toimimaton FTP

Mun koneessa on ollut jo pitkään sygaten palomuuri ja eilen tsekkasin sen asetuksia ja muutin tuon ask vaihtoehdon allowksi. En tiedä oliko oikea ohta,vaan tein kuitenkin.

Eilen lisäsin toisen koneen eli on tällainen kahden koneen ydistelmä ja jaoin internet yhteyden. Molemmissa koneissa on winxp ja tässä jakavassa koneessa roadrunner sisäisellä kortilla. Lisäksi on nuo kaksi verkkokorttia ja niissä on omat IP:t tähän sisäiseen liikenteeseen. Tuo adsl on soneran ja ainakin se hakee omat tietonsa ja en ole niissä havainnut mitään muutosta. Olisiko tuo roadrunnerin jakaminen tehnyt temput?

Eli palomuuria en eilen lisännyt vaan rakneisn verkon kahden koneen välille.

Auttaisko tämä selvitys?

Kati kirjoitti:

Mun koneessa on ollut jo pitkään sygaten palomuuri ja eilen tsekkasin sen asetuksia ja muutin tuon ask vaihtoehdon allowksi. En tiedä oliko oikea ohta,vaan tein kuitenkin.

Eilen lisäsin toisen koneen eli on tällainen kahden koneen ydistelmä ja jaoin internet yhteyden. Molemmissa koneissa on winxp ja tässä jakavassa koneessa roadrunner sisäisellä kortilla. Lisäksi on nuo kaksi verkkokorttia ja niissä on omat IP:t tähän sisäiseen liikenteeseen. Tuo adsl on soneran ja ainakin se hakee omat tietonsa ja en ole niissä havainnut mitään muutosta. Olisiko tuo roadrunnerin jakaminen tehnyt temput?

Eli palomuuria en eilen lisännyt vaan rakneisn verkon kahden koneen välille.

Auttaisko tämä selvitys?

Kaksi vastausta, lyhyt ja pitkä. Valitse omasi =)

Lyhyt:
------
Käytä passive-ftp:tä ja katso toimiiko.

Pitkä:
------

Virtys on siis jotain tämän näköistä, eikös?

[KoneB][vk2]------[vk1][KoneA][adsl]------(Internet)

Jossa [vkN] tarkoittaa verkkokorttia, [adsl] sisäistä adsl-sovitinta ja -- verkkopiuhaa.

Ip-osoitteet vk1:ssä ja vk2:ssa ovat ilmeisesti privaattiverkosta (10.*.*.*, 172.16.*.* - 172.31.*.* tai 192.168.*.*). Olenko oikeassa? Entäs KoneA:n ip-osoite? Onko se joku noista edellä mainituista, vai jokin julkinen osoite?

Jos verkkosi on isoin piirtein tuon näköinen, niin ftp ei välttämättä toimi. Yhteyden jakava kone joutuu tekemään KoneB:n lähettämälle liikenteelle NAT:n (network address translation), sillä julkisessa Internetissä ei sallita liikennettä, joka on lähtöisin privaattiverkoille varatuista osoitteista.

Tämä liittyy ftp:n toimintaan siten, että ftp käyttää kahta erillistä yhteyttä tiedonsiirtoon. Ensimmäinen on kontrolliyhteys, jonka läpi välitetään kaikki komennot ja toinen on datakanava, jota pitkin varsinainen tiedoston siirto tapahtuu. Ftp-asiakas avaa kontrolliyhteyden yleensä kohdekoneen tcp-porttiin 21, kun taas datakanavan avauksen hoitaa palvelin tcp-lähdeportista 20. Näistä syntyy ftp:n kyky siirtää tietoa kahden palvelimen välillä siten, että esim. hitaan yhteyden takana oleva ohjauskone ottaa yhteyden kahteen eri palvelimeen ja käskee niiden siirtää tietoa keskenään. Hitaan yhteyden yli siirtyvät siis vain lyhyet ohjauskäskyt. Näissä ohjauskäskyissä on mukana myös ip-osoite ja portti, johon/josta datayhteys muodostetaan.

Tavallinen kotikoneella ajettava ftp-ohjelma on itse asiassa yhtäaikaa sekä ftp-palvelin että kontrolliohjelma. Kun tällaista ohjelmaa ajetaan privaattiverkossa olevalla koneella se lähettää kontrolliyhteyden kautta oman ip-osoitteensa ja portin, johon se odottaa palvelimen datakanavan avausta. Palvelin tekee työtä käskettyä ja yrittää avata yhteyden ihan väärään paikkaan, sillä privaattiverkot ovat organisaatiokohtaisia. Palvelimen ylläpitäjällä saattaa olla oma verkko täsmälleen samasta ip-osoiteavaruudesta.

