Gentoo Forums
Gentoo Forums
Gentoo Forums
Quick Search: in
passiv ftp bei vserver (server4you)
View unanswered posts
View posts from last 24 hours
View posts from last 7 days

 
Reply to topic    Gentoo Forums Forum Index Deutsches Forum (German) Diskussionsforum
View previous topic :: View next topic  
Author Message
samsonus
Apprentice
Apprentice


Joined: 18 Jan 2005
Posts: 225
Location: Siegen

PostPosted: Thu Aug 17, 2006 9:49 am    Post subject: passiv ftp bei vserver (server4you) Reply with quote

hallo zusammen,
ich hab ein kleines problem mit meinem vserver, da server4you ein modul nicht mit einbindet und ich jetzt nicht weiss, wie ich das anders hinbekommen kann.
also die verbindung zum ftp server klappt bis das list kommando ausgeführt wird, danach bricht er die verbindung ab.
folgende regel kann ich nicht ausführen, da das modul nicht eingebunden ist.

Code:

iptables -A Kettenname -m state --state ESTABLISHED,RELATED -j ACCEPT


kann man irgendwie anders antworten auf bestehende verbindungen zulassen? und es liegt definitiv an der firewall, da der ftp zugriff ohne firewall funktioniert.

hier noch die bestehenden regeln

Code:

ACCEPT     all  --  anywhere             localhost.localdomain
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ftp
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:smtp
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:www
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:pop3
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:imap2
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:https
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssmtp
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:imaps
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:pop3s
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:8443
ACCEPT     udp  --  anywhere             anywhere            udp spt:domain
ACCEPT     udp  --  anywhere             anywhere            udp spt:ntp
ACCEPT     icmp --  anywhere             anywhere
ACCEPT     tcp  --  anywhere             anywhere            tcp spt:smtp flags:!SYN,RST,ACK/SYN
ACCEPT     tcp  --  ka.swsoft.com        anywhere            tcp spt:5224
ACCEPT     tcp  --  anywhere             anywhere            tcp spts:0:1023 flags:!SYN,RST,ACK/SYN
DROP       all  --  anywhere             anywhere
ACCEPT     tcp  --  anywhere             anywhere            tcp dpts:55000:59999 flags:SYN,RST,ACK/SYN


weiss jemand weiter, bzw hat jemand das problem schon gelöst?

gruss samsonus
Back to top
View user's profile Send private message
slick
Bodhisattva
Bodhisattva


Joined: 20 Apr 2003
Posts: 3492

PostPosted: Thu Aug 17, 2006 10:16 am    Post subject: Reply with quote

Ohne jetzt den genauen Sinn der Firewall anzweifeln zu wollen, aber du solltest das Problem nicht mehr haben wenn Du eingehende Connects auf Port > 1023 erlaubst (was aber wieder aktiv wäre) Ansonsten ist eine generell keine sehr gute Idee einen passiven FTP-Server zu betreiben, da hast Du nämlich wahrscheinlich ein Problem mit allen Usern die einen einfachen NAT-Router daheim haben. Lies Dir dazu mal genau die Unterscheide zwischen Aktiv und Passiv auf http://de.wikipedia.org/wiki/File_Transfer_Protocol durch und Du solltest das Problem erkennen.
Back to top
View user's profile Send private message
samsonus
Apprentice
Apprentice


Joined: 18 Jan 2005
Posts: 225
Location: Siegen

PostPosted: Thu Aug 17, 2006 10:20 am    Post subject: Reply with quote

wenn es nach mir ginge, dann würde darauf garkein ftp laufen, aber leider wird das wegen einer kamera benötigt. bleibt mir wohl nichts anderes übrig als eingehende pakete zu erlauben.
Back to top
View user's profile Send private message
slick
Bodhisattva
Bodhisattva


Joined: 20 Apr 2003
Posts: 3492

PostPosted: Thu Aug 17, 2006 10:23 am    Post subject: Reply with quote

samsonus wrote:
wenn es nach mir ginge, dann würde darauf garkein ftp laufen, aber leider wird das wegen einer kamera benötigt. bleibt mir wohl nichts anderes übrig als eingehende pakete zu erlauben.


