Как пробросить FTP на cisco?

Question

[Иван]

Всем привет!

Не получается заставить работать FTP во внутренней сети, через роутер cisco. Хочу настроить в пассивном режиме - Пробрасываю 21-й порт ip nat inside source static tcp 1.1.1.1 21 interface Fe4 21
Открываю доступ на WAN интерфейсе - permit tcp any Fe4 eq 21, открываю доступ к динамическим порта (на сервере задал диапазон) permit tcp any Fe4 range 55000 56000.

И вот тут получается жопа. Соединение устанавливается, клиенту выдается IP и порт из нужного диапазона, permit отрабатывает, но вот проброс к серверу на эти динамические порты не идёт. ip inspection FTP пробовал уже и на внешние, и на внутренние интрфейсы вешать, и на IN и на OUT. Но клиент упрямо говорит что не может он на этот порт достучаться.. ip inspect вроде работает:

T: Start ftp session: initiator (xx.220.239.42:39257) -- responder (192.168.1.98:21)
001199: Mar 21 12:46:33.045 PCTime: %FW-6-SESS_AUDIT_TRAIL_START: Start ftp-data session: initiator (xx.220.239.42:5581) -- responder (xxx.xx.xxx.82:55695)
it(config-if)#
001200: Mar 21 12:46:38.123 PCTime: %FW-6-SESS_AUDIT_TRAIL: Stop ftp-data session: initiator (xx.220.239.42:5581) sent 0 bytes -- responder (xxx.xx.xxx.82:55695) sent 0 bytes
001201: Mar 21 12:46:45.545 PCTime: %FW-6-SESS_AUDIT_TRAIL: Stop ftp session: initiator (xx.220.239.42:39255) sent 657 bytes -- responder (192.168.1.98:21) sent 2188 bytes
001202: Mar 21 12:46:45.549 PCTime: %FW-6-SESS_AUDIT_TRAIL: Stop ftp session: initiator (xx.220.239.42:39257) sent 71 bytes -- responder (192.168.1.98:21) sent 608 bytes

001254: Mar 21 13:06:35.539 PCTime: %SEC-6-IPACCESSLOGP: list WAN-IN permitted tcp xx.220.239.42(31368) -> xxx.xxx.xxx.82(55695), 1 packet

Comments

[Sergey Ryzhkin]

Помнится у FTP несколько разных портов под разные режимы, самый простой способ запустить Wireshark и посмотреть по какому порту ломится.

[Иван]

Sergey Ryzhkin: Да можно и без wireshark:
В активном режиме, когда клиент говорит «Привет!» он так же сообщает серверу номер порта (из динамического диапазона 1024-65535) для того, чтобы сервер мог подключиться к клиенту для установки соединения для передачи данных. FTP-сервер подключается к заданному номеру порта клиента используя со своей стороны номер TCP-порта 20 для передачи данных.

В пассивном режиме, после того как клиент сказал «Привет!», сервер сообщает клиенту номер TCP-порта (из динамического диапазона 1024-65535), к которому можно подключиться для установки соединения передачи данных.

Главное отличие между активным режимом FTP и пассивным режимом FTP – это сторона, которая открывает соединение для передачи данных. В активном режиме, клиент должен принять соединение от FTP-сервера. В пассивном режиме, клиент всегда инициирует соединение.

Answer 1

[Иван]

ip inspect только пропускает сессию через ACL... А как пробрасывать диапазон портов? Сделал два пассивных порта на сервере FTP, пробросил их - работает. Но только в простом режиме. Через ftps не работает. И ip inspect ftps его не цепляет.

А вот что бы работало ftps - пришлось в ACL прописать пассивные порты... Работает. Теперь вопрос - как сделать что бы порты динамически пробрасывались? Например тысяча портов.