[ProFTPd] FTP op FreeBSD jail onbereikbaar via internet

[egonolieux]

Beste tweakers,

Op mijn FreeBSD (thuis)server heb ik een jail draaien die een aantal "publieke services" moet verzorgen, namelijk een webserver (Apache) en een FTP server (ProFTPd). Lokaal kan ik beiden zonder problemen bereiken, maar wanneer ik de FTP server van buitenaf wil bereiken dan loopt het mis.

Het ligt alleszins niet aan mijn port forwarding; de webserver is perfect bereikbaar buiten het lokale net. Het is ook zeker dat de poort niet reeds in gebruik is (2124), aangezien het met andere poorten ook niet lijkt te werken. De DNS instellingen van de jail zijn ook niet de boosdoener want het is mogelijk om te verbinden met de FTP server van FreeBSD zelf (packages/ports).

De (anonieme) ProFTPd configuratie is reeds werkend getest op het host systeem:
code:

#
# *** ProFTPd Anonymous FTP Configuration ***
#

ServerName "CP17 Mainserver Anonymous FTP"
ServerType standalone
DefaultServer on

Port 2124
PassivePorts 2123 2125
UseIPv6 on

MaxInstances 30
MaxClients 50
MaxConnectionsPerHost 5
MaxLoginAttempts 3

TimeoutIdle 600
TimeoutLogin 300
TimeoutNoTransfer 300
TimeoutStalled 3600

DefaultTransferMode ascii
SyslogFacility ftp
DeferWelcome off
MultilineRFC2228 off

IdentLookups off
UseReverseDNS off
AllowOverride off

<Limit LOGIN>
  AllowAll
</Limit>

<Global>
  RequireValidShell off
  DefaultRoot ~ !wheel
  AllowOverwrite on
  AllowRetrieveRestart on
  AllowStoreRestart on
  DeleteAbortedStores off
  TimesGMT off
</Global>

<Anonymous /mnt/public_files>
  User ftp
  Group ftp
  UserAlias anonymous ftp
  
  <Directory /mnt/public_files>
    <Limit WRITE>
      DenyAll
    </Limit>
  </Directory>
 
  <Directory /mnt/public_files/Media>
    <Limit WRITE>
      DenyAll
    </Limit>
  </Directory>
 
  <Directory /mnt/public_files/Public>
    <Limit WRITE>
      AllowAll
    </Limit>
  </Directory>
  
  <Directory "/mnt/public_files/Shared Files">
    <Limit WRITE>
      DenyAll
    </Limit>
  </Directory>
  
  <Directory /mnt/public_files/Software>
    <Limit WRITE>
      DenyAll
    </Limit>
  </Directory>
  
  <Limit LOGIN>
    AllowAll
  </Limit>
</Anonymous>

<IfModule mod_ban.c>
  BanEngine off
  BanControlsACLs all allow group wheel
  BanLog /var/log/proftpd/ban.log
  BanMessage Host %a has been banned
  BanTable /var/run/proftpd/ban.tab
</IfModule>

<IfModule mod_delay.c>
  DelayEngine on
  DelayTable "/var/run/proftpd/proftpd.delay"
</IfModule>

<IfModule mod_wrap.c>
  TCPAccessFiles /etc/hosts.allow /etc/hosts.allow
  TCPAccessSyslogLevels info warn
  TCPServiceName ftpd
</IfModule>

<IfModule mod_auth_pam.c>
  AuthPAM off
</IfModule>

Ik weet dat jails extra ingebouwde beveiligingen hebben waardoor de toegang tot de FTP server eventueel geblokkeerd zou kunnen worden, maar de vraag is dan waarom de webserver dan wel toegang krijgt.

Mijn netwerkinstellingen van de host zijn als volgt:
code:

re0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
        options=389b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,WOL_UCAST,WOL_MCAST,WOL_MAGIC>
        ether 6c:62:6d:e6:13:12
        inet 192.168.1.30 netmask 0xffffff00 broadcast 192.168.1.255
        inet6 fe80::6e62:6dff:fee6:1312%re0 prefixlen 64 scopeid 0x2
        inet 192.168.1.31 netmask 0xffffffff broadcast 192.168.1.31
        nd6 options=29<PERFORMNUD,IFDISABLED,AUTO_LINKLOCAL>
        media: Ethernet autoselect (1000baseT <full-duplex>)
        status: active

En van de jail:
code:

re0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500
        options=389b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,WOL_UCAST,WOL_MCAST,WOL_MAGIC>
        ether 6c:62:6d:e6:13:12
        inet 192.168.1.31 netmask 0xffffffff broadcast 192.168.1.31
ifconfig: socket(AF_INET6, SOCK_DGRAM): Protocol not supported
        media: Ethernet autoselect (1000baseT <full-duplex>)
        status: active

Beiden zitten dus op dezelfde interface en op hetzelfde netwerk (192.168.1.0/24).

egonolieux wijzigde deze reactie 13-10-2012 04:34 (19%)

[Mijzelf]

Ik vemoed dat je poorten 2123 tot 2125 moet forwarden. Heb je ook een client log van een mislukte sessie?

[Hero of Time]

Welke poorten heb je allemaal geprobeerd? Wellicht dat je ISP nou net die blokkeert.

[blorf]

Je kan met netcat (nc) die forwarding controleren, door handmatig letters over de ip's/poorten te sturen, al zeg je zelf dat het daar niet aan ligt. Dus als je een paar bytes naar je buiten-ip stuurt over pro-ftpd's poort moet die daarop reageren met unknown command oid. Misschien heeft ie nog een "-verbose" optie nodig omdat weer te geven.

echo "tekst" | nc <ip> <poort>

verder:
- remote services checken: http://www.yougetsignal.com/tools/open-ports/
- jail-related sysctl vars bekijken/proberen

Ook ben ik benieuwd of zowel de server als de standaard CLI ftp-client ook iets melden bij een inlog-poging. Je zegt alleen dat het mis loopt. Als er echt een time-out is zou ik het toch wel bij het modem zoeken. Zoiezo nieuwe NAT/forwarding settings altijd een paar minuten laten inwerken.

edit: je zou voor de zekerheid nog kunnen proberen of het ook zonder die jail werkt dus die ip-alias er even tijdelijk af halen en de echte ip laten forwarden. Dan kan je in ieder geval zien of die jail er iets mee te maken heeft.

blorf wijzigde deze reactie 13-10-2012 15:25 (16%)

[CAPSLOCK2000]

Je kan FTP niet zomaar forwarden. Lees even wat over het verschil tussen actieve en passieve FTP in relatie tot NAT. Waarschijnlijk moet je aan je router/firewall vertellen dat die poorten worden gebruikt voor FTP, zodat ze een speciale behandeling krijgen.

[GlowMouse]

quote:

CAPSLOCK2000 schreef op zaterdag 13 oktober 2012 @ 15:25:
Je kan FTP niet zomaar forwarden.

Dat kan prima, zeker met een setting als:
code:

PassivePorts 2123 2125

[razorhead]

Dit gaat niet werken.

Je gebruikt 2124 voor de control connection, maar tegelijkertijd reserveer je 2123-2125 (dus inclusief 2124!) voor passive transfers.. Je moet je passive range zo zetten dat de control port daar niet in zit.

Overigens is het verstandig om de passive port range te vergroten...

razorhead wijzigde deze reactie 13-10-2012 15:32 (13%)