Как настроить проброс FTP на Pfsense?

Question

[x2sp]

Добрый день.

2.1.3-RELEASE (i386)

При настройке проброса на FTP сервер после изменения его входящего порта отваливается соединение.

Пробовал менять на другой диапазон, ситуация такая же. При чем проброс портов на RDP MS работает на ура. FTP сервер крутиться на нем же.

Подскажите, в чем может быть проблема?

Повторюсь, при настройке с 21 порта на 21 все работает. В том числе при изменении проброса на rdp.

firezilla

При 21:

Так заметил, что поменялось.... при изменении ТОЛЬКО Destination port range при обращении к фтп увидел, что обращается на локальный IP, а не на Внешний.

Соединяюсь с 62.xxxxxx:21...
Статус: Соединение установлено, ожидание приглашения...
Ответ: 220 Microsoft FTP Service
Команда: USER ftp1
Ответ: 331 Password required
Команда: PASS *******
Ответ: 230 User logged in.
Команда: OPTS UTF8 ON
Ответ: 200 OPTS UTF8 command successful - UTF8 encoding now ON.
Статус: Соединение установлено
Статус: Получение списка каталогов...
Команда: PWD
Ответ: 257 "/" is current directory.
Команда: TYPE I
Ответ: 200 Type set to I.
Команда: PASV
Ответ: 227 Entering Passive Mode (62,XX,XX,XX,192,230)
Команда: LIST
Ответ: 150 Opening BINARY mode data connection.
Ответ: 226 Transfer complete.
Статус: Список каталогов извлечен
Статус: Отключен от сервера

При 6221 :

Статус: Соединяюсь с XXXXXXXXX:6221...
Статус: Соединение установлено, ожидание приглашения...
Ответ: 220 Microsoft FTP Service
Команда: USER ftp1
Ответ: 331 Password required
Команда: PASS *******
Ответ: 230 User logged in.
Команда: OPTS UTF8 ON
Ответ: 200 OPTS UTF8 command successful - UTF8 encoding now ON.
Статус: Соединение установлено
Статус: Получение списка каталогов...
Команда: PWD
Ответ: 257 "/" is current directory.
Команда: TYPE I
Ответ: 200 Type set to I.
Команда: PASV
Ответ: 227 Entering Passive Mode (10,86,33,155,192,232).
Статус: Сервер отправил пассивный ответ с неопределяемым адресом. Использую существующий адрес сервера.
Команда: LIST
Ответ: 150 Opening BINARY mode data connection.
Ошибка: Соединение передачи данных не может быть установлено: ETIMEDOUT - Connection attempt timed out
Ошибка: Превышено время ожидания соединения
Ошибка: Не удалось получить список каталогов

Попробовал поменять порт на сервере на 6221 ничего не поменялось

при настройках 6221 - 6221 та же самая ошибка, НО
при настройках FTP - 6221 все ок.
То есть проблема именно в пункте Destination port range

Так побегал почитал...

https://forum.pfsense.org/index.php?topic=73372.ms...

настроил на ftp-ники порты и ситуация изменилась,но .... все равно висит.
Статус: Соединяюсь с 62.xxxxxx:6221...
Статус: Соединение установлено, ожидание приглашения...
Ответ: 220 Microsoft FTP Service
Команда: USER ftp1
Ответ: 331 Password required
Команда: PASS *******
Ответ: 230 User logged in.
Команда: OPTS UTF8 ON
Ответ: 200 OPTS UTF8 command successful - UTF8 encoding now ON.
Статус: Соединение установлено
Статус: Получение списка каталогов...
Команда: PWD
Ответ: 257 "/" is current directory.
Команда: TYPE I
Ответ: 200 Type set to I.
Команда: PASV
Ответ: 227 Entering Passive Mode (62,xxxxx,193,67).
Команда: LIST
Ответ: 150 Opening BINARY mode data connection.
Ошибка: Соединение передачи данных не может быть установлено: ETIMEDOUT - Connection attempt timed out
Ошибка: Превышено время ожидания соединения
Ошибка: Не удалось получить список каталогов

ip внешний прокидывает, но видимо с портом туго...

