pure-ftpd - Passiver Modus - Out of Port Range

[deepblue]

Moin in die Runde,

wir haben ISPConfig 3.x mit pure-ftpd-mysql für den passive Modus am Server x.x.x.x konfiguriert (ein NAT findet nicht statt) und entsprechend an der lokalen Firewall eine Portfreigabe hinterlegt:

PassivePortRange             30000 50000
ForcePassiveIP x.x.x.x

[19] 30000:50000/tcp            ALLOW IN    Anywhere
[38] 30000:50000/tcp (v6)       ALLOW IN    Anywhere (v6)

Nach dem Neustart (systemctl restart pure-ftpd-mysql) sind die Aufrufparameter des Dienstes:

pure-ftpd-mysql[3475135]: Running: /usr/sbin/pure-ftpd-mysql-virtualchroot -l mysql:/etc/pure-ftpd/db/mysql.conf -l pam -J HIGH -A -O clf:/var/log/pure-ftpd/transfer.log -u 1000 -D -H -Y 1 -E -b -B

Wir prüfen die Listen Ports

ss -lnpt | grep 'pure-ftpd'
LISTEN 0      9                              0.0.0.0:21         0.0.0.0:*    users:(("pure-ftpd-mysql",pid=3475136,fd=4))
                                                                                           
LISTEN 0      9                                 [::]:21            [::]:*    users:(("pure-ftpd-mysql",pid=3475136,fd=5))

Der Login des FTP Clients (FileZilla/CyberDuck: Explizites FTP über TLS) ist erfolgreich:

tail -f /var/log/syslog -n 0 | grep -i 'pure-ftpd\|y,y,y,y'
Jan  6 16:37:58 mx1 pure-ftpd: (?@y,y,y,y) [INFO] New connection from y,y,y,y
Jan  6 16:37:58 mx1 pure-ftpd: (?@y,y,y,y) [INFO] TLS: Enabled TLSv1.3 with TLS_AES_256_GCM_SHA384, 256 secret bits cipher
Jan  6 16:37:58 mx1 pure-ftpd: (?@y,y,y,y) [INFO] user is now logged in
Jan  6 16:37:58 mx1 pure-ftpd: (user@y,y,y,y) [INFO] TLS: Enabled TLSv1.3 with TLS_AES_256_GCM_SHA384, 256 secret bits cipher

Das Umschalten in den passiv Modus durch den Client scheitert an der Firewall auf x.x.x.x

Befehl:          CWD log
Antwort:        250 OK. Current directory is /log
Befehl:          PWD
Antwort:        257 "/log" is your current location
Befehl:          PASV
Antwort:        227 Entering Passive Mode (x.x.x.x)
Befehl:          MLSD
Fehler:          Die Datenverbindung konnte nicht hergestellt werden: ETIMEDOUT - Zeitüberschreitung bei Verbindungsversuch
Fehler:          Zeitüberschreitung der Verbindung nach 20 Sekunden Inaktivität
Fehler:          Verzeichnisinhalt konnte nicht empfangen werden
Status:          Verbindung zum Server getrennt

Jan  6 16:38:33 mx1 kernel: [37133899.458773] [UFW BLOCK] IN=eth0 OUT= MAC=96:00:02:9d:40:39:d2:74:7f:6e:37:e3:08:00 SRC=y,y,y,y DST=x.x.x.x LEN=64 TOS=0x00 PREC=0x00 TTL=50 ID=0 DF PROTO=TCP SPT=63745 DPT=61978 WINDOW=65535 RES=0x00 SYN URGP=0
Jan  6 16:38:33 mx1 kernel: [37133899.549289] [UFW BLOCK] IN=eth0 OUT= MAC=96:00:02:9d:40:39:d2:74:7f:6e:37:e3:08:00 SRC=y,y,y,y DST=x.x.x.x LEN=64 TOS=0x00 PREC=0x00 TTL=50 ID=0 DF PROTO=TCP SPT=63745 DPT=61978 WINDOW=65535 RES=0x00 SYN URGP=0

Schauen wir uns die blockierten DPT's an, so sind diese außerhalb der definierten PassivePortRange.

x.x.x.x Server
y.y.y.y Client

Habe ich inhaltlich was falsch verstanden oder was könnte die Ursache sein ?

Besten Dank für die Hilfe.

Grüße,
deepblue

 

[Till]

Sieht so aus, als ob Du eine falsche Konfigurationsdatei editiert hast:

How to set PassivePortRange and PassiveIP in pure-ftpd on Debian and Ubuntu Linux

If you run a firewall on your Linux server and want to use passive FTP connections, you have to define the passive port range in pure-ftpd and your firewall to ensure that the connections don't get blocked. The following example is for pure-ftpd on Debian or Ubuntu Linux and ISPConfig 3. Set...

www.faqforge.com