Server FTP - Alice ADSL Business

[senpaihoby]

Salve a tutti, sono giorni che tento di cercare di risolvere questo problema. Ho messo su un server FTP che ascolta sulla porta 21 e che in locale funziona benissimo. Il problema è quando provo ad accedervi dall'esterno. Se inserisco l'IP pubblico della mia linea alla porta 21, non parte niente. Preciso che ho fatto il virtual server nel router che mi reindirizza giusto. Infatti nel server FTP vedo che un utente esterno si connette, ma poi non riesce dando errore al comando LIST. L'errore riportato è: "Unable to accept passive connection" "425 Unable to open the data connection".
La telecom mi dice che il loro router è a posto e che non dipende da loro. Mi hanno solo suggerito di cambiare tramite registro di windows il valore MTU a 1492. Ho fatto anche questo, ma niente..
qualcuno riesce ad aiutarmi?
grazie mille

[Ilpastore]

Salve a tutti, sono giorni che tento di cercare di risolvere questo problema. Ho messo su un server FTP che ascolta sulla porta 21 e che in locale funziona benissimo. Il problema è quando provo ad accedervi dall'esterno. Se inserisco l'IP pubblico della mia linea alla porta 21, non parte niente. Preciso che ho fatto il virtual server nel router che mi reindirizza giusto. Infatti nel server FTP vedo che un utente esterno si connette, ma poi non riesce dando errore al comando LIST. L'errore riportato è: "Unable to accept passive connection" "425 Unable to open the data connection".
La telecom mi dice che il loro router è a posto e che non dipende da loro. Mi hanno solo suggerito di cambiare tramite registro di windows il valore MTU a 1492. Ho fatto anche questo, ma niente..
qualcuno riesce ad aiutarmi?
grazie mille

che server ftp è? che OS?

[senpaihoby]

SO : Windows XP Pro
Server FTP: ho provato FileZilla

[Ilpastore]

firewall? (sia su SO, sia su Router)

[OUTATIME]

C'è da abilitare una impostazione in Filezilla.... appena riesco ad avviarlo ti dico quale... ;)

[OUTATIME]

Ecco... nelle opzioni di filezilla il vai in "passive mode", il pallino deve essere su "default"... hai per caso modificato qualcosa?

[stepvr]

Se inserisco l'IP pubblico della mia linea alla porta 21, non parte niente. Preciso che ho fatto il virtual server nel router che mi reindirizza giusto. Infatti nel server FTP vedo che un utente esterno si connette, ma poi non riesce dando errore al comando LIST. L'errore riportato è: "Unable to accept passive connection" "425 Unable to open the data connection".


Oltre a seguire i consigli di Outatime, secondo me dovesti aprire sul router anche la porta 20 (ftp-data) oltre alla 21 che hai gia' configurato.

[OUTATIME]

Oltre a seguire i consigli di Outatime, secondo me dovesti aprire sul router anche la porta 20 (ftp-data) oltre alla 21 che hai gia' configurato.
Mah... guarda... io utilizzo interamente Filezilla (server e client), da me funziona aprendo solo la 21....

[senpaihoby]

grazie,ho appena controllato tutto. La porta aperta è la 21..ora ho provato ad aprire anche la 20, ma per provare se va devo aspettare stasera..
Inoltre sulla modalità passiva non ho cambiato niente:
c'è abilitato:
"don't use external IP for local connections"
e
"Use the following IP" (il mio IP pubblico)

grazie ancora, domani vi faccio sapere..
(cmq non ho firewall ne sul router ne sul pc)

[senpaihoby]

no niente... non va ancora... ho aperto la porta 21, ho aperto anche la 20. Ma niente...
Qualcuno sa se esiste uno strumento di diagnostica per capire dove sta il problema?

heeeeeelp please......

grazie a tutti
ciao

[OUTATIME]

grazie,ho appena controllato tutto. La porta aperta è la 21..ora ho provato ad aprire anche la 20, ma per provare se va devo aspettare stasera..
Inoltre sulla modalità passiva non ho cambiato niente:
c'è abilitato:
"don't use external IP for local connections"
e
"Use the following IP" (il mio IP pubblico)

grazie ancora, domani vi faccio sapere..
(cmq non ho firewall ne sul router ne sul pc)
No... deve essere su default

http://img410.imageshack.us/img410/9281/defaultoo9.th.png (http://img410.imageshack.us/my.php?image=defaultoo9.png)

[OUTATIME]

Ah... un consiglio.... abilita l'autoban.... da me c'è un turco che è da stamattina che sta provando ad entrare come administrator..... mi ha fatto 400 KB di log.....

