FTP server buiten huisnetwerk bereiken

[nDirect090]

Dag allemaal,

Sinds een aantal dagen heb ik een Zyxel NAS NSA325 v2, inmiddels netjes ingericht etc etc. Nu wil ik hem graag buiten mn eigen netwerk benaderen, maar tot op heden nog niet met succes.

Na lang proberen ben ik er achter gekomen dat osx geen upload ondersteund in de finder.... Nu maak ik gebruik van FileZille, maar nog niet helemaal zoals ik het wil:

- port 20 en 21 staan open op router > OK
- Extern IP ingevoerd in FileZilla > OK
- Account gegevens werken > OK

Foutmeldingen die ik bij filezilla krijg:
Server sent passive reply with unroutable address. Using server address instead.

Deze melding kan ik veranderen naar:
Status: Server sent passive reply with unroutable address. Passive mode failed.
Command: PORT 192,168,43,85,196,47
Response: 500 I won't open a connection to 192.168.43.85 (only to 89.200.12.141)
Error: Failed to retrieve directory listing

Maar dan moet ik bij settings > passive mode > " fall back to active mode" instellen.

//

Hoe het wel werkt binnen filezille:
- encryption te veranden van "use explicit FTP over TLS if available" naar " Only use plain FTP (insecure) "

maar ik heb het idee dat dat niet helemaal secure is

--
Jullie enig idee?

[MdO82]

Welke aanbieder heb je en wat voor router/modem gebruik je ?

[prutser001]

Zet je FTP poort eens naar 12000 ofzo, misschien word 20/21 gewoon geblokkeerd?

[Room42]

Je moet de reeks Passive poorten ook van buiten naar binnen forwarden.

prutser001 schreef op zaterdag 4 maart 2017 @ 13:29:
Zet je FTP poort eens naar 12000 ofzo, misschien word 20/21 gewoon geblokkeerd?

Nee, hij kan wel verbinden maar de client kan niet overschakelen naar Passive mode omdat die poorten dicht zitten. Klassieke fout.

[ Voor 70% gewijzigd door Room42 op 04-03-2017 13:30 ]

[nDirect090]

MdO82 schreef op zaterdag 4 maart 2017 @ 13:28:
Welke aanbieder heb je en wat voor router/modem gebruik je ?

ziggo, modem staat in bridge mode

router;
asus RT-AC1200G+

[Paul]

FTP heeft 2 manieren om te verbinden, active en passive.

Bij Active geeft de client op "Verbind hier maar naar" en je FTP-server gaat dat doen. Wil dat werken dan moet de eventueel aanwezige NAT-router en/of firewall van de client dit snappen want de client bepaalt dan de poort waar dit over gaat gebeuren.

Bij Passive geeft de FTP-server door aan de client naar welk IP en poort de client moet verbinden. De server geeft zijn eigen IP-adres terug, in jouw geval je interne IP-adres. Je moet de server dus vertellen wat het externe IP is zodat het deze mee kan geven (of je router moet dit vertalen). Tevens kun je vaak opgeven welke poorten er gebruikt moeten worden, zodat je deze ook kunt forwarden naar de FTP-server.

[nDirect090]

Room42 schreef op zaterdag 4 maart 2017 @ 13:29:
Je moet de reeks Passive poorten ook van buiten naar binnen forwarden.

[...]

Nee, hij kan wel verbinden maar de client kan niet overschakelen naar Passive mode omdat die poorten dicht zitten. Klassieke fout.

En dat van buiten naar binnen forwarden, kan ik gwn doen in filezilla ?

Paul schreef op zaterdag 4 maart 2017 @ 13:52:
FTP heeft 2 manieren om te verbinden, active en passive.

Bij Active geeft de client op "Verbind hier maar naar" en je FTP-server gaat dat doen. Wil dat werken dan moet de eventueel aanwezige NAT-router en/of firewall van de client dit snappen want de client bepaalt dan de poort waar dit over gaat gebeuren.

