ProFTPd и DD-wRT - не могу настроить FTP-сервер за NAT'ом.

0

1

Имеется: Сервер с ProFTPd во внутренней сети. Роутер Asus RT-AC52U на DD-WRT со статическим внешним айпи.

Задача: Нужно настроить доступ к серверу с ProFTPd снаружи.

Что было сделано: а) на роутере через WebGUI пробросил 21 порт и диапазон портов - 60000:65000 к локальному IP сервера. б) на сервере в /etc/proftpd/proftpd.conf указал следующее: PassivePorts 60000 65000 MasqueradeAddress <внешний-айпи>

В итоге при заходе с внешки:

[R] PASV [R] 227 Entering Passive Mode [R] Opening data connection IP: XX.YY.XX.YY PORT: 61533 [R] LIST -al

после этого долгая пауза и разрыв по таймауту.

Внутри локальной сети все работает как надо.

ЧЯДНТ?

Подозреваю, что проброс портов работает криво, но в iptables не силен. Прошу помощи!

Ссылка

←	Бесплатный мониторинг

Arch Linux, systemd, отображать лог загрузки

→

Коли не силен в iptables, почитай вот это: http://www.opennet.ru/docs/RUS/iptables/

Vsevolod-linuxoid ★★★★★
(19.05.16 20:26:56 MSK)

Ссылка

Через консоль:

iptables -t nat -A PREROUTING -p tcp -d [внешний IP] --dport [порт или 21 или можно свой]  -j DNAT --to-destination [внутренний IP]:21
iptables -A FORWARD -i eth1 -d [внутренний IP] -p tcp --dport 21 -j ACCEPT

Сетевой интерфейс eth1 может отличатся от твоего. Настройки ProFTPd для проброса не требуются.

Тут подробнее: https://www.dd-wrt.com/wiki/index.php/Port_Forwarding

m101
(19.05.16 21:01:46 MSK)

Ответ на: комментарий от m101 19.05.16 21:01:46 MSK

21й порт он видит корректно, иначе не соединялся бы вообще. Можете привести такой же пример команд для диапазона портов (в моем случае это (60000-650000)

greenplastic
(19.05.16 22:13:19 MSK) автор топика

Модули ip_conntrack_ftp и nf_nat_ftp по идее должны помочь.

В TomatoUSB включается одной галкой в настройках. На счёт DD-WRT не знаю, ибо видел последний раз на DIR-300.

Radjah ★★★★★
(19.05.16 22:47:32 MSK)

Ответ на: комментарий от Radjah 19.05.16 22:47:32 MSK

Кажется этому роутеру не хватает молотка. Я вижу что из Веб-гуя port range forwarding работать не хочет. А из консоли я еще не усвоил как это сделать. Похоже придется пробовать другие прошивки.

greenplastic
(20.05.16 00:38:32 MSK) автор топика

Ссылка

IP на роутере точно белый?

peregrine ★★★★★
(20.05.16 00:44:25 MSK)

Ответ на: комментарий от peregrine 20.05.16 00:44:25 MSK

Да.

greenplastic
(20.05.16 00:47:22 MSK) автор топика

Ссылка

Ответ на: комментарий от greenplastic 19.05.16 22:13:19 MSK

60000-650000

Это опечатка такая?

Radjah ★★★★★
(20.05.16 07:52:36 MSK)

Ответ на: комментарий от Radjah 20.05.16 07:52:36 MSK

Да, опечатался.

greenplastic
(20.05.16 15:14:22 MSK) автор топика

Ссылка

Ответ на: комментарий от greenplastic 19.05.16 22:13:19 MSK

iptables -t nat -A PREROUTING  -p tcp  --dport 20 -j DNAT --to 192.168.178.21:20
iptables -t nat -A PREROUTING  -p tcp  --dport 21 -j DNAT --to 192.168.178.21:21
iptables -t nat -A PREROUTING  -p tcp  --dport 60000:65000 -j DNAT --to 192.168.178.21:60000-65000
iptables -A FORWARD -s 192.168.178.21 -p tcp --sport 20 -j ACCEPT
iptables -A FORWARD -s 192.168.178.21 -p tcp --sport 21 -j ACCEPT
iptables -A FORWARD -s 192.168.178.21 -p tcp --sport 60000:65000 -j ACCEPT