[senpaihoby]

è successa una cosa curiosa..praticamente il server filezilla miracolasamente non va più sulla porta 21 perchè dice essere già occupata (se provo a ascoltarla con HyperTerminal effettivamente si connette a qualcosa...) Ho provato a riavviare e tutto...ma niente.. :(

[OUTATIME]

è successa una cosa curiosa..praticamente il server filezilla miracolasamente non va più sulla porta 21 perchè dice essere già occupata (se provo a ascoltarla con HyperTerminal effettivamente si connette a qualcosa...) Ho provato a riavviare e tutto...ma niente.. :(
Non è che hai installato qualche altro server ftp?

[senpaihoby]

è successa una cosa curiosa..praticamente il server filezilla miracolasamente non va più sulla porta 21 perchè dice essere già occupata (se provo a ascoltarla con HyperTerminal effettivamente si connette a qualcosa...) Ho provato a riavviare e tutto...ma niente.. :(

Come non detto...praticamente ho forzato un Custom Port Range che ho poi dovuto aprire sul router.

[OUTATIME]

Come non detto...praticamente ho forzato un Custom Port Range che ho poi dovuto aprire sul router.

Lascia perdere e settalo come dico io....

[senpaihoby]

Lascia perdere e settalo come dico io....

settato come indichi tu non funziona perchè quando tenta di entrare in modalità passiva lui sceglie una porta (a caso?) con cui stabilire questa connessione. Ho settato la modalità passiva in default come indichi tu, ma inoltre bisogna indicargli una preferenza di porte da usare per la modalità passiva da sbloccare poi nel router della telecom..

(non so se ho detto qualche fesseria tecnica, ma ciò è quello che mi pare di aver capito)

grazie dell'aiuto outatime.

PS: (cmq non andava la porta 21 perchè miracolosamente si era attivato il server FTP della microsoft: non sapevo neanche che ce n'era uno ....:D )

[OUTATIME]

(non so se ho detto qualche fesseria tecnica, ma ciò è quello che mi pare di aver capito)
Purtroppo si.....


ma inoltre bisogna indicargli una preferenza di porte da usare per la modalità passiva da sbloccare poi nel router della telecom..
Scusa... chi lo ha detto....? Come vedi da me è settato così.... (hai guardato la mia immagine?)


PS: (cmq non andava la porta 21 perchè miracolosamente si era attivato il server FTP della microsoft: non sapevo neanche che ce n'era uno ....:D )
Ecco... hai risolto questi problemi?
Ma soprattutto.... DA DOVE stai provando a collegarti?

[samuele1234]

Io ti consiglio zFtp server.
E' gratuito leggero, facile da configurare ma nonostante questo completo.
Comunque se proprio vuoi usare altri ftp server devi configurarli in modo similare.

Per configurare correttamente un ftp in modo tale che sia accessibile all'esterno della tua rete devi aprire nel firewall del server e in quello del router la porta 21 poi per la modalità passiva un range di porte (che dovrai configurare anche sull'ftp server) ad esempio da 10000 a 10050.
Naturalmente il range di porte che apri per la modalità passiva deve essere lo stesso impostato sul server ftp (es zFtp server) e sul router.
Poi per accedere all'ftp dall'esterno prova a usare filezilla impostando l'accesso in modalità passiva.
Per accedere dall'interno della tua lan usa invece la modalità attiva.

[OUTATIME]

Io ti consiglio zFtp server.
E' gratuito leggero, facile da configurare ma nonostante questo completo.
Comunque se proprio vuoi usare altri ftp server devi configurarli in modo similare.

Per configurare correttamente un ftp in modo tale che sia accessibile all'esterno della tua rete devi aprire nel firewall del server e in quello del router la porta 21 poi per la modalità passiva un range di porte (che dovrai configurare anche sull'ftp server) ad esempio da 10000 a 10050.
Il range di porte non serve....

[samuele1234]

Non serve se ci si collega in modalità attiva.