Wo steht denn die Kamera? Die könnte man ja z.B. über OpenVPN tunneln oder auf eine lokalen Server schreiben lassen der regelmäßig synct etc. Alternativen gibts da denke ich einige, je nachdem wo die Kamera steht und ob da z.B. deine Linuxkiste nebenan steht.
Back to top
View user's profile Send private message
samsonus
Apprentice
Apprentice


Joined: 18 Jan 2005
Posts: 225
Location: Siegen

PostPosted: Thu Aug 17, 2006 2:15 pm    Post subject: Reply with quote

also die kamera steht bei meinem vater zu hause und linux ist kein fremdwort, aber plan hat der nicht wirklich. Die Kamera ist direkt an den Router angeschlossen, geht also nicht noch an einen Rechner. Er hat di eKamera extra angeschafft, damit er nicht extra einen Rechner laufen lassen muss. Außerdem klickt er seine Internetseite mit Dreamweaver zusammen, und das synchronisieren der Daten wird nur per ftp unterstützt, also müsste ich das irgendwie zum laufen bekommen, auch wenn es mir überhaupt nicht gefällt.


Gruss samsonus
Back to top
View user's profile Send private message
think4urs11
Administrator
Administrator


Joined: 25 Jun 2003
Posts: 6659
Location: above the cloud

PostPosted: Thu Aug 17, 2006 2:32 pm    Post subject: Reply with quote

ähm, dir ist schon klar das FTP 2 Ports braucht, oder?
In der Config sehe ich aber nur einen.

Unterschied zwischen aktivem und passivem FTP ist das bei letzterem der Client beide Ports bestimmt, d.h. das auch einfachere Firewalls i.d.R. damit klarkommen (sollten).
Du läßt in deiner Config aber keinen zu (>1023) - oder bin ich ganz blind?

Die Rückgabe des list Kommandos läuft jedenfalls über den zweiten Port (so er denn verbunden ist; daher bekommst du auch die Antwort nicht.
_________________
Nothing is secure / Security is always a trade-off with usability / Do not assume anything / Trust no-one, nothing / Paranoia is your friend / Think for yourself
Back to top
View user's profile Send private message
slick
Bodhisattva
Bodhisattva


Joined: 20 Apr 2003
Posts: 3492

PostPosted: Thu Aug 17, 2006 2:34 pm    Post subject: Reply with quote

Think4UrS11 wrote:
Unterschied zwischen aktivem und passivem FTP ist das bei letzterem der Client beide Ports bestimmt, d.h. das auch einfachere Firewalls i.d.R. damit klarkommen (sollten).
Du läßt in deiner Config aber keinen zu (>1023) - oder bin ich ganz blind?


Guten Morgen! Auch schon wach? ;-)

slick wrote:
... aber du solltest das Problem nicht mehr haben wenn Du eingehende Connects auf Port > 1023 erlaubst (was aber wieder aktiv wäre) Ansonsten ist eine generell keine sehr gute Idee einen passiven FTP-Server zu betreiben, da hast Du nämlich wahrscheinlich ein Problem mit allen Usern die einen einfachen NAT-Router daheim haben. Lies Dir dazu mal genau die Unterscheide zwischen Aktiv und Passiv auf http://de.wikipedia.org/wiki/File_Transfer_Protocol durch und Du solltest das Problem erkennen.
Back to top
View user's profile Send private message
Keepoer
Apprentice
Apprentice


Joined: 30 Mar 2004
Posts: 293
Location: Zwischen Kassel und Edewecht pendelnd

PostPosted: Thu Aug 17, 2006 2:40 pm    Post subject: Reply with quote

Hi,
vor dem gleichen Problem stand auch mal :wink:

Sofern du proftpd nutzt, schreib einfach das in deine Config:
Code:
# Port 21 is the standard FTP port.
Port                            21
passivePorts                    60000 60050


Und dann natürlich noch bei den IPTables eintragen. Läuft bei mir wunderbar...

