Poortmap FTP probleem

[M14]

Eerst een situatieschets: Ik heb 2 servers draaien, beide win2k3. Server1 doet routing / NAT / DNS / DHCP. Ik maak gebruik van een chello classic internet verbinding. Het interne ip is 10.0.1.1.

Op de 2e server draait bulletproof ftp-server (v2.3.1, poort21, passive). Het ip van deze machine is 10.0.1.2.

Ik heb poort 21 op de eerste server gemapped (bestaat dat woord wel ) naar 10.0.1.2 (via routing & remote acces in win2k3). Van buitenaf moet je de server dus kunnen bereiken, maar hier gaat het volgens mij ergens fout. Hier een deel van de log-file van de ftp-server:

code:

(000198) 8/31/2006 6:15:43 PM - (not logged in) (81.69.69.x) > connected to ip : 10.0.1.2
(000198) 8/31/2006 6:15:43 PM - (not logged in) (81.69.69.x) > sending welcome message.
(000198) 8/31/2006 6:15:44 PM - (not logged in) (81.69.69.x) > 220 LAN
(000198) 8/31/2006 6:15:44 PM - (not logged in) (81.69.69.x) > USER michiel
(000198) 8/31/2006 6:15:44 PM - (not logged in) (81.69.69.x) > 331 Password required for michiel.
(000198) 8/31/2006 6:15:44 PM - (not logged in) (81.69.69.x) > PASS [een pwd]
(000198) 8/31/2006 6:15:44 PM - michiel (81.69.69.x) > logged in.
(000198) 8/31/2006 6:15:44 PM - michiel (81.69.69.x) > 230 User michiel logged in.
(000198) 8/31/2006 6:15:44 PM - michiel (81.69.69.x) > OPTS utf8 on
(000198) 8/31/2006 6:15:44 PM - michiel (81.69.69.x) > 500 Unknown command.
(000198) 8/31/2006 6:15:44 PM - michiel (81.69.69.x) > PWD 
(000198) 8/31/2006 6:15:44 PM - michiel (81.69.69.x) > 257 "/" is current directory.
(000198) 8/31/2006 6:15:44 PM - michiel (81.69.69.x) > CWD /
(000198) 8/31/2006 6:15:44 PM - michiel (81.69.69.x) > asked to change directory : 'D:\FTP\ -> D:\FTP\' --> Access allowed.
(000198) 8/31/2006 6:15:44 PM - michiel (81.69.69.x) > 250 CWD command successful. "/" is current directory.
(000198) 8/31/2006 6:15:44 PM - michiel (81.69.69.x) > TYPE A
(000198) 8/31/2006 6:15:44 PM - michiel (81.69.69.x) > 200 Type set to A.
(000198) 8/31/2006 6:15:44 PM - michiel (81.69.69.x) > PASV 
(000198) 8/31/2006 6:15:44 PM - michiel (81.69.69.x) > 227 Entering Passive Mode (62,195,87,6,3,238)
(000198) 8/31/2006 6:19:04 PM - michiel (81.69.69.x) > disconnected. (00:03:20)

Er kan dus wel worden ingelogd, maar er gaat dus iets fout. Nu heb ik gelezen dat er in de passive mode ook nog andere poorten gebruikt worden. Deze kan ik in bulletproof opgeven en ik heb ook een aantal portmaps op server1 gemaakt naar server2. Ook dit wil niet helpen.

Ik heb ook een andere poort dan 21 geprobeerd, omdat deze volgens een vriend geblocked zou worden door chello/upc. Het lijkt me sterk, aangezien er dan niks bij de ftp aan zou kunnen komen, maar toch. Poort 1000 geprobeerd (en uiteraard ook een juiste portmap gemaakt), dit geeft het zelfde als resultaat. Ik zie momenteel niet waar het fout gaat, wie kan mij daarbij helpen?

[xdcx]

mijn FTP disconnect na 180 seconde als je passive bent...
ik denk dat dat normaal is en bij de instellingen van de server hoort.

ik heb er totaal geen verstand van, maar denk toch dat het serversided is.

[M14]

xDCx schreef op donderdag 31 augustus 2006 @ 20:46:
mijn FTP disconnect na 180 seconde als je passive bent...
ik denk dat dat normaal is en bij de instellingen van de server hoort.

ik heb er totaal geen verstand van, maar denk toch dat het serversided is.

Heeft daar niks mee te maken, dat is namelijk als je op de ftp kunt connecten .....