Se ci si collega in modalità passiva e non apri le porte è sicuro che non ti colleghi, infatti a senpaihoby è venuto fuori l'errore "Unable to accept passive connection" "425 Unable to open the data connection".
Conta che se accedi ad un ftp da una lan (dunque passi attraverso un router che praticamente sempre non ha le porte forwardate verso il tuo ip) uscirai dalla tua lan in modalità passiva.

Comunque con la mia configurazione server/router attuale il client che si collega (ad esempio filezilla) non deve impostare nessuna porta, basta lasciare tutto impostato in automatico e mettere solo nome utente e pass e ci pensa lui a stabilire una connessione in passivo ed utilizzare le porte necessarie.

[OUTATIME]

Non serve se ci si collega in modalità attiva.

Se ci si collega in modalità passiva e non apri le porte è sicuro che non ti colleghi, infatti a senpaihoby è venuto fuori l'errore "Unable to accept passive connection" "425 Unable to open the data connection".
Conta che se accedi ad un ftp da una lan (dunque passi attraverso un router che praticamente sempre non ha le porte forwardate verso il tuo ip) uscirai dalla tua lan in modalità passiva.

Comunque con la mia configurazione server/router attuale il client che si collega (ad esempio filezilla) non deve impostare nessuna porta, basta lasciare tutto impostato in automatico e mettere solo nome utente e pass e ci pensa lui a stabilire una connessione in passivo ed utilizzare le porte necessarie.
Questi sono i miei log con filezilla:
(000323) 05/06/2008 16.25.17 - (not logged in) (***********)> Connected, sending welcome message...
(000323) 05/06/2008 16.25.17 - (not logged in) (***********)> 220-FileZilla Server version 0.9.24 beta
(000323) 05/06/2008 16.25.17 - (not logged in) (***********)> 220 Welcome to ****** FTP server
(000323) 05/06/2008 16.25.17 - (not logged in) (***********)> USER ******
(000323) 05/06/2008 16.25.17 - (not logged in) (***********)> 331 Password required for ******
(000323) 05/06/2008 16.25.17 - (not logged in) (***********)> PASS **********
(000323) 05/06/2008 16.25.17 - ****** (***********)> 230 Logged on
(000323) 05/06/2008 16.25.17 - ****** (***********)> CWD /FTP/Nuova cartella/
(000323) 05/06/2008 16.25.17 - ****** (***********)> 250 CWD successful. "/FTP/Nuova cartella" is current directory.
(000323) 05/06/2008 16.25.17 - ****** (***********)> PWD
(000323) 05/06/2008 16.25.17 - ****** (***********)> 257 "/FTP/Nuova cartella" is current directory.
(000323) 05/06/2008 16.25.17 - ****** (***********)> TYPE A
(000323) 05/06/2008 16.25.17 - ****** (***********)> 200 Type set to A
(000323) 05/06/2008 16.25.17 - ****** (***********)> PASV
(000323) 05/06/2008 16.25.17 - ****** (***********)> 227 Entering Passive Mode (192,168,1,26,6,252)

Ma forse io sono privilegiato dal protocollo FTP....

[OUTATIME]

Comunque aspettiamo che il nostro amico risponda a questa domanda:
Ma soprattutto.... DA DOVE stai provando a collegarti?
Inizio ad avere un sospetto....

[OUTATIME]

Lettura istruttiva sul Passive mode:
http://www.programmazione.it/index.php?entity=eitem&idItem=35171
Come si può leggere i problemi relativi all'active mode, sono sul client....
Il client FTP in passive mode inizia entrambe le connessioni con il server, risolvendo il problema dei firewall con il filtraggio della connessione sulla porta dati in ingresso dal server al client. Quando si apre una connessione FTP, il client apre localmente due porte casuali senza privilegi (N > 1023 e N+1). La prima porta contatta il server sulla porta 21, ma invece di emettere il comando PORT e permettere che il server si connetta alla sua porta dati, il client emette il comando PASV. Questo permette al server di aprire una porta casuale senza privilegi (P > 1023) e invia il comando PORT P al client

[samuele1234]

