Port forwarding, waarom werkt dit niet?

[wallywally]

Inmiddels denk ik dat ik achterlijk ben oid, voor zó een eenvoudige setup, zo veel gelazer. (iets waar ik wel vaker last van heb overigens, en ik lijk wel de enige ter wereld die hier last van heeft ofzo)

Ik probeer een raspberry pi met daarop open media vault, te openen voor FTP (en secure ftp uiteraard), voorlopig eerst even "normaal" ftp, omdat er al zat gelazer daarmee is. 1 TCP poort, je zou zeggen; dit moet al te lastig zijn.

Volgens deze guide zelfs, forward ik de port, op een zyxel. Poort 21, maargoed, omdat we daar niet meer aan doen ivm security enzo, vooruit, poort 2101, om ook de tftpserver van het modem zelf niet in de weg te zitten.



Dit lijkt me hoe het hoort, dit is ook wat die guide aangeeft enzovoort. De raspberry pi zit rechtstreeks achter m'n modem, met een kabel, op 1.80.

Geen firewalls whatsoever of iets in die trant, intern werkt het ook gewoon op die IP/poort combinatie. Firewall op de router staat uit;


Wat mis ik, ben ik nou zo gek aan het worden of? Ik heb wel vaker geprobeerd om "passive ftp" werkend te krijgen, meestal kreeg ik pas gezeik bij die portrange die hierna komt, maar nu kom ik niet eens tot daar

[sig69]

En je ftp server op de pi draait ook op poort 2101?

[wallywally]

sig69 schreef op donderdag 28 januari 2021 @ 19:44:
En je ftp server op de pi draait ook op poort 2101?

Het werkt intern, op deze port/ip combinatie, ja

[synoniem]

FTP is best een lastig protocol en gebruikt port 21 als “control port” en een connectie naar de server op port 20 als "data" port. Dus je zult port 2020 t/m 2021 moeten configureren en laten verwijzen naar 20 en 21.

[wallywally]

synoniem schreef op donderdag 28 januari 2021 @ 19:48:
FTP is best een lastig protocol en gebruikt port 21 als “control port” en een connectie naar de server op port 20 als "data" port. Dus je zult port 2020 t/m 2021 moeten configureren en laten verwijzen naar 20 en 21.

Ja nu ga je even te snel, ik ga met passive FTP een range openen, dus dit is niet van toepassing nu. De vraag is even waarom poort 2101 hier closed is, er hoort OPEN te staan. Eerst het één, dan het ander.

[lier]

synoniem schreef op donderdag 28 januari 2021 @ 19:48:
FTP is best een lastig protocol en gebruikt port 21 als “control port” en een connectie naar de server op port 20 als "data" port. Dus je zult port 2020 t/m 2021 moeten configureren en laten verwijzen naar 20 en 21.

Dat wordt inderdaad gedacht, maar klopt niet helemaal. Poort 20 moet aan de client kant open staan, terwijl poort 21 aan de server kant open moet. Dit wordt "actief" genoemd. Het makkelijkste is om een passieve portrange naar de Pi open te zetten (en deze in je FTP server te configureren).

[wallywally]

lier schreef op donderdag 28 januari 2021 @ 19:53:
[...]

Dat wordt inderdaad gedacht, maar klopt niet helemaal. Poort 20 moet aan de client kant open staan, terwijl poort 21 aan de server kant open moet. Dit wordt "actief" genoemd. Het makkelijkste is om een passieve portrange naar de Pi open te zetten (en deze in je FTP server te configureren).

Ja dit is ook al gebeurd, misschien dat ik het ook gevonden heb. Ik vind meer klachten over dit modem ook, dat die forwardings niet goed gaan, ik ga een nieuwe firmware laden.

Hoewel ik sowieso niet begrijp waarom dat allemaal zo lastig moet, dat actief en passief, maargoed.

