Brak listowania katalogow Pure-FTPD FreeBSD 10.

[bryn1u 17]

Witam,

 

Mam jakis dziwny problem z laczeniem sie i nastepnie wyswietlaniem zawartosci katalogu. Po instalacj Pure-FTPD dzialalo wszystko dobrze, ale po chwili mi sie "zawiesza" a mianowicie dochodzi do momentu:

 

 

Odpowiedź 220---------- Welcome to Pure-FTPd [privsep] [TLS] ----------

Odpowiedź 220-You are user number 1 of 50 allowed.

Odpowiedź 220-Local time is now 14:31. Server port: 21.

Odpowiedź 220 You will be disconnected after 15 minutes of inactivity.

Polecenie: USER test

Odpowiedź 331 User test OK. Password required

Polecenie: PASS ****

Odpowiedź 230 OK. Current directory is /

Polecenie: OPTS UTF8 ON

Odpowiedź 200 OK, UTF-8 enabled

Status: Połączono

Status: Uzyskiwanie listy katalogów...

Polecenie: PWD

Odpowiedź 257 "/" is your current location

Polecenie: TYPE I

Odpowiedź 200 TYPE is now 8-bit binary

Polecenie: PASV

Błąd: Odłączono od serwera: 10053

Błąd: Nie udało się otrzymać listy katalogów

 

Userowie/pass sa tacy jak w /etc/passwd

pure-pwconvert >> /usr/local/etc/pureftpd.passwd

pure-pw mkdb

I wszystko chodzilo bez problemu. Mial ktos moze podobny problem ?

Pozdrawiam,

Edytowano Lipiec 2, 2014 przez bryn1u (zobacz historię edycji)

[Gość Kamikadze]

Sprawdź czy user ma prawa do tego folderu. Bo może być że on nie jest właścicielem.

[bryn1u 17]

Zrobilem z virtualnymi i dalej ta sama sytuacja. Brakuje mi pomyslow (

 

# pw useradd vftp -s /sbin/nologin -w no -d /usr/home/vftp -c "Virtual FTP user" -m

# pure-pw useradd user -u vftp -g vftp -d /usr/home/vftp/user
# pure-pw mkdb

Edytowano Lipiec 2, 2014 przez bryn1u (zobacz historię edycji)

[Gość Kamikadze]

A folder istnieje? Utworzył się? Zobacz jakie ma prawa.

[bryn1u 17]

Jezeli pureftpd korzysta z /etc/passwd to nie musze mu tworzyc zadnego katalogu bo katalogiem jest katolog utworzony podczas tworzenia usera czyli standardowo /usr/home/user. A jezeli ci chodzi o virtualne to tak katalog zostal utworzony co z reszta masz w poprzednim poscie w drugiej skladni

 

pure-pw useradd user -u vftp -g vftp -d /usr/home/vftp/user

 

Pozdrawiam,

[Gość Kamikadze]

a patrzyłeś logi po stronie serwera?

[niepozwole 20]

 

Witam,

 

Mam jakis dziwny problem z laczeniem sie i nastepnie wyswietlaniem zawartosci katalogu. Po instalacj Pure-FTPD dzialalo wszystko dobrze, ale po chwili mi sie "zawiesza" a mianowicie dochodzi do momentu:

 

Userowie/pass sa tacy jak w /etc/passwd

pure-pwconvert >> /usr/local/etc/pureftpd.passwd

pure-pw mkdb

I wszystko chodzilo bez problemu. Mial ktos moze podobny problem ?

Pozdrawiam,

 

Uwierzytelnianie działa, jest natomiast problem jakby z przesyłaniem już konkretnych danych. Po samej procedurze uwierzytelnienia komunikacja przestawia się na tryb pasywny i jest problem z samym przesyłaniem danych już po nawiązaniu połączenia. Jesteś pewien, że po stronie serwera lub u Ciebie nie ma żadnej zapory blokującej ruch? Wątpię abyś blokował u siebie ruch wychodzący (tryb pasywny), natomiast serwer musi mieć możliwość otwarcia dowolnego portu i komunikacji przez niego. Możesz również ustalić określony zakres portów wpisując go to pliku PassivePortRange. Więcej o trybach komunikacji FTP znajdziesz tutaj.