Ну что, господа, к сожалению, это мой первый опыт работы с unix\linux-подобными система и как следствие отсутствие и практики и теории. Пробовал погасить debug.pfftpproxy и сразу же я уперся в ту же самую точку, что и на других портах. У меня есть только два решения этой задачи:

1) Если ваш опыт и практика позволяет взглянуть "поглубже" и посмотреть, какие пробросы у нас выставляются в случае выбора вкладки (FTP) на Destination port range.

2) Или подсказать, как бы мне сменить само это значение. С 21 порта на любое другое.

И в том и другом случае без вас, "Ребята", мне обойтись.

Надеюсь на вашу помощь, спасибо.

Answer 1

[Сергей]

При работе по протоколу FTP между клиентом и сервером устанавливается два соединения – управляющее (по нему идут команды) и соединение передачи данных (по нему передаются файлы).
Управляющее соединение одинаково для Активного и Пассивного режима. Клиент инициирует TCP-соединение с динамического порта (1024-65535) к порту номер 21 на FTP-сервере и говорит «Привет! Я хочу подключится к тебе. Вот мое имя и мой пароль». Дальнейшие действия зависят от того, какой режим FTP (Активный или Пассивный) выбран.

В активном режиме, когда клиент говорит «Привет!» он так же сообщает серверу номер порта (из динамического диапазона 1024-65535) для того, чтобы сервер мог подключиться к клиенту для установки соединения для передачи данных. FTP-сервер подключается к заданному номеру порта клиента используя со своей стороны номер TCP-порта 20 для передачи данных.

В пассивном режиме, после того как клиент сказал «Привет!», сервер сообщает клиенту номер TCP-порта (из динамического диапазона 1024-65535), к которому можно подключится для установки соединения передачи данных.

Главное отличие между активным режимом FTP и пассивным режимом FTP – это сторона, которая открывает соединение для передачи данных. В активном режиме, клиент должен принять соединение от FTP-сервера. В пассивном режиме, клиент всегда инициирует соединение.

Первоисточник

Теперь сами сможете ответить на свой вопрос? =)

посты уже тупо копирую. =) но если люди не понимают как фурычит протокол ... то нужно дать почитать.

Comments

[x2sp]

Спасибо за ответ, видимо я был не точен. С первоисточником я уже был знаком, наверное не совсем точно было поставлен вопрос.

Имеем w2012k2 на котором поднят FTP на IIS. В настройках FTP указан внешний IP брандмауэра 62.xx.xx.xx. и порты с 5000-5010.

После данных установок из FZ пошли такого рода ответы:
Ответ: 227 Entering Passive Mode (62,xxxxx,193,67).
Т.е. IP он перешивает но не может соединиться обратно по портам 5000-5010.

Вот конкретного их я и не могу понять как прокинуть?

Имеем такого рода правильно на PFsense:
nat: port forwarding:

1) WAN TCP * * WAN address 6211 10.86.33.155 3389 (MS RDP)
2) WAN TCP * * WAN address 6221 10.86.33.155 21 (FTP)

3)TCP/UDP * * * 5000 - 5010 10.86.33.155 ftppassive - 10

ftppassive - allias с портами 5000-5010

rules wan:

1) IPv4 TCP * * * 40156 * none

2) IPv4 TCP * * 10.86.33.155 3389 (MS RDP) * none NAT rdp na pts

3) IPv4 TCP * * 10.86.33.155 21 (FTP) * none NAT

4) IPv4 TCP * * 10.86.33.155 5000 - 5010 * none

5) IPv4 TCP/UDP * * 10.86.33.155 ftppassive - 10 * none

В чем я ошибся?
x2sp
правила лан:

IPv4 * LAN net * * * * none Default allow LAN to any rule

IPv6 * LAN net * * * * none Default allow LAN IPv6 to any rule

IPv4 TCP * 5000 - 5010 10.86.33.147 5000 - 5010 * none

[x2sp]

edinorog, по ссылке ниже создана теме на основном форуме PFsense. Чтобы не усложнять ситуацию, не мог бы ты ознакомиться. Спасибо

https://forum.pfsense.org/index.php?topic=77501.0