ProFTP refused

[interbilk]

Hallo,
ich habe die Opensense auf einem Proxmox laufen. Die anderen VMS werden hier nach der OPNSense geschaltet mit internen IPS. Das heisst alles muss durch die OPNSense, bevor es auf die VM geht.
Jetzt kann ich den einen Server nciht mehr erreichen per PROFtp
Vor der OPNSense ging noch alles.
Der Log sagt folgendes:
Refused PORT 192,168,1,24,194,126 (address mismatch)

[Monviech (Cedrik)]

FTP hinter NAT ist immer etwas schwierig. Hier steht vieles erklärt:

http://www.proftpd.org/docs/howto/NAT.html

[interbilk]

Hi, habe die Anleitung mal angefangen.. Aber da kommt schon das erste Problem

insmod ip_masq_autofw $ ipmasqadm autofw -A -r tcp 20 21 -h 192.168.1.2


Hier sagt er :  insmod: invalid option -- 'r'

[Patrick M. Hausen]

Du kannst die Linux-Befehle nicht verbatim verwenden. OPNsense ist kein Linux.
Der Artikel sollte erst mal als Grundlage für dein Verständnis dienen.

Damit FTP über NAT funktioniert, brauchst du je nach Position des NAT-Gerätes den Active oder den Passive Mode.

Ist der Client hinter NAT - Passive Mode. Ist der Server hinter NAT - Active Mode.

Sind beide hinter NAT - tough shit.

In dem Fall gibt es in der OPNsense ein FTP-Proxy-Plugin (os-ftp-proxy) Damit sollte es dann wieder funktionieren.

[interbilk]

Ja, es sind beide hinter NAT
Habe folgende Struktur:

Proxmox Server bei Hetzner (bridged Modus): ---> OPNSense. ---> Guest System with Proftp

Habe nach FTP-Proxy-Plugin (os-ftp-proxy) gegoogled. Doch wo finde ich das Plugin denn zum Download ?
Ich stehe echt auf dem Schlauch .. Sorry  >:(

Viele Grüße
Thorsten

[interbilk]

Wer kann mir das gegen einen kleinen Obolus einrichten?
Würde mich über ein Angebot freuen.
Gerne dann per Teams, TeamViewer...


Viele Grüße
Thorsten

[interbilk]

Was mich nur wundert.
Ich habe auch einen Gast hinter OPNSense --> PLESK Wenn ich da ein FTP einrichte, dann geht das

[Monviech (Cedrik)]

Ja, bei Plesk funktioniert es weil es den ProFTP Server im Passive Mode und mit MasqueradeAddress konfiguriert. Schau dir dort einfach die proftp.conf konfigurationsdatei an.

[interbilk]

Habe jetzt mal FileZilla auf meinem Rechner installiert
explizit TLS ausgewählt und passiv....
Es ist dann auch verbunden...
Aber bleibt dann hängen:
*********
Status:         Verbindung hergestellt, warte auf Willkommensnachricht...
Status:         Initialisiere TLS...
Status:         TLS-Verbindung hergestellt.
Status:         Angemeldet
Status:         Empfange Verzeichnisinhalt...
***********

Auf dem Server log sieht das so aus

**********************
added 1 certs from '/etc/ssl//ssl_intermediate.pem' to certificate chain
TLS/TLS-C requested, starting TLS handshake
TLSv1.3 renegotiation accepted, using cipher TLS_AES_256_GCM_SHA384 (256 bits)
TLSv1.3 renegotiation accepted, using cipher TLS_AES_256_GCM_SHA384 (256 bits)
TLSv1.3 connection accepted, using cipher TLS_AES_256_GCM_SHA384 (256 bits)
Protection set to Private
**********************

In der proftpd.conf habe ich bei  MasqueradeAddress die Domain eingegeben über die ich den Client öffentlich erreiche.
Also die ftp Adresse

[interbilk]

PassivePorts                  49152 65535
MasqueradeAddress.      ftpDomain

[Patrick M. Hausen]

Habe nach FTP-Proxy-Plugin (os-ftp-proxy) gegoogled. Doch wo finde ich das Plugin denn zum Download ?
Ich stehe echt auf dem Schlauch .. Sorry  >:(

System > Firmware > Plugins

[lewald]

Nun,

am besten den FTP Server im Passive Mode betreiben. Beim FileZilla Server kann man die passiv Ports festlegen und beschränken. Das ist insofern wichtig weil diese Passive Ports müssen von der OPNSense neben dem FTP Port auch forwarded werden. 

[Monviech (Cedrik)]

Am besten IPv6 benutzen.  8)

[interbilk]

Da war ich ja schon.
aber das muss ich ja sicher erstmal installieren.. und besonders... irgendwoher downloaden

[Patrick M. Hausen]

Ganz rechts ist ein kleines "+". Das tut, was man erwartet  ;)