[JackBol]

Ik kan in je verhaal niet lezen WAT er fout gaat...

leg eerst eens even uit wat niet werkt zoals je verwacht.

[ Voor 37% gewijzigd door JackBol op 31-08-2006 23:10 ]

[PeterEs]

Je moet poort 20 en 21 forwarden voor FTP

[JackBol]

PeterEs schreef op donderdag 31 augustus 2006 @ 23:12:
Je moet poort 20 en 21 forwarden voor FTP

Onzin. Passive mode is er juist voor dat dat niet nodig is. Misschien zou het nog kunnen zijn dat je firewall niet stateful is en dat return traffic van uitgaand verkeer op de hoge poorten bounced, maar dat lijkt me sterk.

Overigens kan ik uit de OP niet halen WAT er nu precies fout gaat, dus als je dat eerst even kan uitleggen...

[Romke]

Ohja, heb je de simple firewall aan?
Die blokt ook nog wel eens wat.

En verder: Poortmappen en routing is me op een win2k3 bak nog niet lekker gelukt, ik prefereer daar Linux voor.
Debian met Vuurmuur voor de geavanceerde textmode shizzle, IPCop of ClarkConnect met web based beheer, complete routerdistro's.

Kun je trouwens intern wel connecten?
Want als dat ook al niet kan, dan moet je eens kijken naar je FTP doos ipv. je router.

[ Voor 22% gewijzigd door Romke op 31-08-2006 23:20 ]

[Mint]

Heb je dit probleem elke keer als je connect?

Het lijkt erop dat je FTP wel goed werkt, maar dat je de timer voor de timeouts op 3:20 hebt staan (200 seconden dus).

[JackBol]

Anti-XP schreef op donderdag 31 augustus 2006 @ 23:18:
En verder: Poortmappen en routing is me op een win2k3 bak nog niet lekker gelukt, ik prefereer daar Linux voor.

Hey, Anti-XP, het werkt allemaal wel hoor! Je moet gewoon even de nukken van de simpele mensen-wizards doorhebben en dan kun je met W2k3 ook een heel mooi routertje annex firewall bouwen. Het is echt niet alleen linux wat de klok slaat.

offtopic:
Maar ik prefereer ook linux voor dit soort zaken. Stellen dat het niet lekker werkt, is echter een ander uiterste

[M14]

Het poortmappen gaat goed. Poort 23 was ook gemapped (richting een hp procurve switch) en dat werkte gewoon van buitenaf (is gebruikt om te testen of het poort mappen werkt).

Wat er nu precies fout gaat dat weet ik dus niet, maar het is mogelijk om in te loggen (dat zie je ook in bovenstaande log-files). Maar meteen nadat je inlogt krijg je een bericht dat je disconnected bent.
Dit is alleen als je van buitenaf connect. Hier in de lan kan ik gewoon connecten en downloaden / uploaden.

[JackBol]

Wat verwacht je wat er moet gebeuren? dat maak je niet duidelijk. Wil je een file gaan transferren? Een listing opvragen? Naar mijn inziens loopt hij hier gewoon de idlen,

code:

(000198) 8/31/2006 6:15:44 PM - michiel (81.69.69.x) > 227 Entering Passive Mode (62,195,87,6,3,238)
(000198) 8/31/2006 6:19:04 PM - michiel (81.69.69.x) > disconnected. (00:03:20)

en dan is het logisch dat je eruit geflikkerd word. Ik weet nog steeds niet wat nu je probleem is.

[Reptile209]

Hij loopt niet te idlen, hij loopt vast op een poortmap. De client wordt doorverwezen naar poort 1006 (3*256+238) om en data-connectie te maken voor de file-list. Die connectie wordt nooit gemaakt, dus word de client gekicked na een x-tijd idle (of disconnect zelf omdat de datapoort niet reageert).
Oftewel: is 1006 een poort die je "verwachtte"? Staat die in de ftp-server als onderdeel van de pasv-range? En in je w2k3 in de poortmap-range?

(ik zou hoe dan ook wat hoger gaan zitten met je poort-range, 1006 kan ook nog wel eens door je OS gebruikt worden of door andere progs. Begin bijvoorbeeld eens op 5000 en dan tot aan 5010, zat voor normaal gebruik).

Zelf testen kan je overigens makkelijk via www.net2ftp.com, omdat je dan "van buitenaf" kunt connecten.

[Equator]

Installeer EtherReal eens op je router en log eens een tijdje waarbij je probeert een listing op te vragen of iets waarbij het fout loopt.
Ik heb het idee dat er bij het schakelen naar passive mode iets wordt geblokt.