Questi sono i miei log con filezilla:
(000323) 05/06/2008 16.25.17 - (not logged in) (***********)> Connected, sending welcome message...
(000323) 05/06/2008 16.25.17 - (not logged in) (***********)> 220-FileZilla Server version 0.9.24 beta
(000323) 05/06/2008 16.25.17 - (not logged in) (***********)> 220 Welcome to ****** FTP server
(000323) 05/06/2008 16.25.17 - (not logged in) (***********)> USER ******
(000323) 05/06/2008 16.25.17 - (not logged in) (***********)> 331 Password required for ******
(000323) 05/06/2008 16.25.17 - (not logged in) (***********)> PASS **********
(000323) 05/06/2008 16.25.17 - ****** (***********)> 230 Logged on
(000323) 05/06/2008 16.25.17 - ****** (***********)> CWD /FTP/Nuova cartella/
(000323) 05/06/2008 16.25.17 - ****** (***********)> 250 CWD successful. "/FTP/Nuova cartella" is current directory.
(000323) 05/06/2008 16.25.17 - ****** (***********)> PWD
(000323) 05/06/2008 16.25.17 - ****** (***********)> 257 "/FTP/Nuova cartella" is current directory.
(000323) 05/06/2008 16.25.17 - ****** (***********)> TYPE A
(000323) 05/06/2008 16.25.17 - ****** (***********)> 200 Type set to A
(000323) 05/06/2008 16.25.17 - ****** (***********)> PASV
(000323) 05/06/2008 16.25.17 - ****** (***********)> 227 Entering Passive Mode (192,168,1,26,6,252)

Ma forse io sono privilegiato dal protocollo FTP....

Tu stai usando sul server un modem o un router con firewall?
Perchè in caso di modem tutte le porte sono già aperte, se hai un router con un firewall decente bloccherà le porte e non permetterà di instaurare un collegamento in modalità passiva.

Se hai l'upnp attivato e il server ftp lo supporta o qualche sistema di port triggering probabilmente il router apre le porte quando necessario verso l'ip necessario (cioè quello del server).

Comunque sui router telecom se non apri le porte non c'è modo di fare andare l'ftp in passivo (o almeno a me non funzionava con più programmi che ho provato), e coi router telecom che ho provato io oltretutto non puoi aprire range di porte, ma ti tocca aprire le porte una a una.

[samuele1234]

Lettura istruttiva sul Passive mode:
http://www.programmazione.it/index.php?entity=eitem&idItem=35171
Come si può leggere i problemi relativi all'active mode, sono sul client....

Infatti il passive mode serve per far collegare client dietro firewall.
Per una maggiore sicurezza infatti è meglio aprire solo un range di porte e non lasciare tutte le porte aperte, infatti i router con firewall di solito non hanno le porte aperte per la modalità passiva.

Per curiosità che router stai usando?

[OUTATIME]

Infatti il passive mode serve per far collegare client dietro firewall.
Per una maggiore sicurezza infatti è meglio aprire solo un range di porte e non lasciare tutte le porte aperte, infatti i router con firewall di solito non hanno le porte aperte per la modalità passiva.

Per curiosità che router stai usando?

Linksys AG241

[OUTATIME]

Tu stai usando sul server un modem o un router con firewall?
Perchè in caso di modem tutte le porte sono già aperte, se hai un router con un firewall decente bloccherà le porte e non permetterà di instaurare un collegamento in modalità passiva.
Come ti ho detto, appunto ho un router....
Il firewall non c'entra niente, perchè come è scritto nel link che ho inserito
La prima porta contatta il server sulla porta 21 che è ovviamente aperta verso l'IP del server, il server aprirà una porta perchè il client emette il comando PASV
che permette al server di aprire una porta casuale senza privilegi.

Ribadisco... sul router lato server è necessaria solo la 21 aperta.

[samuele1234]

Come ti ho detto, appunto ho un router....
Il firewall non c'entra niente, perchè come è scritto nel link che ho inserito
che è ovviamente aperta verso l'IP del server, il server aprirà una porta perchè il
che permette al server di aprire una porta casuale senza privilegi.

Ribadisco... sul router lato server è necessaria solo la 21 aperta.

Ecco spiegato l'arcano leggi questo Wiki più istruttivo della tua guida istruttiva: :read:
http://wiki.filezilla-project.org/Network_Configuration#Malicious_routers.2C_firewalls_and_data_sabotage
E' il tuo router che apre le porte e non è una buona cosa (mi aspettavo che linksys non facesse queste caz*ate)
Infatti un software (a meno che utilizzi l'upnp e il router anche) non è assolutamente in grado di aprire porte lato hardware (cioè del router).

