufgebaut (denke ich, da keine Daten im Verzeichnis auf dem Server zu sehen sind).
Es wird wohl mit der IP 192.168.0.2 zusammenhängen, da diese nicht gerouted werden (die 192.168.152.2 stammt von mir)
Allerdings funzt nur der passive Zugriff (bedingt auch durch fli4l).
Was da nicht stimmt weiß ich aber im Augenblick auch nicht…
Doc gib es bei fi4l ein ftp Modul (Stateful Packetfilter oder
einen FTP Proxy)?
cu
polar, der mal wieder total depri ist, das musste einfach mal
raus.
Es gibt ein sogenanntes FTP-MASQ-Modul, aber das scheint mir mehr für ausgehende FTP-Verbindungen zu sein… Momentan bin ich aber schon wieder mal so weit, die Büchse platt zu machen und Debian oder BSD draufzukknallen. Davor schreckt mich lediglich der Aufwand ab, ich hab von beidem nämlich nicht wirklich Ahnung, Anfänger, was das angeht.
Es liegt ziemlich sicher an dem passiven Modus, dein Router kann
natuerlich nicht vorhersagen, welchen Port der FTP-Server anbieten wird. Dun kannst natuerlich als abhilfe alle Ports forwarden .
Eraenzung
Aender doch mal die Einstellungen der Firewall
von deny auf reject, dann sollte anstelle des Timeouts ein
Verbindungsbbruch angezeigt werden. Wenn nicht, wars doch was anderes.
Dank und Schluß…
Halt Stop: fli4l ist zwar auf Linux, aber ich kenn mich damit so gar nicht aus. Die Möglichkeiten in der Config von fli4l sowas einzustellen sind begrenzt. Deshalb hab ich eine Entscheidung getroffen:
fli4l weg
Vorerst Windoze ICS (*arks*, aber geht nicht anders, meine Frau will schließlich auch online)
Debian rauf (mir graut vor der Zeit, die ich damit verbringen werde ;-()
Und gut is.
Danke an alle, die hier gepostet haben!
Doc.
[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]
Tja, also der erfolgreiche Test über das Webinterface lässt die Vermutung „PASV=Problem“ ziemlich heiß erscheinen…