[Voor 8% gewijzigd door wallywally op 28-01-2021 19:56]

[GeleFles]

Zoals hierboven al gezegd is FTP wel een bijzonder protocol, dus even goed om je in te verdiepen.

Verder zijn je argumenten om 2101 te gebruiken ipv 21 wat zwak... De gemiddelde port scanner op internet scant ook andere poorten, en zal ook je ftp server achter 2101 gaan vinden.
Zorg dus dat (als je het werkend hebt) dat je hem goed up to date houdt en eventueel accesslogs in de gaten blijft houden.
Daarnaast zit je tftp niet in de weg, dat is UDP poort 69

Krijg je het op poort 21 wel goed werkend?

[wallywally]

GeleFles schreef op donderdag 28 januari 2021 @ 20:48:
Zoals hierboven al gezegd is FTP wel een bijzonder protocol, dus even goed om je in te verdiepen.

Verder zijn je argumenten om 2101 te gebruiken ipv 21 wat zwak... De gemiddelde port scanner op internet scant ook andere poorten, en zal ook je ftp server achter 2101 gaan vinden.

Ja, zo vind je alles, maargoed, je hoeft ook neit het raam open te zetten zodra het donker wordt.

Zorg dus dat (als je het werkend hebt) dat je hem goed up to date houdt en eventueel accesslogs in de gaten blijft houden.
Daarnaast zit je tftp niet in de weg, dat is UDP poort 69

Krijg je het op poort 21 wel goed werkend?

Het maakt niet zoveel uit of het een raar vreemd protocol is of niet, met hetgeen wat ik doe zou die shieldsup probe iig een open poort moeten krijgen, hoe vreemd het protocol ook in elkaar steekt. En je hebt gelijk, het was geen tftpserver, er zit gewoon een normale ftp server op die router zo lijkt.

Maargoed, het lijkt op de firmware idd, het probleem is nu verholpen. Lijkt gewoon erop dat die portforwarding brak is. Gaat om de Zyxel VMG8324 B10A, voor googlaars.

Bedankt voor de reacties wel.

[HMaster_II]

Heb je de poorten wel gechecked van buitenaf???
https://www.ipfingerprints.com/portscan.php

Controleer je poorten eens..

En check ook bij je provider of het FTP protocol wel gebruikt kan worden... Bij KPN heeft dat een tijd dicht gezeten bijvoorbeeld.

[dion_b]

Waarom eerst (ingewikkelde) FTP proberen te gebruiken als je uiteindelijk toch (veel simpelere) SFTP wilt doen?

FTP gebruikt linksom of rechtsom twee poorten en is erg configuratiegevoelig. SFTP gebruikt een enkele poort en is behoorlijk idiot-proof. Het is dus veel makkelijker om daar gelijk mee te testen. Als dat goed gaat heb je helemaal geen FTP nodig (incl bijbehorende security-risico's al is het maar tijdelijk).

[Thralas]

Gebruik alsjeblieft gewoon SFTP. Dat is in alle opzichten beter en praktischer.

Maar omdat je een closed terugkrijgt: wat geeft een andere willekeurige poort bij die test? Als dat filtered is, dan heeft je port forward in ieder geval wat gedaan. Dan kun je met tcpdump kijken of je inkomend verkeer op de Raspberry Pi ziet.

Je zou kunnen proberen om 'Trigger start port' en 'Trigger end port' leeg te laten. Volgens mij is dat voor een hele andere (achterhaalde) use case; je hebt het in ieder geval niet nodig, dus ik zou het leeg laten om te voorkomen dat het hier in de weg zit.

[NimRod1337]

Gebruik sftp poort 22. Voordeel, je hebt geen aparte ftp daemon nodig aleen ssh. Je zegt "uiteraard secure ftp" maar het is nog steeds insecure als ook ftp open staat en draait. Niet doen. Port triggering leeglaten inderdaad.

[Voor 17% gewijzigd door NimRod1337 op 29-01-2021 19:36]