Passive FTP achter NAT router probs

[Crusader]

Om te beginnen: ik heb ruim drie uur besteed aan het zoeken op GoT en Google, maar dit specifieke geval heb ik niet kunnen terugvinden.

De situatie:
Ik draai een FTP server (Serv-U) op een Windows 2000 Server. Dit heeft een lokaal IP adres, 10.0.0.100. Op het netwerk bevindt zich verder een NAT router (Dell TrueMobile Wireless 1184). Aan de internet (oftewel WAN) aansluiting van deze router zit een ZyXEL Prestige 650R-33 (ISDN-) ADSL modem. Dit modem is door Demon zo afgeleverd en is in de bridge-modus geconfigureerd.
Op de Dell router heb ik de volgende poorten geforward naar 10.0.0.100:
- 21
- 3000-3099 (voor passive FTP gebruik)
Tevens heb ik Serv-U geconfigureerd met mijn publieke WAN adres (212.238.x.x) en heb de poorten voor passive FTP gereserveerd. Serv-U ingesteld als passive server.

Het probleem:
Clients kunnen niet verbinden in de passive mode.
Wanneer ik vanuit bijvoorbeeld de xs4all.nl shell een ftp sessie open, dan is dat geen enkel probleem. Ook vanaf het LAN kan ik zonder problemen op de FTP server komen en bestanden verzenden/ontvangen.

Maar, wanneer clients de passive mode gebruiken, dan zie ik in de log van Serv-U dat de connectie tot stand wordt gebracht, de gebruiker inlogt en het PASV commando gegeven wordt.
Het laatste dat de FTP server nog logt is "Entering passive mode..." en dan houd het op. De client krijgt een time-out en kan verder geen sessie starten.

Wat zou ik hier nou nog fout kunnen doen?

[we_are_borg]

Lees even de poortforwarding die als FAQ in GoT staat die behoort het probleem op te lossen. Zo ver dat ik kan zien hb je een poort te weinig open staan voor de FTP server.

Je dient ook poort 20 nog te behandelen, je kan alles na lezen op de onder staande link.

Je kan hem hier Het Grote Poortmappingsverhaal vinden.

[ Voor 37% gewijzigd door we_are_borg op 18-08-2003 15:35 ]

[intoxicated]

I&T -> NT

[Crusader]

we_are_borg schreef op 18 August 2003 @ 15:32:
Lees even de poortforwarding die als FAQ in GoT staat die behoort het probleem op te lossen. Zo ver dat ik kan zien hb je een poort te weinig open staan voor de FTP server.

Je dient ook poort 20 nog te behandelen, je kan alles na lezen op de onder staande link.

Je kan hem hier Het Grote Poortmappingsverhaal vinden.

In de topics die ik tegenkwam tijdens het gebruik van de search werd al vele malen verwezen naar die FAQ, die had ik dus al doorgenomen

Over die poort 20: gebruiker "Ook" had in ftp komt niet verder bij Entering Passive Mode. gepost:

Verder vraag ik me af wanneer mensen nou eens ophouden over die 'poort 20 mythe' want 20 wordt alleen voor uitgaande connecties gebruikt en uitgaande connecties worden door 99% van de routers gewoon doorgelaten!

En daar ben ik het mee eens. Ook navraag gedaan bij vrienden, die hebben géén poort 20 gemapped en bij hun werkt wel alles goed.

[arikkert]

dit eerst eens lezen :
http://slacksite.com/other/ftp.html

[Crusader]

arikkert schreef op 18 August 2003 @ 16:24:
dit eerst eens lezen :
http://slacksite.com/other/ftp.html

Heb ik gedaan.
Daaruit kan ik opmaken dat ik mijn configuratie volgens mij wel op orde heb, maar toch nog ergens iets niet goed heb zitten.
Nuttig vond ik het overzichtje op die pagina:

The following chart should help admins remember how each FTP mode works:

code:

 Active FTP :
     command : client >1024 -> server 21
     data    : client >1024 <- server 20

 Passive FTP :
     command : client >1024 -> server 21
     data    : client >1024 -> server >1024

[ Voor 59% gewijzigd door Crusader op 18-08-2003 17:17 ]

[arikkert]

die ftp-command channel 21 gaat gewoon goed, want je kunt ingloggen.
maar kun jij aangeven waarom het data channel goed geforward wordt, van je client naar je server. Ik lees iets met 3000-3099, maar hoe weten die ftp clients dat ze daarop moeten connecten om het ftp data-channel naar de ftp server te openen ?

[Crusader]

Doordat de FTP server dat aan de client doorgeeft, nadat de client het PASV commando heeft gegeven.

[RoyPh]

Controleer eens in de log file van de ftp-server welke poorten gebruikt zijn als je lokaal geconnect hebt en dan bestanden verzonden hebt, met andere woorden of dit inderdaad wel in het bereik 3000-3099 ligt.

[Crusader]

De gebruikte poorten kloppen. Dat kan ik zien aan het PORT commando wat de server teruggeeft, dan het een na laatste getal vermenigvuldigen met 256 en het laatste getal erbij optellen. Dan kom ik op 3000 uit.

Maar ik ben er misschien al uit. Het is denk ik een verwarring aan mijn kant. Passive FTP is bedoeld voor clients die achter een firewall zitten, en niet specifiek de server.
Ik heb nu de passive mogelijkheid uitgezet op mijn server en het connecten lukt nu wel, voorzover ik kan testen.
Ik was ook in de veronderstelling dat proxy servers passive mode gebruiken en dat ik daarom niet vanaf mijn werk op de server kon komen.
Maar blijkbaar doen proxies het ook zonder passive, moet ik morgen nog even vanaf mijn werk testen.

Die link van arikkert werkte toch nog even verhelderend

[ Voor 4% gewijzigd door Crusader op 18-08-2003 19:47 ]

[Crusader]

Probleem was niet opgelost. Ik moet nog steeds passive gebruiken op de server, omdat onze proxy achter een firewall zit.

Uiteindelijk heb ik het werkend gekregen door het ZyXEL modem als router te laten fungeren en heb ik alleen maar poort 21 hoeven te mappen.
Die Dell router heb ik gewoon geconfigureerd als access point. Klaar. Dan maar zo

[styno]

Niet dat ik er wat vanaf weer hoor, maar misschien dat dit hetzelfde probleem als met NetMeeting is waar ook veel routers/firewalls mee te maken hebben. De firewall geeft alleen opgengestelde poorten door, terwijl bij PAT (port address translation) de gebruikte poorten van tevoren niet bekend zijn. De firewall software moet bekend zijn met PAT om toch de juiste poorten door te laten.

Voor zover ik weet kan deze router met PAT om gaan...

- NAT supports PAT (Port Address Translation) and Multimedia Application, ie NetMeeting, ICQ, CuSeeMe, etc

[Ryan1981]

Hallo allemaal

Ik wilde even kwijt dat ik precies hetzelfde probleem heb als hier beschreven.

Op het moment heb ik een speed touch home met daarachter een US Robotics 8003.

Ik draai Serv-U.

Ik kan op het moment alleen mensen van buitenaf laten connecten op me ftp via active mode.

Het kromme is dat ik op dit moment mijn PC in de DMZ heb staan en ik dus verwacht dat alles doorkomt!

Met mijn vorige router werkte Serv-U goed (en ik zat toen nogwel achter een NAT en had geen UPnP maar wel mijn virtual server die poort alleen 21 forwardde!)

Ik wil dus ook niet nog eens portforwarding doen (wel geprobeerd werkt niet), DMZ zou alles door moeten sturen.

is er echt geen oplossing voor?