Configurare server FTP con proftpd [RISOLTO]

[d4z_c0nf]

Ragazzi sto provando a configurare un server ftp come da oggetto.
Ho editato il file /etc/proftpd.conf come segue:

Codice: Seleziona tutto

ServerName			"ProFTPD Default Installation"
ServerType			standalone
#ServerType			inetd
DefaultServer			on

# Port 21 is the standard FTP port.
Port				21
# Umask 022 is a good standard umask to prevent new dirs and files
# from being group and world writable.
Umask				022
DefaultRoot ~
# To prevent DoS attacks, set the maximum number of child processes
# to 30.  If you need to allow more than 30 concurrent connections
# at once, simply increase this value.  Note that this ONLY works
# in standalone mode, in inetd mode you should use an inetd server
# that allows you to limit maximum number of processes per service
# (such as xinetd)
MaxInstances			30

# Set the user and group that the server normally runs at.
User				ftp_user	
Group				ftp

# This next option is required for NIS or NIS+ to work properly:
#PersistentPasswd off

SystemLog			/var/log/proftpd.log
TransferLog			/var/log/xferlog

# Normally, we want files to be overwriteable.
<Directory /*>
  AllowOverwrite		off
</Directory>

MaxInstances 30
ServerIdent off

Ho creato l'utente ftp_user.
L'ho aggiunto al gruppo ftp e gli ho dato come home /home/ftp

Avvio il demone

Codice: Seleziona tutto

in.proftpd

Ma non riesco ad accedervi, nemmeno da una macchina della rete locale.
Per iptables ho aperto la porta 21

Codice: Seleziona tutto

ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ftp 
ACCEPT     udp  --  anywhere             anywhere            udp dpt:ftp 

Come errore ottengo (da filezilla):

Codice: Seleziona tutto

Stato:	Connessione a 192.168.1.2:21...
Stato:	Connessione stabilita, in attesa del messaggio di benvenuto...
Risposta:	500 FTP server shut down (Sat Nov  1 12:32:26 2008 , Current connections will be dropped: Sat Nov  1 12:22:26 2008) -- please try again later
Errore:	Errore grave
Errore:	Impossibile collegarsi al server

E non capisco quell'orario, circa mezz'ora fa...cosa sarà successo?
rock

[d4z_c0nf]

Ok, il problema del messaggio è stato risolto, non so cosa avessi fatto, ma dando un

Codice: Seleziona tutto

 proftpd -nd5 

ho scoperto che il messaggio era in /etc/shutmsg, un file che mi faceva cadere il server.
Ora l'ho cancellato.

Ora ottengo:

Codice: Seleziona tutto

Risposta:	211 End
Stato:	Connesso
Stato:	Lettura elenco directory...
Comando:	PWD
Risposta:	257 "/" is the current directory
Comando:	TYPE I
Risposta:	200 Type set to I
Comando:	PASV
Risposta:	227 Entering Passive Mode (192,168,1,2,223,6).
Comando:	LIST
Errore:	Tempo scaduto per la connessione
Errore:	Non è stato possibile leggere il contenuto della directory

[d4z_c0nf]

E' un problema di firewall.
Se accetto tutto in input, va.
Vabè che sto dietro a un router, che dite lo tolgo iptables?
rock

[conraid]

Se vuoi usare iptables, la 21 da sola non basta

accetta connessioni verso la porta 21 e dalla porta 20

iptables -A input -p TCP --dport 21 -j ACCEPT
iptables -A input -p TCP --sport 20 -j ACCEPT

e dopo accetta ftp passivo

iptables -A input -p TCP -s 0/0 --destination-port 60000:65535 -j ACCEPT

naturalmente le porte le decidi tramite il file di configurazione

Inoltre caricando il modulo ip_conntrack_ftp
/sbin/modprobe ip_conntrack_ftp

puoi fare qualcosa come
iptables -A INPUT -p tcp --dport 21 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

[d4z_c0nf]