MfG
Keep
Back to top
View user's profile Send private message
firefly
Advocate
Advocate


Joined: 31 Oct 2002
Posts: 4377

PostPosted: Thu Aug 17, 2006 2:45 pm    Post subject: Reply with quote

soweit ich weis verwendet ftp port 20 und 21 und die ports >1023 bei passivem ftp modus.
ich denke das der port 20 nur verwendet wird, wenn der aktive modus verwendet wird oder?
_________________
Ein Ring, sie zu knechten, sie alle zu finden,
Ins Dunkel zu treiben und ewig zu binden
Im Lande Mordor, wo die Schatten drohn.
Back to top
View user's profile Send private message
think4urs11
Administrator
Administrator


Joined: 25 Jun 2003
Posts: 6659
Location: above the cloud

PostPosted: Thu Aug 17, 2006 2:47 pm    Post subject: Reply with quote

slick wrote:
Guten Morgen! Auch schon wach? ;-)
... aber du solltest das Problem nicht mehr haben wenn Du eingehende Connects auf Port > 1023 erlaubst (was aber wieder aktiv wäre) Ansonsten ist eine generell keine sehr gute Idee einen passiven FTP-Server zu betreiben, da hast Du nämlich wahrscheinlich ein Problem mit allen Usern die einen einfachen NAT-Router daheim haben.


anscheinend noch nicht so ganz ;)
Allerdings ist es genau andersherum als du schreibst - gerade simple NAT-Router kommen eher mit passivem als mit aktivem FTP klar. (s.o.)
Jedenfalls aus Clientsicht, aber wer hinter einem NAT-Router einen aktiven FTP-Server betreiben will dem ist sowieso nicht mehr zu helfen.
Soweit ich samsonus aber verstehe ist der Server bei server4you und die Kamera fungiert als Client - wenn nicht geh ich wieder ins Bett ;)
und eine tcp-Verbindung nach außen auf dst-port >1023 muß er für eine FTP-Verbindung im passive-mode noch erlauben; die fehlt (weil ja ESTABLISHED/RELATED anscheinend nicht funktioniert so wie ich das verstehe)

firefly wrote:
soweit ich weis verwendet ftp port 20 und 21 und die ports >1023 bei passivem ftp modus.
ich denke das der port 20 nur verwendet wird, wenn der aktive modus verwendet wird oder?

Richtig; ein aktiver FTP-Server baut die Datenverbindung mit Sourceport 20 zum Client hin auf (aber i.d.R. ist hier auch dst Port >1023). Bei einem passiven Server baut der Client _beide_ Verbindungen auf.
_________________
Nothing is secure / Security is always a trade-off with usability / Do not assume anything / Trust no-one, nothing / Paranoia is your friend / Think for yourself
Back to top
View user's profile Send private message
slick
Bodhisattva
Bodhisattva


Joined: 20 Apr 2003
Posts: 3492

PostPosted: Fri Aug 18, 2006 4:30 am    Post subject: Reply with quote

Think4UrS11 wrote:
Allerdings ist es genau andersherum als du schreibst - gerade simple NAT-Router kommen eher mit passivem als mit aktivem FTP klar. (s.o.)

Sag ich doch, dann darf der Server aber nicht auch im passiven Modus sein (keine eingehenden Connects (!= 21) erlaubt).
Back to top
View user's profile Send private message
bbgermany
Veteran
Veteran


Joined: 21 Feb 2005
Posts: 1776
Location: Oranienburg/Germany

PostPosted: Fri Aug 18, 2006 5:35 am    Post subject: Reply with quote

also ich würde das so machen (kann aber auch falsch sein, hab schon lange keine fw-regeln für ftp mehr gebaut):

Code:

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -m state --state NEW -j ACCEPT


wenn ich mich nicht irre, sollte das gehen :)
_________________
1st: i5-4570, 16GB, 1.75TB
2nd: i5-4570, 8GB, 620GB
3rd: i5-4570, 16GB, 10TB
4th: Asus N61VN, 8GB, 120GB
5th: Cubietruck, 2GB, 160GB + NFS
6th: C2D T7200, 2GB, 16GB USB + NFS
7th: RPi3 1GB, 64GB USB
Back to top
View user's profile Send private message
samsonus
Apprentice
Apprentice


Joined: 18 Jan 2005
Posts: 225
Location: Siegen

PostPosted: Fri Aug 18, 2006 8:30 am    Post subject: Reply with quote

das würde gehen, wenn das Modul eingebunden wäre, ist es aber leider nicht.
Back to top
View user's profile Send private message
Display posts from previous:   
Reply to topic    Gentoo Forums Forum Index Deutsches Forum (German) Diskussionsforum All times are GMT
Page 1 of 1

 
Jump to:  
You cannot post new topics in this forum
You cannot reply to topics in this forum
You cannot edit your posts in this forum
You cannot delete your posts in this forum
You cannot vote in polls in this forum