Bij Passive geeft de FTP-server door aan de client naar welk IP en poort de client moet verbinden. De server geeft zijn eigen IP-adres terug, in jouw geval je interne IP-adres. Je moet de server dus vertellen wat het externe IP is zodat het deze mee kan geven (of je router moet dit vertalen). Tevens kun je vaak opgeven welke poorten er gebruikt moeten worden, zodat je deze ook kunt forwarden naar de FTP-server.

Dus als ik goed begrijp is Passive veel beter, maar hiervoor moet je nog wel het een en ander instellen? Doe ik dit ook instellen in filezilla ? Want de nas zelf heeft echt heel weinig opties, bijna alleen maar: ftp aan of uit en welke range evt.

Sorry wellicht voor mijn domme vragen, ik ben nog niet helemaal thuis in de werking

[Room42]

nDirect090 schreef op zaterdag 4 maart 2017 @ 14:17:
[...]


En dat van buiten naar binnen forwarden, kan ik gwn doen in filezilla ?

Op je router, zoals je ook poort 20 en 21 naar binnen geforward hebt

[...]
Dus als ik goed begrijp is Passive veel beter, maar hiervoor moet je nog wel het een en ander instellen? Doe ik dit ook instellen in filezilla ? Want de nas zelf heeft echt heel weinig opties, bijna alleen maar: ftp aan of uit en welke range evt.

Sorry wellicht voor mijn domme vragen, ik ben nog niet helemaal thuis in de werking

Over het algemeen is passive FTP de enige optie, vanwege alle firewalls ertussen. Welke poortranges kun je instellen op de server? Misschien een screenshot?

[nDirect090]

Room42 schreef op zaterdag 4 maart 2017 @ 14:33:
[...]
Op je router, zoals je ook poort 20 en 21 naar binnen geforward hebt

[...]

Over het algemeen is passive FTP de enige optie, vanwege alle firewalls ertussen. Welke poortranges kun je instellen op de server? Misschien een screenshot?

NAS:


Router:

[Room42]

nDirect090 schreef op zaterdag 4 maart 2017 @ 14:40:
[...]


NAS:
[afbeelding]

Router:
[afbeelding]

Die moet je even aanvinken. Pak dan een port range boven de 10000 en neem 2x het aantal clients dat je tegelijk wilt kunnen verbinden. Dus bijvoorbeeld 10000-10050 voor 25 clients.

Daarna voeg je die port range ook toe op je router.

edit:

Hmm, dit is ook een interessante passage, trouwens

[ Voor 9% gewijzigd door Room42 op 04-03-2017 14:59 ]

[nDirect090]

Room42 schreef op zaterdag 4 maart 2017 @ 14:45:
[...]

[afbeelding]

Die moet je even aanvinken. Pak dan een port range boven de 10000 en neem 2x het aantal clients dat je tegelijk wilt kunnen verbinden. Dus bijvoorbeeld 10000-10050 voor 25 clients.

Daarna voeg je die port range ook toe op je router.

Uitgevoerd, maar alsnog deze melding:
Status: Logged in
Status: Retrieving directory listing...
Status: Server sent passive reply with unroutable address. Using server address instead.


Weet niet 100% of het nu goed staat in de router ?

[nDirect090]

Room42 schreef op zaterdag 4 maart 2017 @ 14:45:
[...]

[afbeelding]

Die moet je even aanvinken. Pak dan een port range boven de 10000 en neem 2x het aantal clients dat je tegelijk wilt kunnen verbinden. Dus bijvoorbeeld 10000-10050 voor 25 clients.

Daarna voeg je die port range ook toe op je router.

Uitgevoerd, maar alsnog deze melding:
Status: Logged in
Status: Retrieving directory listing...
Status: Server sent passive reply with unroutable address. Using server address instead.


