Как настроить fw/nat для доступа к ftp?

Question

[Владимир]

Пытаюсь разобраться с IIS FTP на базе 2012. По LAN на фтп зайти могу, а вот с внешки нет. IP белый, пробросил в PFsense в NAT и firewall 20 и 21 порт. Когда пытаюсь подключиться из внешнего мира, происходит запрос логина и пароля, а дальше не пускает. Учитывая что по LAN всё работает, думаю крайним остается только роутер. Остальные проброшенные порты для рдп и торрента работают.
Настройки
nat 21 https://habrastorage.org/files/385/eb5/ad7/385eb5a...
nat 20 https://habrastorage.org/files/8dc/a2b/5b6/8dca2b5...
fw 21 https://habrastorage.org/files/b02/1ac/473/b021ac4...
fw 20 https://habrastorage.org/files/c88/fbf/535/c88fbf5...
При подключении по LAN
https://habrastorage.org/files/bd5/396/c28/bd5396c...
Из внешней сети
Запрос https://habrastorage.org/files/574/98f/837/57498f8...
Проблема https://habrastorage.org/files/a87/796/3fd/a877963...

Answer 1

[АртемЪ]

А вы пассивный режим разрешили на FTP?
Вам нужно открыть порты для пассивного режима, или запретить использование пассивного режима
В данный момент у вас проброшены порты для управления, а порты для передачи данных кто пробрасывать будет?

Comments

[Владимир]

Спасибо, догадывался, что проблема в этом. Но как узнать какие порты нужно пробросить для передачи файлов? Если внутри сетки доступ есть, значит в брендмауре они открыты. Вот то, что касается фтп на брандмауере
https://habrastorage.org/files/5aa/70f/96c/5aa70f9...
В настройках IIS FTP в поддержке брандмауэра стоит диапазон портов 0-0 и область неактивна.

[АртемЪ]

Владимир: Я не помню где и как в IIS FTP выставляется диапазон портов для пассивного режима.
Но если вы говорите что область неактивна, то у вас скорее всего просто не включен пассивный режим, т.е сервер работает исключительно в активном режиме.

[Владимир]

Всё, разобрался. Оказывается всё просто было... IIS FTP в пассиве использует динамические порты
https://support.microsoft.com/ru-ru/kb/929851
Параметр в IIS 0-0 как раз указывает на использование динамических портов. Конкретные порты задаются не в IIS FTP сайте, а в самом сервере IIS.
Ну а дальше брандмауэр с нужным диапазоном и роутер.