Ratkasuna on käskeä ftp-palvelin passivisen osapuolen rooliin. Eli se kertoo osoitteen ja portin, johon ftp-ohjelman tulee avata datakanava. Molemmat yhteydet lähtevät siis NAT:n suhteen sisältä ulos, kontrolliyhteyden kautta siirretään vain virallisia ip-osoitteita ja maalilma hymyilee =) Yleensä ftp-ohjelmista löytyy rasti ruutuun asetus, jossa lukee esim. "Use PASV mode" tai "Use passive mode".

Tummana pilvenä taivaalla heiluu kuitenkin palomuuri. Jos palvelimen päässä on vähääkään high-end-laitetta tyhmempi palomuuri, niin passiivinen ftp-yhteys ei toimi. Tämän aiheuttaa passiivi-moodissa käytetyt täysin sattumanvaraiset lähde- ja kohdeportit. Aktiivisessa tilassahan palvelin avaa yhteyden tunnetusta portista (20/tcp). Tilatietoinen palomuuri, joka pystyy tulkitsemaan kontrolliyhteyden kautta kulkevaa liikennetta, osaa dynaamisesti avata portin passiiviyhteyden osoite-portti-yhdistelmälle. Muut palomuurit vain kylmästi blokkaavat sisääntulevan kutsumattoman liikenteen.

Nyrkkisääntönä voidaa pitää:
----------------------------
1)
Ilman palomuureja toimii sekä aktiivi- että passiivi-yhteydet.

2)
Jos toisessa tai molemissa päissä on palomuuri, mutta ei NAT:ia, niin ainoa toimiva tapa saatta aktiivi-tila, sillä vain siinä sekä lähde- että kohdeportit ja osoitteet ovat etukäteen tiedossa. Toimivuus ei kuitenkaan ole varmaa, sillä yhteyden salliminen tietystä lähdeportista kaikkiin kohdeportteihin jättää valtavan reiän palomuuriin.

3)
Jos asiakaspäässä on NAT ja palvelimen päässä ei ole palomuuria, niin vain passive toimii. Jos NAT:n tekevä purnukka osaa toimia proxynä ja tehdä NAT:n samalla myös kontrolliyhteyden sisälle, niin jopa aktiivinen ftp saatta toimia.

4)
Jos asiakaspäässä on NAT ja palvelimen päässä on palomuuri, niin tilanne on no-can-do. Hyvällä tuurilla ftp-ohjelman voi pakottaa käyttämään passive-tilassa lähdeporttia 20, mutta sekään ei vielä takaa mitään. Ks. perustelut kohdasta 2).


Luettavaa:
File Transfer Protocol (FTP) RFC 959:
http://www.funet.fi/pub/doc/rfc/rfc959.txt

Palomuuri kirjoitti:

Kaksi vastausta, lyhyt ja pitkä. Valitse omasi =)

Lyhyt:
------
Käytä passive-ftp:tä ja katso toimiiko.

Pitkä:
------

Virtys on siis jotain tämän näköistä, eikös?

[KoneB][vk2]------[vk1][KoneA][adsl]------(Internet)

Jossa [vkN] tarkoittaa verkkokorttia, [adsl] sisäistä adsl-sovitinta ja -- verkkopiuhaa.

Ip-osoitteet vk1:ssä ja vk2:ssa ovat ilmeisesti privaattiverkosta (10.*.*.*, 172.16.*.* - 172.31.*.* tai 192.168.*.*). Olenko oikeassa? Entäs KoneA:n ip-osoite? Onko se joku noista edellä mainituista, vai jokin julkinen osoite?

Jos verkkosi on isoin piirtein tuon näköinen, niin ftp ei välttämättä toimi. Yhteyden jakava kone joutuu tekemään KoneB:n lähettämälle liikenteelle NAT:n (network address translation), sillä julkisessa Internetissä ei sallita liikennettä, joka on lähtöisin privaattiverkoille varatuista osoitteista.

Tämä liittyy ftp:n toimintaan siten, että ftp käyttää kahta erillistä yhteyttä tiedonsiirtoon. Ensimmäinen on kontrolliyhteys, jonka läpi välitetään kaikki komennot ja toinen on datakanava, jota pitkin varsinainen tiedoston siirto tapahtuu. Ftp-asiakas avaa kontrolliyhteyden yleensä kohdekoneen tcp-porttiin 21, kun taas datakanavan avauksen hoitaa palvelin tcp-lähdeportista 20. Näistä syntyy ftp:n kyky siirtää tietoa kahden palvelimen välillä siten, että esim. hitaan yhteyden takana oleva ohjauskone ottaa yhteyden kahteen eri palvelimeen ja käskee niiden siirtää tietoa keskenään. Hitaan yhteyden yli siirtyvät siis vain lyhyet ohjauskäskyt. Näissä ohjauskäskyissä on mukana myös ip-osoite ja portti, johon/josta datayhteys muodostetaan.

