Hallo,
ich habe die Opensense auf einem Proxmox laufen. Die anderen VMS werden hier nach der OPNSense geschaltet mit internen IPS. Das heisst alles muss durch die OPNSense, bevor es auf die VM geht.
Jetzt kann ich den einen Server nciht mehr erreichen per PROFtp
Vor der OPNSense ging noch alles.
Der Log sagt folgendes:
Refused PORT 192,168,1,24,194,126 (address mismatch)
FTP hinter NAT ist immer etwas schwierig. Hier steht vieles erklärt:
http://www.proftpd.org/docs/howto/NAT.html
Hi, habe die Anleitung mal angefangen.. Aber da kommt schon das erste Problem
insmod ip_masq_autofw $ ipmasqadm autofw -A -r tcp 20 21 -h 192.168.1.2
Hier sagt er : insmod: invalid option -- 'r'
Du kannst die Linux-Befehle nicht verbatim verwenden. OPNsense ist kein Linux.
Der Artikel sollte erst mal als Grundlage für dein Verständnis dienen.
Damit FTP über NAT funktioniert, brauchst du je nach Position des NAT-Gerätes den Active oder den Passive Mode.
Ist der Client hinter NAT - Passive Mode. Ist der Server hinter NAT - Active Mode.
Sind beide hinter NAT - tough shit.
In dem Fall gibt es in der OPNsense ein FTP-Proxy-Plugin (os-ftp-proxy) Damit sollte es dann wieder funktionieren.
Ja, es sind beide hinter NAT
Habe folgende Struktur:
Proxmox Server bei Hetzner (bridged Modus): ---> OPNSense. ---> Guest System with Proftp
Habe nach FTP-Proxy-Plugin (os-ftp-proxy) gegoogled. Doch wo finde ich das Plugin denn zum Download ?
Ich stehe echt auf dem Schlauch .. Sorry >:(
Viele Grüße
Thorsten
Wer kann mir das gegen einen kleinen Obolus einrichten?
Würde mich über ein Angebot freuen.
Gerne dann per Teams, TeamViewer...
Viele Grüße
Thorsten
Was mich nur wundert.
Ich habe auch einen Gast hinter OPNSense --> PLESK Wenn ich da ein FTP einrichte, dann geht das
Ja, bei Plesk funktioniert es weil es den ProFTP Server im Passive Mode und mit MasqueradeAddress konfiguriert. Schau dir dort einfach die proftp.conf konfigurationsdatei an.
Habe jetzt mal FileZilla auf meinem Rechner installiert
explizit TLS ausgewählt und passiv....
Es ist dann auch verbunden...
Aber bleibt dann hängen:
*********
Status: Verbindung hergestellt, warte auf Willkommensnachricht...
Status: Initialisiere TLS...
Status: TLS-Verbindung hergestellt.
Status: Angemeldet
Status: Empfange Verzeichnisinhalt...
***********
Auf dem Server log sieht das so aus
**********************
added 1 certs from '/etc/ssl//ssl_intermediate.pem' to certificate chain
TLS/TLS-C requested, starting TLS handshake
TLSv1.3 renegotiation accepted, using cipher TLS_AES_256_GCM_SHA384 (256 bits)
TLSv1.3 renegotiation accepted, using cipher TLS_AES_256_GCM_SHA384 (256 bits)
TLSv1.3 connection accepted, using cipher TLS_AES_256_GCM_SHA384 (256 bits)
Protection set to Private
**********************
In der proftpd.conf habe ich bei MasqueradeAddress die Domain eingegeben über die ich den Client öffentlich erreiche.
Also die ftp Adresse
PassivePorts 49152 65535
MasqueradeAddress. ftpDomain
Quote from: interbilk on May 18, 2024, 07:50:51 AM
Habe nach FTP-Proxy-Plugin (os-ftp-proxy) gegoogled. Doch wo finde ich das Plugin denn zum Download ?
Ich stehe echt auf dem Schlauch .. Sorry >:(
System > Firmware > Plugins
Nun,
am besten den FTP Server im Passive Mode betreiben. Beim FileZilla Server kann man die passiv Ports festlegen und beschränken. Das ist insofern wichtig weil diese Passive Ports müssen von der OPNSense neben dem FTP Port auch forwarded werden.
(http://ftp%20port.png)
Am besten IPv6 benutzen. 8)
Da war ich ja schon.
aber das muss ich ja sicher erstmal installieren.. und besonders... irgendwoher downloaden
Ganz rechts ist ein kleines "+". Das tut, was man erwartet ;)
(https://forum.opnsense.org/index.php?action=dlattach;topic=40507.0;attach=34970;image)
(https://forum.opnsense.org/index.php?action=dlattach;topic=40507.0;attach=34972;image)
Aber @lewald hat eigentlich die einfachste Lösung vorgeschlagen. Alles auf Passive Mode und den Server so konfigurieren, dass er nur eine kleine definierte Port Range benutzt. (2 Ports wäre mir jetzt ein wenig knapp, aber gut - ich würde 100 nehmen. Hängt von der Anzahl gleichzeitiger Nutzer ab.)
Diese Ports dann per NAT Port Forwarding eingehend auf den Server weiterleiten und erlauben.
Wenn ich das hätte...
Bei Erweiterungen ist bei mir alles leer..
So braun bin ich jetzt ja doch hoffentlich auch nicht :-)
Hammer..
OPNSense auf Englisch umstellen.
Dann ist alles da