Weet niet 100% of het nu goed staat in de router ?

[Room42]

nDirect090 schreef op zaterdag 4 maart 2017 @ 14:59:
[...]


Uitgevoerd, maar alsnog deze melding:
Status: Logged in
Status: Retrieving directory listing...
Status: Server sent passive reply with unroutable address. Using server address instead.

[afbeelding]
Weet niet 100% of het nu goed staat in de router ?

Nee, nu heb je poorten 10000 en 100020 geforward. Je moet de range gebruiken (met een dubbele punt, i.p.v. een komma).

Maar zie mijn edit over dit:


Lees de FAQ van je router even.

[ Voor 9% gewijzigd door Room42 op 04-03-2017 15:01 ]

[valkenier]

Kun je niet via ssh verbinden met die nas, en daarover ftp doen? Standaard optie in filezilla. SFTP selecteren. En als je dan inlogt met een key ipv een password zit je nog weer veiliger ook. en maar 1 poortje openzetten naar de NAS.

Ik beheer ook een aantal servers op afstand, en ftp altijd zo.

[Orion84]

Die asus router, heeft die geen OpenVPN server aan boord (veel asus routers wel, maar dit model ken ik even niet in detail)? Dan zou ik daar eens naar kijken.

Dan kan je buitenshuis gewoon daarmee verbinden en ben je van alle portforwarding ellende af. Kan je ook nog eens mooi gebruiken om veiliger te surfen als je op publieke wifinetwerken zit etc.

[nDirect090]

Room42 schreef op zaterdag 4 maart 2017 @ 15:00:
[...]

Nee, nu heb je poorten 10000 en 100020 geforward. Je moet de range gebruiken (met een dubbele punt, i.p.v. een komma).

Maar zie mijn edit over dit:
[afbeelding]

Lees de FAQ van je router even.

Heb de FAQ even doorgenomen, helaas niks verdere info dan wat je in die screenshot liet zien Wel heb ik gekeken of de FTP functie van de router gwn uitstaat, en dat staat die. Dus ik neem aan dat het dan geen conflict opbrengt ?

Heb de : inplaats van , geprobeerd, maar zonder verschil helaas. Werkt ook nog niet.

valkenier schreef op zaterdag 4 maart 2017 @ 15:07:
Kun je niet via ssh verbinden met die nas, en daarover ftp doen? Standaard optie in filezilla. SFTP selecteren. En als je dan inlogt met een key ipv een password zit je nog weer veiliger ook. en maar 1 poortje openzetten naar de NAS.

Ik beheer ook een aantal servers op afstand, en ftp altijd zo.

Dan moet de NAs dat ondersteunen toch? Want ik kan daar niks over vinden iig.

Orion84 schreef op zaterdag 4 maart 2017 @ 15:14:
Die asus router, heeft die geen OpenVPN server aan boord (veel asus routers wel, maar dit model ken ik even niet in detail)? Dan zou ik daar eens naar kijken.

Dan kan je buitenshuis gewoon daarmee verbinden en ben je van alle portforwarding ellende af. Kan je ook nog eens mooi gebruiken om veiliger te surfen als je op publieke wifinetwerken zit etc.

Dit was mijn eerste oplossing, maar helaaaaas heeft die alleen PPTP vpn, en de OSX alleen L2tp. Hiervoor is nog wel een Raspberry Pi onderweg, die heb ik besteld om in te richten als l2tp vpn, zodat ik de nas gwn kan mounten. Maar FTP is een stapje minder, en zou ondanks dit probleem ook moeten werken.

//

FTP connecten via finder in mac doet het wel via extern IP, echter zit ik dan nog met het probleem van niet kunnen uploaden. Maar wel raar dat finder wel kan connecten en filezilla niet.

[Orion84]

En er is ook geen OpenVPN server beschikbaar om op je NAS te draaien? Dan heb je wel de portforwarding naar die VPN server op je NAS, maar dat is minder ingewikkeld dan een protocol als FTP.