[likufanele 77]

Błąd: Odłączono od serwera: 10053

 

10053 to standardowy błąd Winsock: http://support.ipswitch.com/kb/WSK-19980702-EM02.htm

 

Czyli problem jest z połączeniem/komputerem/firewallem, a nie w konfiguracji. Sprawdź na innym komputerze.

Edytowano Lipiec 3, 2014 przez likufanele (zobacz historię edycji)

[bryn1u 17]

Uwierzytelnianie działa, jest natomiast problem jakby z przesyłaniem już konkretnych danych. Po samej procedurze uwierzytelnienia komunikacja przestawia się na tryb pasywny i jest problem z samym przesyłaniem danych już po nawiązaniu połączenia. Jesteś pewien, że po stronie serwera lub u Ciebie nie ma żadnej zapory blokującej ruch? Wątpię abyś blokował u siebie ruch wychodzący (tryb pasywny), natomiast serwer musi mieć możliwość otwarcia dowolnego portu i komunikacji przez niego. Możesz również ustalić określony zakres portów wpisując go to pliku PassivePortRange. Więcej o trybach komunikacji FTP znajdziesz tutaj.

 

zgadza sie, port passive range jest ustawiony od 30000 do 50000, port 21 tez jest przekierowany. Caly pf.conf wyglada tak:

 

 

FreeBSD 10 Firewall With PF made by bryn1u & m.bryn1u @ gmail.com

----------------------------------------------------------------------------------------------------### cat /etc/pf.conf ###

ip_pub="178.xxx.xxx.xxx"

ip_jail="192.168.0.1"

ip_jail2="192.168.0.2"

net_jail="192.168.0.0/24"

port_jail="{21,80,31337,6667}"

martians = "{ 127.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8, 169.254.0.0/16, 192.0.2.0/24, 0.0.0.0/8, 240.0.0.0/4 }"

# connected to internet

ext_if = "em0"

### Stateful Tracking Options (STO) ###

stossh ="(max 5, source-track rule, max-src-states 5, max-src-nodes 5, max-src-conn-rate

4/60, overload <bruteforce> flush global)"

stowww ="(max 500, source-track rule, max-src-states 50,max-src-nodes 75, max-src-conn-rate

120/100, overload <bruteforce> flush global)"

### Queues, States and Types ###

#IcmpPing ="icmp-type 8 code 0"

#SshQueue ="(ssh_bulk, ssh_login)"

#SynState ="flags S/SA synproxy state"

tcpstate ="flags S/SA modulate state"

udpstate ="keep state"

### Tables ###

#table <blockperm> counters file "/etc/blockperm"

#table <brutforce> counters persist file "/etc/bruteforce"

table <bruteforce> persist

################ Options #####################################################

### Misc Options

set skip on lo

set debug urgent

set block-policy drop

set loginterface $ext_if

set state-policy if-bound

set fingerprints "/etc/pf.os"

set ruleset-optimization none

### Timeout Options ###

set optimization normal

set timeout { tcp.closing 60, tcp.established 7200}

################ Normalization ###############################################

### set-tos 0x1c is Maximize-Reliability + Minimize-Delay + Maximize-Throughput

scrub out log on $ext_if all random-id min-ttl 15 set-tos 0x1c fragment reassemble

scrub in log on $ext_if all min-ttl 15 fragment reassemble

################ Translation #################################################

### NAT and Redirection rules are first match ###

nat on em0 from $net_jail to any -> $ip_pub

### RDR Redirection ###

###RDR for jail (Oksymoron)

rdr on em0 proto tcp from any to $ip_pub port 21 -> $ip_jail port 21

rdr on em0 proto tcp from any to $ip_pub port 80 -> $ip_jail port 80

rdr on em0 proto tcp from any to $ip_pub port 113 -> $ip_jail port 113

rdr on em0 proto tcp from any to $ip_pub port 31337 -> $ip_jail port 31337

rdr on em0 proto tcp from any to $ip_pub port 30000:50000 -> $ip_jail port 30000:50000