Ну и как говорилось ранее подключи модули:

modprobe ip_nat_ftp
modprobe ip_conntrack_ftp

m101
(20.05.16 15:56:29 MSK)

Ответ на: комментарий от m101 20.05.16 15:56:29 MSK

По модулям: root@wrt:~# modprobe ip_nat_ftp -sh: modprobe: not found --- С командами тоже не получается - даже не соединяет по 21му.

greenplastic
(20.05.16 19:54:09 MSK) автор топика

Ответ на: комментарий от greenplastic 20.05.16 19:54:09 MSK

Скинь сюда вывод:

iptables -L -v -n

m101
(20.05.16 20:34:33 MSK)

Ответ на: комментарий от m101 20.05.16 20:34:33 MSK

Машина с фтп: 192.168.0.4

root@wrt:~# iptables -L -v -n (policy ACCEPT 0 packets, 0 bytes) prot opt in     out     source               destination --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED udp  --  vlan2  *       0.0.0.0/0            0.0.0.0/0           udp dpt:520 udp  --  br0    *       0.0.0.0/0            0.0.0.0/0           udp dpt:520 0 logaccept  udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:520 tcp  --  *      *       0.0.0.0/0            192.168.0.1         tcp dpt:80 icmp --  vlan2  *       0.0.0.0/0            0.0.0.0/0 2    --  *      *       0.0.0.0/0            0.0.0.0/0 0    --  lo     *       0.0.0.0/0            0.0.0.0/0           state NEW --  br0    *       0.0.0.0/0            0.0.0.0/0           state NEW 0    --  *      *       0.0.0.0/0            0.0.0.0/0 (policy ACCEPT 0 packets, 0 bytes) prot opt in     out     source               destination tcp  --  vlan2  *       0.0.0.0/0            0.0.0.0/0           tcp dpts:60000:65000 tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags:0x06/0x02 TCPMSS clamp to PMTU --  *      vlan2   192.168.0.0/24       0.0.0.0/0 0 logaccept  tcp  --  *      vlan2   192.168.0.0/24       0.0.0.0/0           tcp dpt:1723 0    --  *      *       0.0.0.0/0            0.0.0.0/0 --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED --  br0    br0     0.0.0.0/0            0.0.0.0/0 tcp  --  *      *       0.0.0.0/0            192.168.0.69        tcp dpt:51330 udp  --  *      *       0.0.0.0/0            192.168.0.69        udp dpt:51330 0 logaccept  tcp  --  *      *       0.0.0.0/0            192.168.0.4         tcp dpt:80 0 logaccept  tcp  --  *      *       0.0.0.0/0            192.168.0.4         tcp dpt:10000 tcp  --  *      *       0.0.0.0/0            192.168.0.4         tcp dpt:55 0 logaccept  udp  --  *      *       0.0.0.0/0            192.168.0.4         udp dpt:55 tcp  --  *      *       0.0.0.0/0            192.168.0.4         tcp dpt:21 0 logaccept  tcp  --  *      *       0.0.0.0/0            192.168.0.4         tcp dpt:20 0    --  vlan2  br0     0.0.0.0/0            0.0.0.0/0           TRIGGER type:in match:0 relate:0 --  br0    *       0.0.0.0/0            0.0.0.0/0 --  br0    *       0.0.0.0/0            0.0.0.0/0           state NEW 0    --  *      *       0.0.0.0/0            0.0.0.0/0 (policy ACCEPT 13158 packets, 6367K bytes) prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination prot opt in     out     source               destination 0    --  *      *       0.0.0.0/0            0.0.0.0/0 prot opt in     out     source               destination 0    --  *      *       0.0.0.0/0            0.0.0.0/0 prot opt in     out     source               destination 0    --  *      *       0.0.0.0/0            0.0.0.0/0 prot opt in     out     source               destination tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with tcp-reset prot opt in     out     source               destination