Tavallinen kotikoneella ajettava ftp-ohjelma on itse asiassa yhtäaikaa sekä ftp-palvelin että kontrolliohjelma. Kun tällaista ohjelmaa ajetaan privaattiverkossa olevalla koneella se lähettää kontrolliyhteyden kautta oman ip-osoitteensa ja portin, johon se odottaa palvelimen datakanavan avausta. Palvelin tekee työtä käskettyä ja yrittää avata yhteyden ihan väärään paikkaan, sillä privaattiverkot ovat organisaatiokohtaisia. Palvelimen ylläpitäjällä saattaa olla oma verkko täsmälleen samasta ip-osoiteavaruudesta.

Ratkasuna on käskeä ftp-palvelin passivisen osapuolen rooliin. Eli se kertoo osoitteen ja portin, johon ftp-ohjelman tulee avata datakanava. Molemmat yhteydet lähtevät siis NAT:n suhteen sisältä ulos, kontrolliyhteyden kautta siirretään vain virallisia ip-osoitteita ja maalilma hymyilee =) Yleensä ftp-ohjelmista löytyy rasti ruutuun asetus, jossa lukee esim. "Use PASV mode" tai "Use passive mode".

Tummana pilvenä taivaalla heiluu kuitenkin palomuuri. Jos palvelimen päässä on vähääkään high-end-laitetta tyhmempi palomuuri, niin passiivinen ftp-yhteys ei toimi. Tämän aiheuttaa passiivi-moodissa käytetyt täysin sattumanvaraiset lähde- ja kohdeportit. Aktiivisessa tilassahan palvelin avaa yhteyden tunnetusta portista (20/tcp). Tilatietoinen palomuuri, joka pystyy tulkitsemaan kontrolliyhteyden kautta kulkevaa liikennetta, osaa dynaamisesti avata portin passiiviyhteyden osoite-portti-yhdistelmälle. Muut palomuurit vain kylmästi blokkaavat sisääntulevan kutsumattoman liikenteen.

Nyrkkisääntönä voidaa pitää:
----------------------------
1)
Ilman palomuureja toimii sekä aktiivi- että passiivi-yhteydet.

2)
Jos toisessa tai molemissa päissä on palomuuri, mutta ei NAT:ia, niin ainoa toimiva tapa saatta aktiivi-tila, sillä vain siinä sekä lähde- että kohdeportit ja osoitteet ovat etukäteen tiedossa. Toimivuus ei kuitenkaan ole varmaa, sillä yhteyden salliminen tietystä lähdeportista kaikkiin kohdeportteihin jättää valtavan reiän palomuuriin.

3)
Jos asiakaspäässä on NAT ja palvelimen päässä ei ole palomuuria, niin vain passive toimii. Jos NAT:n tekevä purnukka osaa toimia proxynä ja tehdä NAT:n samalla myös kontrolliyhteyden sisälle, niin jopa aktiivinen ftp saatta toimia.

4)
Jos asiakaspäässä on NAT ja palvelimen päässä on palomuuri, niin tilanne on no-can-do. Hyvällä tuurilla ftp-ohjelman voi pakottaa käyttämään passive-tilassa lähdeporttia 20, mutta sekään ei vielä takaa mitään. Ks. perustelut kohdasta 2).


Luettavaa:
File Transfer Protocol (FTP) RFC 959:
http://www.funet.fi/pub/doc/rfc/rfc959.txt

KITOS

Tuon vastauksesi luettuani jouduin hetken sitä pureksimaan ja todella pohtimaan. Ja kokeilin tuota passiivi hommaa, vaan ilman apua. Sitten radikaalisti poistin palomuurin, joka on sygate ja on toiminut tähän asti yhden koneen kanssa ihan moitteettomasti. Yritin etsiä sieltä palomuuriasetuksista jotain kohtaa, jossa olisin voinut asialle jotain tehdä, mutta ainoa jonka löysin. oli tuos itse ftp ohjelma ja sille panin allow vaihtoehdoksi, mutta ei muutosta. Nyt kun olen poistanut palomuurin, ftp toimii hvyin.

Mikähän olisi sellainen suositeltava palomuuri, jonka kanssa ei noita ongelmia tulisi??

Kiitos jo etukäteen, en meinaan haluaisi kauna käyttää konetta ilman palomuuria.

Sori kun tuli kirjoitusvirhe mukaan.