Se vuoi usare iptables, la 21 da sola non basta

accetta connessioni verso la porta 21 e dalla porta 20

iptables -A input -p TCP --dport 21 -j ACCEPT
iptables -A input -p TCP --sport 20 -j ACCEPT

e dopo accetta ftp passivo

iptables -A input -p TCP -s 0/0 --destination-port 60000:65535 -j ACCEPT

naturalmente le porte le decidi tramite il file di configurazione

Inoltre caricando il modulo ip_conntrack_ftp
/sbin/modprobe ip_conntrack_ftp

puoi fare qualcosa come
iptables -A INPUT -p tcp --dport 21 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

Conraid, grazie, avevo già risolto, solo che la persona che doveva provare (scaricare) dall'esterno non c'era.
In sostanza era un problema di fw, e di masquerading, che non avevo messo nel proftpd.conf.
Per quanto riguarda /sbin/modprobe ip_conntrack_ftp, io uso nf_conntrack_ftp, e come state non accetto new, altrimenti chiunque entra può aprire una connessione, la cosa non mi garba.

Adesso funziona.
E' strano comunque, da filezilla (lato client), non mi mandava user e pw, e quindi non riusciva a connettersi, gliel'ho fatto fare tramite browser+flash-get.
Altra stranezza, adesso sta continuando a scaricare, ma proftpd -nd5
mi dice che la sessione ftp è stata chiusa.

Grazie mille.
rock

[conraid]

Per quanto riguarda /sbin/modprobe ip_conntrack_ftp, io uso nf_conntrack_ftp, e come state non accetto new, altrimenti chiunque entra può aprire una connessione, la cosa non mi garba.

Sì, va beh... io te le ho messo tutte
sul modulo, è quello nuovo sì, ma se non sbaglio ha sempre l'alias ip_etc...

[d4z_c0nf]

Per quanto riguarda /sbin/modprobe ip_conntrack_ftp, io uso nf_conntrack_ftp, e come state non accetto new, altrimenti chiunque entra può aprire una connessione, la cosa non mi garba.

Sì, va beh... io te le ho messo tutte
sul modulo, è quello nuovo sì

ip è quello nuovo?
dmesg mi dice che nf_ct_acct è deprecato:

Codice: Seleziona tutto

nf_conntrack version 0.5.0 (16384 buckets, 65536 max)
CONFIG_NF_CT_ACCT is deprecated and will be removed soon. Plase use
nf_conntrack.acct=1 kernel paramater, acct=1 nf_conntrack module option or
sysctl net.netfilter.nf_conntrack_acct=1 to enable it.

[conraid]

Per quanto riguarda /sbin/modprobe ip_conntrack_ftp, io uso nf_conntrack_ftp, e come state non accetto new, altrimenti chiunque entra può aprire una connessione, la cosa non mi garba.

Sì, va beh... io te le ho messo tutte
sul modulo, è quello nuovo sì

ip è quello nuovo?

no, nf, ma ip è un alias
fai modinfo e lo vedi


riguardo a nf_ct_acct fai quello che ti dice, metti
sysctl -w net.netfilter.nf_conntrack_acct=1
o passalo come opzione al modulo.
io farei tramite sysctl

[d4z_c0nf]

no, nf, ma ip è un alias
fai modinfo e lo vedi


riguardo a nf_ct_acct fai quello che ti dice, metti
sysctl -w net.netfilter.nf_conntrack_acct=1
o passalo come opzione al modulo.
io farei tramite sysctl

Ok lo metto in rc.local
grazie, sempre prezioso.
rock

[conraid]

Ok lo metto in rc.local

Se ti serve *sempre* il posto giusto è /etc/sysctl.conf
net.netfilter.nf_conntrack_acct=1

[d4z_c0nf]

Ok lo metto in rc.local

Se ti serve *sempre* il posto giusto è /etc/sysctl.conf
net.netfilter.nf_conntrack_acct=1

Ah ok, grazie
rock