greenplastic
(20.05.16 21:16:33 MSK) автор топика

Ответ на: комментарий от greenplastic 20.05.16 21:16:33 MSK

Ниже написан вывод в тот момент когда порт-форвардинг прописан через веб-морду.

root@wrt:~# iptables -L -v -n
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination 
  119 13751 logaccept  0    --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
    0     0 logdrop    udp  --  vlan2  *       0.0.0.0/0            0.0.0.0/0           udp dpt:520
    0     0 logdrop    udp  --  br0    *       0.0.0.0/0            0.0.0.0/0           udp dpt:520
    0     0 logaccept  udp  --  *      *       0.0.0.0/0            0.0.0.0/0           udp dpt:520
   11   564 logaccept  tcp  --  *      *       0.0.0.0/0            192.168.0.1         tcp dpt:80
    0     0 logdrop    icmp --  vlan2  *       0.0.0.0/0            0.0.0.0/0   
    0     0 logdrop    2    --  *      *       0.0.0.0/0            0.0.0.0/0   
    0     0 ACCEPT     0    --  lo     *       0.0.0.0/0            0.0.0.0/0           state NEW
    9   834 logaccept  0    --  br0    *       0.0.0.0/0            0.0.0.0/0           state NEW
    9   867 logdrop    0    --  *      *       0.0.0.0/0            0.0.0.0/0   

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination 
    2   124 TCPMSS     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp flags:0x06/0x02 TCPMSS clamp to PMTU
    0     0 logaccept  47   --  *      vlan2   192.168.0.0/24       0.0.0.0/0   
    0     0 logaccept  tcp  --  *      vlan2   192.168.0.0/24       0.0.0.0/0           tcp dpt:1723
  136 17024 lan2wan    0    --  *      *       0.0.0.0/0            0.0.0.0/0   
  134 16856 logaccept  0    --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
    0     0 logaccept  0    --  br0    br0     0.0.0.0/0            0.0.0.0/0   
    0     0 logaccept  tcp  --  *      *       0.0.0.0/0            192.168.0.69        tcp dpt:51330
    0     0 logaccept  udp  --  *      *       0.0.0.0/0            192.168.0.69        udp dpt:51330
    0     0 logaccept  tcp  --  *      *       0.0.0.0/0            192.168.0.4         tcp dpt:80
    0     0 logaccept  tcp  --  *      *       0.0.0.0/0            192.168.0.4         tcp dpt:10000
    1   104 logaccept  tcp  --  *      *       0.0.0.0/0            192.168.0.4         tcp dpt:55
    0     0 logaccept  udp  --  *      *       0.0.0.0/0            192.168.0.4         udp dpt:55
    0     0 logaccept  tcp  --  *      *       0.0.0.0/0            192.168.0.4         tcp dpt:21
    0     0 logaccept  tcp  --  *      *       0.0.0.0/0            192.168.0.4         tcp dpt:20
    0     0 logaccept  tcp  --  *      *       0.0.0.0/0            192.168.0.4         tcp dpts:60000:65000
    0     0 TRIGGER    0    --  vlan2  br0     0.0.0.0/0            0.0.0.0/0           TRIGGER type:in match:0 relate:0
    1    64 trigger_out  0    --  br0    *       0.0.0.0/0            0.0.0.0/0 
    1    64 logaccept  0    --  br0    *       0.0.0.0/0            0.0.0.0/0           state NEW
    0     0 logdrop    0    --  *      *       0.0.0.0/0            0.0.0.0/0   

