Как правильно открыть доступ к FTP сквозь NAT Mikrotik'а?

Question

[PROger4ever]

Здравствуйте.
Имеется MikroTik-RB951G-2HnD с RouterOS v6.13. На ether1 - WAN.
Имеется публичный адрес. Назовём его [public_ip].
Имеется маленькая локальная сеть 192.168.88.0/24.

В этой локальной сети имеется компьютер с IP: 192.168.88.13/32 (ether5), на котором запущен FileZilla FTP Server version 0.9.41 beta. Listen Port в FTP задан нестандартный - 38888 (где изменить порт для данных - не нашёл).
Настройки роутера стандартные, заданные через Quick Set.

Задача: открыть доступ к этому FTP-серверу.

Что испробовано:
1. Сделать следующее правило NAT:
https://docs.google.com/file/d/0B3Jvwnu0eQLXNHRWaz...
https://docs.google.com/file/d/0B3Jvwnu0eQLXX2Q1YX...
Счётчик правила увеличивается при попытке обращения извне (разрешение в файрвол не добавлял - само работает), но доступа к FTP нет.

Вопросы:
1. Какие порты мне необходимо ещё пробросить и какие правила как настроить?
2. Обязателен ли пассивный режим подключения к FTP, который находится за NAT?
3. Как правильно настроить правила для пассивных портов FTP?

Я в сетях, можно сказать, далеко не профессионал, поэтому прошу объяснять как можно подробнее (если можно - с картинками WinBox, с консолью MikroTik толком не умею работать).
Заранее большое спасибо.

Answer 1

[Сергей]

При работе по протоколу FTP между клиентом и сервером устанавливается два соединения – управляющее (по нему идут команды) и соединение передачи данных (по нему передаются файлы).
Управляющее соединение одинаково для Активного и Пассивного режима. Клиент инициирует TCP-соединение с динамического порта (1024-65535) к порту номер 21 на FTP-сервере и говорит «Привет! Я хочу подключится к тебе. Вот мое имя и мой пароль». Дальнейшие действия зависят от того, какой режим FTP (Активный или Пассивный) выбран.

В активном режиме, когда клиент говорит «Привет!» он так же сообщает серверу номер порта (из динамического диапазона 1024-65535) для того, чтобы сервер мог подключиться к клиенту для установки соединения для передачи данных. FTP-сервер подключается к заданному номеру порта клиента используя со своей стороны номер TCP-порта 20 для передачи данных.

В пассивном режиме, после того как клиент сказал «Привет!», сервер сообщает клиенту номер TCP-порта (из динамического диапазона 1024-65535), к которому можно подключится для установки соединения передачи данных.

Главное отличие между активным режимом FTP и пассивным режимом FTP – это сторона, которая открывает соединение для передачи данных. В активном режиме, клиент должен принять соединение от FTP-сервера. В пассивном режиме, клиент всегда инициирует соединение.

Первоисточник

Теперь сами сможете ответить на свой вопрос? =)

Comments

[PROger4ever]

Это пояснение, конечно, дало лучше понять отличие пассивного от активного режима, но не отвечает на вопрос: почему не работает и как настроить.
Было правило:
https://docs.google.com/file/d/0B3Jvwnu0eQLXNHRWaz...
https://docs.google.com/file/d/0B3Jvwnu0eQLXX2Q1YX...
В настройках сервера поставил пассивные порты:
https://docs.google.com/file/d/0B3Jvwnu0eQLXRlBuQj...
Создал ещё одно соответствующее этому правило (и раньше пробовал):
https://docs.google.com/file/d/0B3Jvwnu0eQLXNDg3cU...
https://docs.google.com/file/d/0B3Jvwnu0eQLXeF8xRH...
Подключаюсь с Android-устройства, используя программу AndFTP, в пассивном режиме через мобильный интернет.
Счётчик первого правила растёт, а второго - нет. Подключиться к серверу извне невозможно.
Проблема оказалась проста - по какой-то причине Брандмауер Windows заблокировал внешнее подключение к FTP-серверу. Утихомирил его - теперь работает с двумя правилами. Надо только уменьшить количество пассивных портов.
Решено.
Спасибо, Ваше объяснение убедило меня, что я делал правильно и заставило проверить Брандмауер:)

[Сергей]

=)

[Max Cohen]

PROger4ever: Добрый день, а как настроить чтобы из локальной сети пользователь выходил по определенному интерфейсу (у меня есть 3 WAN, а FTP выходили через 3 WAN) и работал только так. Спасибо.

Answer 2

[Shpakk]

В микротике включить Service port нужно. IP - Firewall - Service Port - FTP21
Ну и в filter rules открыть 21 порт.

Comments

[TonyWassup]

Можно только открыть service port, и в ip firewall nat правила проброса сделать