Keine Datenverbindung mit dem YajHFC Fax-Client zum Server -> FTP-Freigabe

[Käpsele]

Hallo Zusammen,

mein Fax-Client kann sich zwar mit dem Fax-Server auf dem freigegebenen Port 4559 verbinden, aber keine Faxe versenden, weil hierzu weitere Freigaben notwendig sind.

Die Lösung ist in diesem Artikel beschrieben: https://www.yajhfc.de/documentation/knowledge-base/138-logging-in-works-but-then-a-connection-timeout-occurs

Der wohl entscheidende Satz lautet:
The best solution to this problem (if possible) usually is to activate the firewall's FTP support and to tell the firewall that you are using FTP over port 4559

Und jetzt komme ich nicht weiter, weil ich nicht weiß, wie ich das umsetzen soll?
Das "os-ftp-proxy"-Plugin habe ich schon mal installiert, sofern das überhaupt notwendig ist, aber was muss ich nun einstellen, um das gewünschte Ergebnis zu erreichen?

Ich habe auch schon mal angefangen eine Nat-Weiterleitung einrichten zu wollen, aber das FTP-Protokoll steht mir hier gar nicht zur Auswahl...

Vielleicht ist ja jemand so nett und kann mir aufs Pferd helfen?

Danke!

Grüßle
Käpsele

[JeGr]

Hi,

du schreibst leider nicht mal WO der Faxserver steht geschweige denn wer sich worüber wohin mit wem verbinden soll.
Das macht eine Antwort unnötig schwer, daher wird hellsehen leider schwierig Könntest du da Infos bitte nachreichen?

Cheers

[Käpsele]

Danke für die Rüge, ich habs wohl verdient :-)

Der Server steht in der Cloud und die Fax-Clients auf den Client-PCs im lokalen Netz.

Hoffe, das war die fehlende Info?

[JeGr]

Naa noch nicht ganz

Aber ich finde in deinem Dokument auch das hier:

"In YajHFC you can configure if active mode (data connection is opened in direction server→client) or passive mode (data connection opened client→server) should be used. The port ranges used cannot be configured on a per application basis, however (it is possible to configure the "temporary"/ephemereal port ranges globally, but changing this may have other side effects)."

Also scheint das Ding ja auch was ähnliches wie passive FTP zu können - also einfach Zugriff nur in eine Richtung -> Client zum Server. Damit wäre doch dann die Firewall komplett raus? Hast du das mal versucht? Denn wenn du intern keine Regel hast, die die ausgehenden Ports beschränkt, dann müsste dein Fax Client via passive einfach funktionieren

Ansonsten wird es etwas "meh" denn aktives FTP wird hinter NAT ohne Helper Proxy nicht einfach funktionieren und ob man den FTP Helper einfach so auch für andere Ports nutzen kann und dieses "extended FTP" verstanden wird, da bin ich leider überfragt.

Cheers

[Käpsele]

Den passiven Modus nutze ich aktuell.
Wie geschrieben ist die Test-Verbindung zum Server möglich, nur das Versenden der Faxe geht nicht, ohne dass ich weitere bzw. alle Ports öffne, weil ich nicht weiß, welchen Port der Faxclient für die Übertragung nutzt.

[JeGr]

Das passt als Aussage aber nicht ganz zusammen?
Passiv nutzt die Verbindung nur ausgehend, also Verbindung wird aufgebaut, Ports werden ausgetauscht und dann wird über die anderen Ports gesprochen. Ein passiver Portrange wie bei FTP heißt nur, dass der Server dem Client (dir) das mitteilt und dann einer der Highports aus der Range genutzt wird. Das ist aber alles ausgehender Traffic von dir aus dem LAN ins Internet.

Daher die Frage ob du vom LAN kommend Ports ins Internet blockierst - das hast du leider nicht geschrieben Wenn ja stelle einfach mal für deine Client IP eine allow any Regel rein, die zu der IP des Druckservers alle Ports erlaubt und teste dann nochmal. Wenn es dann TROTZ Passivem Modus immer noch nicht funktioniert, ist die Firewall nicht schuld daran. Passive Mode FTP geht vom Client aus immer wenn alle Ports offen sind, geht es nicht hat zu 99% der Server/Anbieter Murks gemacht. Da das Protokoll nur FTP ähnlich ist, kann ich da aber sonst wenig sagen.

Ansonsten könnte man sich lediglich den Traffic ansehen, der rausgeht in welchen Ports der sich abspielt. Meist ist es ja eine recht große Portrange für PASV FTP sowas wie 49152-65535 aber ggf. hat die der Anbieter ja kleiner / sinnvoller konfiguriert. Dann müsste man ausgehend für diese IP nicht alle Ports aufmachen. Aber das wäre für eine Service IP jetzt auch nicht dramatisch, die vollständig zu öffnen für diesen Zweck.

Cheers

[Käpsele]

Grundsätzlich sind ja erst einmal alle Ports blockiert :-)
Wenn ich nur den Port 4559 freigebe, ist die Verbindung zum Fax-Server möglich, aber es können keine Faxe versendet werden. Erst wenn ich alle Ports öffne, funktioniert es.
Habe nun halt alle Ports geöffnet...

Dankeschön für deine Hilfe!

[JeGr]

> Grundsätzlich sind ja erst einmal alle Ports blockiert :-)

Intern? Nein, auf dem LAN ist default ja alles erlaubt. Erst wenn du die allow any Regel wegwirfst ist es das nicht mehr
Darum frage ich ja.

> Erst wenn ich alle Ports öffne, funktioniert es.
Das ist genau der Punkt den ich oben erwähnt hatte. Passive FTP funktioniert mit einem Portbereich, den der Server dem Client (dir) bei der Verbindung mitteilt. Der ist normalerweise fix, kann aber recht groß sein (wie beschrieben) und wenn der Hersteller nichts dazu sagt, musst du den entweder selbst austüfteln oder für die Ziel IP eben alles aufmachen. Anders kommt da nichts zustande

Cheers und Gerne!