### RDR for jail (Mysql)

#rdr on em0 proto tcp from any to $ip_pub port 80 -> $ip_jail2 port 80

rdr on em0 proto tcp from any to $ip_pub port 3306 -> $ip_jail2 port 3306

# Ftp ( secure ftp-proxy for the internal LAN )

nat-anchor "ftp-proxy/*"

rdr-anchor "ftp-proxy/*"

#rdr pass on $IntIf proto tcp from $IntIf:network to any port 21 -> 127.0.0.1 port 8021

# DENY rouge redirection

no rdr

################ Filtering ###################################################

# Rules are best (closest) match. Notice we optimized the rules so external

# interface parsing is first followed by the internal interface.

### $ExtIf block abusive hosts in temp and perm tables

################ Filtering ###################################################

### Drop incoming everything ###

block in all

block return

### Keep stats of outgoing connections

pass out keep state

### Unlimited traffic for loopback and lan / vpn

### set skip on {lo0, lo1}

### Activate spoofing protection for all interfaces

block in quick from urpf-failed

### Antispoof is a common special case of filtering and blocking. This mechanism protects against

activity from spoofed or forged IP addresses

antispoof log for $ext_if

### Block RCF

block drop in log (all) quick on $ext_if from $martians to any

block drop out log (all) quick on $ext_if from any to $martians

### Block all ips

### pfctl -t blockedip -T show

block drop in log (all) quick on $ext_if from <bruteforce> to any

block drop out log (all) quick on $ext_if from any to <bruteforce>

### Allow incoming ssh, http, bind traffic (Host - Mother)

### pass in

pass in on $ext_if proto tcp from any to any port 22 $tcpstate $stossh

### Pass for $ip_jail ports

pass in on $ext_if proto tcp from any to $ip_jail port 21 $tcpstate $stossh

pass in on $ext_if proto tcp from any to $ip_jail port 80 $tcpstate $stowww

pass in on $ext_if proto tcp from any to $ip_jail port 113 $tcpstate $stossh

pass in on $ext_if proto tcp from any to $ip_jail port 6667 $tcpstate $stossh

pass in on $ext_if proto tcp from any to $ip_jail port 31337 $tcpstate $stossh

pass in on $ext_if proto tcp from any to $ip_jail port 30000:50000 $tcpstate $stossh

### Pass for $ip_jail2 ports

# pass in on $ext_if proto tcp from any to $ip_jail2 port 80 $tcpstate $stowww

pass in on $ext_if proto tcp from any to $ip_jail2 port 3306 $tcpstate $stowww

 

Najwazniejsze wytluscilem,

Z gory dzieki.

[niepozwole 20]

 

 

zgadza sie, port passive range jest ustawiony od 30000 do 50000, port 21 tez jest przekierowany. Caly pf.conf wyglada tak:

 

Najwazniejsze wytluscilem,

Z gory dzieki.

 

Niestety ekspertem od FreeBSD nie jestem dlatego dalej nie pomogę, natomiast przykładowo w Debianie, żeby to poprawnie działało muszą być załadowane dwa moduły:

nf_nat_ftp              1516  0
nf_conntrack_ftp        5252  1 nf_nat_ftp

Edytowano Lipiec 3, 2014 przez niepozwole (zobacz historię edycji)

[bryn1u 17]

@samu

 

Czy jest mozliwe, ze taki efekt jest poprzez zablokowanie jakiegos pliku w /etc/ za pomoca ugidfw a dokladnie type a mode n dla grupy users ? Czy nie powinno miec to wplywu ? PRzypomnialo mi sie, ze kiedys zablokowalem sobie w jailu /etc/hosts i nie moglem odpalic sesji na irca. Cofalem wszystko wstecz az znalazlem przyczyne, ze wlasnie /etc/hosts za to odpowiadal a dokladnie jego zle (zablokowane) chmody. Stad przyszlo mi na mysl czy moze byc podobnie z pure-ftp, choc z tego co wynika to sie laczy ale nie listuje.

 

Z TrustedBSD mam 4 mac'i:

 

mac_partition_load="YES"

mac_seeotheruids_load="YES"

mac_bsdextended_load="YES"

mac_portacl_load="YES"

Edytowano Lipiec 8, 2014 przez bryn1u (zobacz historię edycji)