[nDirect090]

Helaas niet als je synology nas hebt volgens mij wel. Maar dit is een zyxel nsa325 v2

[Mijzelf]

nDirect090 schreef op zaterdag 4 maart 2017 @ 14:59:
[...]


Uitgevoerd, maar alsnog deze melding:
Status: Logged in
Status: Retrieving directory listing...
Status: Server sent passive reply with unroutable address. Using server address instead.

Deze melding komt omdat je FTP server zijn lokale IP adres meegeeft als antwoord op het PASV commando. Daar kan de client niet heen verbinden, en gebruikt hij dus het originele adres waarmee hij met de server verbond.
Dit staat verder los van het forwarden van data ports (wat ook moet gebeuren).

Niet alle FTP clients kunnen met het 'unroutable address' probleem overweg, en de oplossing van Filezilla faalt ook soms, namelijk als de client zich in een soortgelijk subnet bevind als de server (allebei 192.168.2.x, bijvoorbeeld.) Het adres is dan wèl routable, alleen leidt het natuurlijk niet naar de server.

Een echte oplossing kun je krijgen met het Tweaks pakket. Hiermee kun je onder andere het geadverteerde adres van je FTP server veranderen. Om Tweaks te installeren moet je eerst MetaRepository installeren, om toegang te krijgen tot 3th party packages.

Overigens is het mogelijk dat je met het aangepaste geadverteerde adres niet langer de FTP server in je eigen LAN kunt gebruikten. Dit hangt ervanaf of je router NAT loopback ondersteund.

[valkenier]

En nogmaals, via SFTP via SSH? waarom probeer je dat niet?

[nDirect090]

Mijzelf schreef op zaterdag 4 maart 2017 @ 16:50:
[...]
Deze melding komt omdat je FTP server zijn lokale IP adres meegeeft als antwoord op het PASV commando. Daar kan de client niet heen verbinden, en gebruikt hij dus het originele adres waarmee hij met de server verbond.
Dit staat verder los van het forwarden van data ports (wat ook moet gebeuren).

Niet alle FTP clients kunnen met het 'unroutable address' probleem overweg, en de oplossing van Filezilla faalt ook soms, namelijk als de client zich in een soortgelijk subnet bevind als de server (allebei 192.168.2.x, bijvoorbeeld.) Het adres is dan wèl routable, alleen leidt het natuurlijk niet naar de server.

Een echte oplossing kun je krijgen met het Tweaks pakket. Hiermee kun je onder andere het geadverteerde adres van je FTP server veranderen. Om Tweaks te installeren moet je eerst MetaRepository installeren, om toegang te krijgen tot 3th party packages.

Overigens is het mogelijk dat je met het aangepaste geadverteerde adres niet langer de FTP server in je eigen LAN kunt gebruikten. Dit hangt ervanaf of je router NAT loopback ondersteund.

Om heel eerlijk te zijn snap ik het idee wel een klein beetje, maar ben ik bang dat ik het in praktijk niet goed doe of iets. Het lijkt mij dat het toch ook gwn via de officiele manier moet kunnen ?

valkenier schreef op zaterdag 4 maart 2017 @ 16:51:
En nogmaals, via SFTP via SSH? waarom probeer je dat niet?

De nas heeft helaas / ondersteund geen SFTP of SSH.

Soms denk ik echt: koop wel een synology.. dan maar 250 kwijt

[Mijzelf]

nDirect090 schreef op zaterdag 4 maart 2017 @ 17:16:
De nas heeft helaas / ondersteund geen SFTP of SSH.

Jawel. In de officiële package repository staat een ssh package. (Vanaf firmware 4.8). Deze ondersteund ook sftp en scp.

[nDirect090]

Mijzelf schreef op zaterdag 4 maart 2017 @ 17:20:
[...]
Jawel. In de officiële package repository staat een ssh package. (Vanaf firmware 4.8). Deze ondersteund ook sftp en scp.

