Не заходит на ftp-сервер по внешнему ip?

Question

[Денис Сечин]

Поднял ftp на ubuntu 16, с удаленной машины по внутреннему ip заходит нормально, если заходит по внешнему ip то выдает ошибку
Ftp находится за нат, в iptables пробросил 21 порт, удаленно если заходить спрашивает логин пароль, после выдает ошибку,что на скрине выше.
Конфиг vsftpd

listen=YES
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=023
dirmessage_enable=YES
use_localtime=YES
xferlog_enable=YES
connect_from_port_20=YES
chown_uploads=YES
chown_username=admin
xferlog_file=/var/log/vsftpd.log
#ascii_upload_enable=YES
#ascii_download_enable=YES
chroot_local_user=YES
allow_writeable_chroot=YES
chroot_local_user=YES
rsa_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
rsa_private_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
ssl_enable=NO
pasv_min_port=50000
pasv_max_port=60000

Answer 1

[Axian Ltd.]

В Windows встроен довольно дурной ftp-клиент. Возьмите filezillu например. И да..., ftp через NAT работает как правило только в пассивном режиме, если не делать специальных танцев. И да, 21-го порта для ftp мало, см. описание протокола.

Comments

[Денис Сечин]

Axian Ltd. Да нет, мне нужно заходить через проводник, т.е. нужно пробрасывать еще какие-то порты?

[Axian Ltd.]

Вы странный человек. Вам предлагается вариант и инструмент как найти причину, а вы долодон заладили.

[Axian Ltd.]

Для ознакомления с матчастью https://support.microsoft.com/ru-ru/help/323446/ho...

Answer 2

[Rsa97]

21 порт в FTP - это канал команд. Для передачи данных открывается второй канал, причём номер порта генерируется динамически в диапазоне pasv_min_port - pasv_max_port. В зависимости от режима (активный/пассивный) порт открывается на одной из сторон, а вторая сторона к нему подключается. Поэтому для NAT надо либо поддержку UPnP на сервере и маршрутизаторе, либо прокидывать весь диапазон портов.

Comments

[Денис Сечин]

Rsa97 т.е. нужно прокинуть диапазон портов от 50000 до 60000 в iptables?

[Rsa97]

Денис Сечин: Да. Лучше сократить его, оставить десяток-другой портов. Либо, если там только один сервер, то просто поставить его в DMZ.

[Rsa97]

Ezhyg: Активный режим - клиент открывает порт, передаёт его данные серверу, сервер подключается с 20 порта на порт клиента.
Пассивный режим - сервер открывает порт > 1024, передаёт его данные клиенту, клиент подключается к открытому порту сервера.
https://msdn.microsoft.com/en-us/library/cc973739%...
Ещё одна проблема в том, что сервер за NAT в пассивном режиме будет передавать внутренний IP-адрес. Для vsftpd надо добавить в настройки pasv_address с внешним IP.

[Ezhyg]

Rsa97: блин... в голове перемешалось, плохо кушал кашку, спасибо :(

[Денис Сечин]

Rsa97: Пробросил доп. порты теперь пишет "Убедитесь,что у вас есть разрешение открывать эту папку, операция прервана по таймауту"

[Rsa97]

Денис Сечин: Внешний IP в конфигах сервера указали? Права доступа на папку у пользователя есть?

[Денис Сечин]

Rsa97: pasv_min_port=10000
pasv_max_port=10100
pasv_address=213.108.**.***
Права есть, под внутренним адресом заходит нормально

[Rsa97]

Денис Сечин: А что в логах сервера?

[Денис Сечин]

Rsa97: Tue Feb 21 11:45:17 2017 [pid 24237] CONNECT: Client "95.69.**.**"
Tue Feb 21 11:45:17 2017 [pid 24236] [admin] OK LOGIN: Client "95.69.***.**"
Все что есть в логах

[Rsa97]

Денис Сечин: Тогда могу только посоветовать через tcpdump или Wireshark посмотреть, что происходит на 21 порту. Там должен быть весь протокол обмена сервер-клиент.