---

Aktiv.. passiv FTP.

Jeg kan ikke køre andet end passiv FTP ud af min firewall/NAT - hvad skal
jeg opsætte på min firewall for at kunne køre begge dele? Jeg køre FreeBSD,
ipnat og ipfw. Jeg har 8 eksterne IP numre og prøver fra en FTP klient på
mit interne netværk.

Mvh.
John.

---

"John Smith" <nowhere@microsoft.com> wrote in
news:3cf37786$0$9062$edfadb0f@dspool01.news.tele.dk:

> Aktiv.. passiv FTP.
>
> Jeg kan ikke køre andet end passiv FTP ud af min firewall/NAT - hvad
> skal jeg opsætte på min firewall for at kunne køre begge dele? Jeg
> køre FreeBSD, ipnat og ipfw. Jeg har 8 eksterne IP numre og prøver fra
> en FTP klient på mit interne netværk.

Det er også en god ting. Pasive ftp betyder at det er clienten der opretter
forbindelsen.

Hvis det nu er serveren der vil oprette forbindelsen, hvordan vil du så
konfigurere din firewall så den kunde forudsige hvilken port serveren havde
tænkt sig at benytte?

--
Mvh
Heine Laursen

---

Heine Laursen wrote:

> Det er også en god ting. Pasive ftp betyder at det er clienten der opretter
> forbindelsen.

Der opstår bare et problem hvis serveren også står bag en firewall hvor
man ikke kan åbne porte på tilfældige høje porte.

> Hvis det nu er serveren der vil oprette forbindelsen, hvordan vil du så
> konfigurere din firewall så den kunde forudsige hvilken port serveren havde
> tænkt sig at benytte?

Ved at kigge med i FTP-dialogen mellem server og klient. natd har en
sådan funktionalitet:

-punch_fw basenumber:count
This option directs natd to ``punch holes'' in an
ipfirewall(4) based firewall for FTP/IRC DCC connections.
This is done dynamically by installing temporary firewall
rules which allow a particular connection (and only that con­
nection) to go through the firewall. The rules are removed
once the corresponding connection terminates.

A maximum of count rules starting from the rule number
basenumber will be used for punching firewall holes. The
range will be cleared for all rules on startup.

Man kan også benytte en separat ftp-proxy:
http://www.mcknight.de/jftpgw/howtouse-tp.html

--
Hroi Sigurdsson hroi@asdf.dk
Danske nyhedsfeeds i RSS-format: http://asdf.dk/rss/da/

---

> > Det er også en god ting. Pasive ftp betyder at det er clienten der
opretter
> > forbindelsen.

> Der opstår bare et problem hvis serveren også står bag en firewall hvor
> man ikke kan åbne porte på tilfældige høje porte.

?? Jeg har kun åbnet for established trafik indtil mine servere.

> > Hvis det nu er serveren der vil oprette forbindelsen, hvordan vil du så
> > konfigurere din firewall så den kunde forudsige hvilken port serveren
havde
> > tænkt sig at benytte?

> Ved at kigge med i FTP-dialogen mellem server og klient. natd har en
> sådan funktionalitet:

Det er ipnat jeg benytter. Er det en dårlig idé at blande ipnat og ipfw
sammen? Jeg har umiddelbart behov for at kunne båndbredde begrænse, men
måske fungere ipnat bedre/bedst sammen med ipfilter (den benytter jeg ikke)?

> Man kan også benytte en separat ftp-proxy:
> http://www.mcknight.de/jftpgw/howtouse-tp.html

Jeg har to FTP servere, så jeg ved ikke om jeg kan benytte det?

Mvh.
John.

---

Hroi Sigurdsson <hroi@asdf.dk> wrote in news:3CF387BE.C72C304A@asdf.dk:

> Heine Laursen wrote:
>
>> Det er også en god ting. Pasive ftp betyder at det er clienten der
>> opretter forbindelsen.
>
> Der opstår bare et problem hvis serveren også står bag en firewall
> hvor man ikke kan åbne porte på tilfældige høje porte.
>
>> Hvis det nu er serveren der vil oprette forbindelsen, hvordan vil du
>> så konfigurere din firewall så den kunde forudsige hvilken port
>> serveren havde tænkt sig at benytte?
>
> Ved at kigge med i FTP-dialogen mellem server og klient. natd har en
> sådan funktionalitet:
>
> -punch_fw basenumber:count
> This option directs natd to ``punch holes'' in an
> ipfirewall(4) based firewall for FTP/IRC DCC connections.
> This is done dynamically by installing temporary firewall
> rules which allow a particular connection (and only that con­
> nection) to go through the firewall. The rules are removed
> once the corresponding connection terminates.
>
> A maximum of count rules starting from the rule number
> basenumber will be used for punching firewall holes. The
> range will be cleared for all rules on startup.
>
> Man kan også benytte en separat ftp-proxy:
> http://www.mcknight.de/jftpgw/howtouse-tp.html

Okay. Jeg er overbevist


--
Mvh
Heine Laursen