Ik kan dat nergens vinden, of waar ik dat moet instellen als ik het google kom ik allemaal uit dat je ffp (plug achtig iets) moet gebruiken.

[Mijzelf]

In jouw screenshotje van de NAS webinterface staat linksboven op de 3e regel 'firmware/packages'. Daar vind je de packages in de packages tab.

[nDirect090]

Mijzelf schreef op zaterdag 4 maart 2017 @ 17:35:
In jouw screenshotje van de NAS webinterface staat linksboven op de 3e regel 'firmware/packages'. Daar vind je de packages in de packages tab.

Thanks, ik heb hem geintalleerd. Maar wat nu? Want ik kan nu alleen vinkje aan/uit zetten bij ssh service.

[Room42]

nDirect090 schreef op zaterdag 4 maart 2017 @ 17:44:
[...]


Thanks, ik heb hem geintalleerd. Maar wat nu? Want ik kan nu alleen vinkje aan/uit zetten bij ssh service.

Als die draait kun je met WinSCP of FileZilla Client naar Poort 22 verbinden (SSH/SFTP) en inloggen met een lokale gebruiker met SSH-rechten.

Als dat werkt kun je poort 22 forwarden. Let wel op dat je met deze login ook mogelijk configuratie van de NAS aan kan passen! Het is veel meer dan FTP!

[ Voor 17% gewijzigd door Room42 op 04-03-2017 18:04 ]

[nDirect090]

Room42 schreef op zaterdag 4 maart 2017 @ 18:03:
[...]

Als die draait kun je met WinSCP of FileZilla Client naar Poort 22 verbinden (SSH/SFTP) en inloggen met een lokale gebruiker met SSH-rechten.

Als dat werkt kun je poort 22 forwarden. Let wel op dat je met deze login ook mogelijk configuratie van de NAS aan kan passen! Het is veel meer dan FTP!

Dit lukt wel, zowel intern als extern. Maar ik kan alleen inloggen met de gebruiker admin/root:

Note:
º Please log in as "admin" or "root" using SSH. Their passwords are the same.
º The vendor is not responsible for configuration changes.

Ik kan helaas ook geen SSH rechten toekennen aan andere gebruikers. De admin ziet daarnaast ook geen shares, ondanks ik ze hier wel lid van heb gemaakt? Plus dat wat je al zei, je kan veel meer, ook de config aanpassen etc. Want ik zie de gehele mappen structuur.

[Mijzelf]

De shares staan in /i-data/md0

[ Voor 86% gewijzigd door Mijzelf op 04-03-2017 19:15 ]

[Room42]

nDirect090 schreef op zaterdag 4 maart 2017 @ 18:49:
[...]


Dit lukt wel, zowel intern als extern. Maar ik kan alleen inloggen met de gebruiker admin/root:

[...]

Daar moet je écht en sterk wachtwoord op zetten. Dat wil je niet publiek beschikbaar hebben.

[Mijzelf]

Met Tweaks kun je ook andere gebruikers ssh toegang geven. Maar ook die kunnen dan in de hele mappenstructuur rondneuzen, voorzover ze leesrechten hebben.

[nDirect090]

Hmm eigenlijk wil ik dat dan liever niet hebben, puur omdat ik zelf niet in de mappen hoef te zijn en andere al helemaal niet.