Comunque Filezilla server non supporta l'upnp, quindi con i router normali (e aggiungo sicuri) per far funzionare l'ftp in passivo è necessario aprire un range di porte adeguato.

[samuele1234]

Comunque senpaihoby per tornare al tuo problema, io ho aiutato un'amico a configurare un router telecom con smart card(versione home ma non dovrebbe cambiare) e alla fine è riuscito a far funzionare il tutto in questo modo:

- zFtp server (con filezilla avevo avuto problemi proprio riguardo a questo)
- apri sul router le porte 21, poi da 10000 a 10010 e per sicurezza come consigliato da stepvr anche la 20.
Se ben ricordo sul router telecom dovrai aprire le porte dalla 10000 alla 10010 una per una, perchè non è possibile aprire range di porte (forse sul tuo modello però si può fare controlla).
- su zFtp server metti come range le porte da 10000 a 10010
- su zFtp nella casella sopra al range delle porte (address for passive mode) metti il tuo indirizzo ip (quello con cui si collegano da fuori) oppure un indirizzo dinamico (ad esempio usando servizi come dyndns o no-ip)

Se poi ti serviranno più porte per il passivo aprine ancora, ma non esagerare perchè i router telezoz a volte se apri troppe porte danno di matto e si inchiodano o rallentano.

[OUTATIME]

Ma l'hai letta la guida?
To illustrate with an example, assume there is a client behind a NAT router trying to connect to the server. Let's further assume that this client does not know it is behind a NAT and wants to use active mode. So it sends the PORT command with his local, unroutable IP address to the server:
Stiamo parlando del comando passive: PASV e io a casa mia ho la parte SERVER....

[samuele1234]

Si ho capito che tu hai un router e su quella rete hai un server ftp, alla quale si collegano degli altri pc esterni alla tua rete tramite client ftp.
Sei tu che non hai letto bene, leggi poco più sotto:

...
While this section only discussed the combination of a NAT router on the client side with active mode, the same applies to a server behind a NAT router and the reply to the PASV command.
...

Boh vedi tu, un router non si può immaginare da solo quale porta forwardare e a chi, a meno che non glielo dica qualcuno e questo qualcuno può essere:
- uPnp
- regola di forwarding

Se il forwarding è eseguito dal router in maniera similare a quello eseguito nel link che ho postato ciò non è sicuro. Non tutti i router fortunatamente (fortunatamente secondo me e gli sviluppatori di filezilla) si comportano in tal modo dunque non ti intestardire sul fatto che non serva aprire su tutti i router un range di porte per il poter usare una connessione passiva tra client ftp fuori dalla propria lan e server ftp all'interno della lan.

Sul mio router (e tutti quelli che ho configurato, tra cui un alicegate plus wifi 2+ o come si chiama) se tolgo il range di porte ti assicuro che non c'è modo che un server ftp sia raggiungibile dall'esterno della lan a meno che il client non si colleghi in attivo. Se non ci credi ti do l'indirizzo del mio ftp, un nome utente/password e ti faccio accedere adesso e dopo che ho rimosso il port forwarding delle porte 10000-100XX dal router)

[OUTATIME]

Sicuro si parli di porte e non di connessioni?

[OUTATIME]

Aggiornamento:

Sul manuale del mio router ho letto la seguente frase:
The Gateway inspects Internet port services like the web server, ftp server, or other Internet applications, and, if allowed, it will forward the packet to the appropriate computer on the LAN side.

A questo punto mi si è acceso il pallino e ho fatto una prova: ho cambiato la porta del server FTP da 21 a 21021... risultato? Filezilla ha smesso di funzionare :eek: e ha ripreso solo dopo aver aperto un range di porte come suggerito.

Ringrazio quindi samuele1234 che mi ha fatto conoscere caratterisriche nascoste del mio router che prima non conoscevo..... :mano:

[samuele1234]

Figurati non servono ringraziamenti, però la prossima volta cerca di essere un po' più aperto alla discussione e ad ascoltare l'opinione degli altri, i forum si basano su queste cose e permettono di apprendere sempre qualcosa di nuovo, soprattutto cose non documentate o scritte da qualche parte.

Invece senpaihoby tu hai risolto?

[senpaihoby]

Ops, mi scuso per l'assenza lunga dal topic. Io avevo già risolto, e si capiva dal mio ultimo post.. :-) Appunto mettendo il range di porte da aprire sul router. :-)