[proftpd] MLSD, PassivePorts et Livebox (résolu)

[pti-rem]

Bsr tous

J'essaie de mettre à disposition un service FTP avec proftpd (avec un certificat TLS maison pour le chiffrement)

Le message de connexion d'un client indique en abrégé :

[pti-rem]

https://forum.ubuntu-fr.org/viewtopic.php?pid=9182001#p9182001

[pti-rem]

Je me trompais partiellement sur l'interprétation de mon problème.

C'est la Livebox 3 et son firewall qui me pose problème pour ouvrir une plage de ports TCP pour proftpd. (PassivePorts 49152 65534)
Je ne peux pas me permettre de personnaliser ce firewall pour des raisons familiales. Il reste en «moyen»

J'ai donc mis mon l'ip de mon serveur proftpd en DMZ ; alors, tout passe bien maintenant.

Mais j'ai certainement à m'occuper avec iptables... (bonjour)

édition : j'ai vite retiré mon IP locale de la DMZ, rien qu'avec un scanner de ports j'ai compris que c'était risqué. Et que je ne maîtrise pas.

[pti-rem]

J'ai réussi à faire fonctionner proftpd pour mes deux clients Filezilla en n'ouvrant que quelques ports (les 5 premiers) dans la plage 49152 - 65534 et en conservant mon firewall de livebox au niveau moyen

[Syl20]

Le mode "DMZ" d'une box (de quasiment tous les FAI français, en tout cas) peut en effet s'avérer très dangereux quand on ne sait pas ce qu'il fait, et comment l'utiliser en toute sécurité : il renvoie _toutes_ les requêtes venant de l'extérieur vers l'hôte renseigné, sans aucun filtrage. Très utile quand on a son propre pare-feu, étant donné que le mode bridge n'est que rarement proposé, mais suicidaire sans.

FTP n'est pas copain avec les pare-feu à cause de la séparation des flux "commandes" et "data". Le mode passif (connexions data initiées par le client), couplé aux modules netfilter conntrack_ftp et éventuellement ntp_ftp, permet d'améliorer la situation, mais ça reste assez lourd à gérer.
Je doute qu'une box soit assez "intelligente" pour implanter ce genre de suivi de sessions, en tout cas. Ce qui veut dire qu'elle renverra à ton serveur tous les flux à destination des ports que tu as ouverts, qu'ils soient FTP ou non.

Si tu veux chiffrer les communications, et si tu utilises un client compatible (FileZilla l'est), tu peux utiliser SFTP (SSH) en lieu et place de FTPS. Le gros avantage, c'est qu'il n'y a qu'un seul port TCP (22 par défaut) à ouvrir. L'inconvénient, c'est que si ton serveur SSH est mal paramétré, tu peux laisser un accès en ligne de commande à ton serveur depuis l'extérieur.

[pti-rem]

[Syl20]

Le risque est minime, puisqu'il faut en effet que quelque chose écoute sur les ports ouverts. Ce qui veut dire, soit qu'il faut qu'une session FTP soit ouverte, soit qu'un logiciel "plaisantin" soit implanté, et actif, sur ton serveur.

Dans le deuxième cas, ton serveur est déjà vérolé. Les mesures préventives sont inutiles, et la suite à donner est un autre sujet.

Dans le premier cas, soit l'attaquant initie lui-même la connexion au serveur, puis exploite le port FTP data ouvert, et de toute façon un pare-feu avec suivi de sessions le laissera faire, soit il utilise une session existante, s'il y en a une, pour entrer, ou il utilise deux adresses IP différentes pour attaquer les ports FTP commandes et data, et c'est là qu'un pare-feu avec suivi de sessions sera plus efficace que la boîte orange... Bref, pas de quoi se mettre martel en tête, si tu n'es pas une grosse entreprise ou une administration.

Pour SFTP, cette page, par exemple, explique bien ce qu'il faut faire. Oublie juste le paragraphe 4.

Le "mode bridge" (dont, en effet, tu ne disposes pas. À ma connaissance, seul Free le propose, s'il le propose encore...) désactive la fonction routeur de ta box, qui devient un simple modem. Ce qui veut dire, concrètement, que c'est ton serveur qui récupère l'adresse IP publique que ton FAI t'a assignée.

[pti-rem]