Chain OUTPUT (policy ACCEPT 123 packets, 13144 bytes)
 pkts bytes target     prot opt in     out     source               destination 

Chain advgrp_1 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain advgrp_10 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain advgrp_2 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain advgrp_3 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain advgrp_4 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain advgrp_5 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain advgrp_6 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain advgrp_7 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain advgrp_8 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain advgrp_9 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain grp_1 (1 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain grp_10 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain grp_2 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain grp_3 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain grp_4 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain grp_5 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain grp_6 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain grp_7 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain grp_8 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain grp_9 (0 references)
 pkts bytes target     prot opt in     out     source               destination 

Chain lan2wan (1 references)
 pkts bytes target     prot opt in     out     source               destination 
  136 17024 grp_1      0    --  *      *       0.0.0.0/0            0.0.0.0/0   

Chain logaccept (18 references)
 pkts bytes target     prot opt in     out     source               destination 
  275 32173 ACCEPT     0    --  *      *       0.0.0.0/0            0.0.0.0/0   

Chain logdrop (6 references)
 pkts bytes target     prot opt in     out     source               destination 
    9   867 DROP       0    --  *      *       0.0.0.0/0            0.0.0.0/0   

Chain logreject (0 references)
 pkts bytes target     prot opt in     out     source               destination 
    0     0 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           reject-with tcp-reset

Chain trigger_out (1 references)
 pkts bytes target     prot opt in     out     source               destination

greenplastic
(20.05.16 21:31:52 MSK) автор топика

Ответ на: комментарий от greenplastic 20.05.16 21:31:52 MSK

Вот с этим должно заработать:

echo 1 > /proc/sys/net/ipv4/ip_forward

Это надо на ftp сервере, а не на роутере прописывать :)

modprobe ip_nat_ftp
modprobe ip_conntrack_ftp

m101
(21.05.16 13:06:01 MSK)

Ответ на: комментарий от m101 21.05.16 13:06:01 MSK

на фтп-сервере прописывать и то и другое? (echo и modprobe)

greenplastic
(21.05.16 17:08:52 MSK) автор топика

Ответ на: комментарий от greenplastic 21.05.16 17:08:52 MSK

echo на роутере

m101
(21.05.16 20:41:18 MSK)

Ответ на: комментарий от m101 21.05.16 20:41:18 MSK

Парюсь весь Божий день... Хоть раком, хоть каром.

По существу:

1. На роутере

 echo 1 > /proc/sys/net/ipv4/ip_forward

не помогло.

2. На сервере

modprobe ip_nat_ftp
modprobe ip_conntrack_ftp

безрезультатно.

3. Смена трех разных прошивок на Asus RT-AC56U: Стоковая, Merlin, Tomato, DD-WRT, танцы с бубном и настройками. Не помогли - картина та же.

4. Смена роутера на Linksys WRT54GL - не помогло.

5. Поднятие второго FTP-сервера на FreeNAS и его проверка показали аналогичную картину. Та же проблема.

Это п*здец... Такое чувство, что дурит провайдер со своей сетью...

Вернусь домой и думаю на ноуте поднять ProFTPD, пробросить порты и проверить. Я помню, что из дома FTP в свое время работал как часы на FreeNAS и без особого гемора.

greenplastic
(21.05.16 22:11:49 MSK) автор топика

Ответ на: комментарий от greenplastic 21.05.16 22:11:49 MSK

Поднял дома сервер с аналогичной конфигурацией ProFTPD на ноуте и... РАБОТАЕТ!

20й порт фильтруется у них чтоль?

Контора платит бешеное бабло за интернет канал, а он с такими косяками?

Как грамотно вынести мозг провайдеру?

greenplastic
(22.05.16 18:36:52 MSK) автор топика

Ссылка

Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.

←	Бесплатный мониторинг

General

Arch Linux, systemd, отображать лог загрузки

→

Похожие темы