Het zou gwn toch moeten lukken met normaal ftp blegh.. want dan kan ik misschien nog beter connecten met: only use plain ftp (insecure). Want dat werkt wel

[laurens0619]

Even terug over ftp. Als je hem op externe adres probeert te bereiken, doe je dat dan wel ect vanaf een externe verbinding? (Wifi hotspot phone bv) het lijkt er nl op dat de passive ftp door de war raakt van je iets als nat loopback

[nDirect090]

laurens0619 schreef op zaterdag 4 maart 2017 @ 22:13:
Even terug over ftp. Als je hem op externe adres probeert te bereiken, doe je dat dan wel ect vanaf een externe verbinding? (Wifi hotspot phone bv) het lijkt er nl op dat de passive ftp door de war raakt van je iets als nat loopback

Ja hotspot op mn telefoon idd

[laurens0619]

Heb je de tips (aanpassen van startup script) uit dit topic al uitgevoerd?

https://forum.nas-central.org/viewtopic.php?f=228&t=7141

http://forum.zyxel.com/viewtopic.php?f=35&t=4974#p18397

Je kunt ook zyxel-utils tooltje installeren om deze "external ip patch " toe te passen

http://zyxel.nas-central.org/w/index.php?title=Zyxel_utils

Eigenlijk hetzelfde als Mijzelf al beschrijft. Helaas werkt het zonder tweaks maar op een beperkt aantal routers (waarsch manier waarop je router nat doet). Je hebt dus helaas een tweak nodig die je of a) handmatig b) via zyzel utils of c) via tweaks toepas

[ Voor 73% gewijzigd door laurens0619 op 05-03-2017 07:07 ]

[nDirect090]

laurens0619 schreef op zondag 5 maart 2017 @ 06:50:
Heb je de tips (aanpassen van startup script) uit dit topic al uitgevoerd?

https://forum.nas-central.org/viewtopic.php?f=228&t=7141

http://forum.zyxel.com/viewtopic.php?f=35&t=4974#p18397

Je kunt ook zyxel-utils tooltje installeren om deze "external ip patch " toe te passen

http://zyxel.nas-central.org/w/index.php?title=Zyxel_utils

Eigenlijk hetzelfde als Mijzelf al beschrijft. Helaas werkt het zonder tweaks maar op een beperkt aantal routers (waarsch manier waarop je router nat doet). Je hebt dus helaas een tweak nodig die je of a) handmatig b) via zyzel utils of c) via tweaks toepas

Ik zit idd nu even te kijken naar die utils, maar geen flauw idee hoe ik zo een script kan invoeren? Moet je daar niet dat FFP voor hebben draaien ?

Plus wat mij opviel:
A side effect can be that the server is no longer accessible from within the LAN, depending on if your router supports NAT loopback, or the throughput within the LAN can be lowered dramatically. (The traffic is routered twice, once from the LAN to the WAN, and once back.)

Dus als mijn router geen NAT loopback support, heb ik een groter probleem

[laurens0619]

Nat loopback zal je router wel doen en de wan-lan performance is van die router zit wel in orde dus de snelheid zal ook wel goed blijven. Topic is uit 2012 en toen waren internet abos nog niet zo snel dus was de lan-wan snelheid ook vaak beperkt

Maar snap eigenlijk niet waarom je als je lokaal zit ftp zou willen gebruiken, dan is smb een stuk handiger.

Samengevat vind ik je beetje zeuren die zyxrl nas is een stuk verdriet maar daar ben je zelf al achter gekomen denk ik. oud beestje (4 jaar) en destijds al budget model (~100 euro).

Of koop iets fatsoenlijks als een synology of tweak het spul zodat het wellicht gaat werken.

Als je de topics leest + google lijkt het mij geen rocket science voor een tweaker om het door te voeren. Is het tweaken te complex, koop dan een andere nas waar het out the box werkt

Vat het niet verkeerd op maar we zitten hier op tweakers. Ik zie tweaken als eindeloos "prutsen" om toch iets zo goed(koop) mogelijk aan de praat te krijgen wat iemand op beginnersweb zou vervangen. Ja dat prutsen is "complex" maar dat is juist het leuke eraan voor een tweaker, ftp leren begrijpen, ssh begrijpen etc en iets aan de praat krijgen.

[ Voor 29% gewijzigd door laurens0619 op 05-03-2017 09:41 ]