[BCC]

Equator schreef op vrijdag 01 september 2006 @ 08:35:
Installeer EtherReal eens op je router en log eens een tijdje waarbij je probeert een listing op te vragen of iets waarbij het fout loopt.
Ik heb het idee dat er bij het schakelen naar passive mode iets wordt geblokt.

Tja, als de TS alleen poort 21 doorlaat (zoals hij aangeeft), dan is het allemaal nogal logisch dat je geen passive verbinding kan opzetten. Probeer de volgende dingen even:

1) Probeer of je wel een active verbinding kan opzetten.
2) Schop een gat in je firewall ter grote van je passive FTP range.

[ Voor 21% gewijzigd door BCC op 01-09-2006 08:44 ]

[M14]

Reptile209 schreef op vrijdag 01 september 2006 @ 07:23:
Hij loopt niet te idlen, hij loopt vast op een poortmap. De client wordt doorverwezen naar poort 1006 (3*256+238) om en data-connectie te maken voor de file-list. Die connectie wordt nooit gemaakt, dus word de client gekicked na een x-tijd idle (of disconnect zelf omdat de datapoort niet reageert).
Oftewel: is 1006 een poort die je "verwachtte"? Staat die in de ftp-server als onderdeel van de pasv-range? En in je w2k3 in de poortmap-range?

(ik zou hoe dan ook wat hoger gaan zitten met je poort-range, 1006 kan ook nog wel eens door je OS gebruikt worden of door andere progs. Begin bijvoorbeeld eens op 5000 en dan tot aan 5010, zat voor normaal gebruik).

Zelf testen kan je overigens makkelijk via www.net2ftp.com, omdat je dan "van buitenaf" kunt connecten.

Dit waarschijnlijk het probleem ja. Hoe kom je eigelijk aan poort 1006 (3x256+238)?

Ik zal ethereal eens installeren op mn router, dat zal ook wat meer info opleveren.

[JackBol]

M14 schreef op vrijdag 01 september 2006 @ 09:28:
[...]


Dit waarschijnlijk het probleem ja. Hoe kom je eigelijk aan poort 1006 (3x256+238)?

Ik zal ethereal eens installeren op mn router, dat zal ook wat meer info opleveren.

zowiezo is 1006 geen high port. Zorg dat je datapoorten >1024 zijn

[Reptile209]

M14 schreef op vrijdag 01 september 2006 @ 09:28:
[...]


Dit waarschijnlijk het probleem ja. Hoe kom je eigelijk aan poort 1006 (3x256+238)?

Uit je log

code:

> PASV 
> 227 Entering Passive Mode (62,195,87,6,3,238)
> disconnected. (00:03:20)

(62,195,87,6,3,238) is IP en poort waarop de client de data-connectie moet openen op de server:
eerste 4 getallen zijn je IP (komma's door punten vervangen). Laatste 2 zijn het poortnummer. Daarbij moet je de eerste met 256 vermenigvuldigen (hoge byte) en dan de tweede er bij optellen (lage byte).
Ik betwijfel of etherreal meer info oplevert. Hooguit zie je dat de connectie op poort 1006 gedropped wordt door de server, omdat deze niet (goed) gemapped is.

[M14]

Reptile209 schreef op vrijdag 01 september 2006 @ 18:23:
[...]

Uit je log

code:

> PASV 
> 227 Entering Passive Mode (62,195,87,6,3,238)
> disconnected. (00:03:20)

(62,195,87,6,3,238) is IP en poort waarop de client de data-connectie moet openen op de server:
eerste 4 getallen zijn je IP (komma's door punten vervangen). Laatste 2 zijn het poortnummer. Daarbij moet je de eerste met 256 vermenigvuldigen (hoge byte) en dan de tweede er bij optellen (lage byte).
Ik betwijfel of etherreal meer info oplevert. Hooguit zie je dat de connectie op poort 1006 gedropped wordt door de server, omdat deze niet (goed) gemapped is.

Interessant, dat wist ik dus niet .

Ik heb ethereal op mn file-server geinstalleerd. Zo kwam ik er dus achter dat hij een poort boven de 1024 pakte, maar niet degene die ik verder ook geforward had. In bulletproof kun je een range poorten opgeven en ik ging er vanuit dat er gekeken werdt welke poort nu echt open was.

Nu heb ik het anders gedaan, namelijk die range beperkt tot 1 poort (die ook daadwerkelijk geforward was) en dat werkte . Maar maakt het uit voor het aantal clients wat tegelijk op je server connect?