FTP passif/actif

[Tomcraft]

Bonjour tout le monde,

Je tiens à le préciser, j'ai d'abord fait pas mal de recherches sur le net et sur ce forum pour comprendre pourquoi mes ibays sur le serveur SME n'étaient pas accessible à partir du net. J'ai finalement compris que le problème vient du mode passif/actif du serveur ftp.

En effet après avoir décoché la case "Utilisé le mode FTP passif" dans les configs d'IE sur le client, le FTP est accessible à partir de l'extérieur. Mais je vois pas vraiment dans quel mode est mon serveur et pourquoi ça ne fonctionne pas.

Vu que le FTP doit être utilisé par des clients, je souhaiterai qu'il soit accessible sans décocher cette case.

Je ne trouve aucun site ou forum m'expliquant clairement comment résoudre ce problème et configurer le serveur ftp ou le routeur.

J'ajouterai que le serveur sme est derrière une livebox pro avec les ports 20 et 21 ouverts et "routés" vers le serveur.

Merci d'avance pour votre aide !

[Cool34000]

Crée le fichier "/etc/e-smith/templates/etc/proftpd.conf/06PassivePorts"
Mettre ceci dans ce fichier :

Code: Tout sélectionner

PassivePorts 60000 60005


=> 1 ligne vide en début de fichier et pareil à la fin du fichier !

Appliquer la config :
# expand-template /etc/proftpd.conf

Et finalement, rediriger les ports 60000 à 60005 vers SME sur la Livebox...
Chez moi ca marche...

[igo]

excusez moi de rebondir mais dans quel but faut il laisser une ligne vide au début et une à la fin du fichier ?

l'on retient mieux les choses lorsque l'on sait pourquoi on les fait.

ps : ton lien http://www.chezmoicamarche.org/ n'est pas vraiment du genre ftp :p

ps² : je ne m'y connais pas trop mais il me semble que les modification sont à apporter au dossier templates-custom plutôt ?

"/etc/e-smith/templates-custom/etc/proftpd.conf/06PassivePorts"

puis un /sbin/e-smith/expand-template /etc/proftpd.conf

et ps3

le ftp actif ça existe encore ?

Il faut garder en mémoire que le mode passif est conseillé à partir du moment ou les clients peuvent se trouver derrière un Firewall/NAT. En effet dans ce mode, toutes les initialisions de sessions TCP se font à partir du client.

http://www.slacksite.com/other/ftp.html

donc sur un bon routeur : NAT du port 21 tcp vers le serveur ftp (et c'est tout)
sur un moins bon ^^ : NAT de la plage de port passif (ex:60000 60005) en plus du port 21 (le tout en tcp)

le port 20 est strictement inutile en mode passif

voila j'espère ne pas avoir trop dit de $%à# ^^

bonne journée

[jibe]

Salut,

je ne m'y connais pas trop mais il me semble que les modification sont à apporter au dossier templates-custom plutôt ?

Disons que c'est un bon principe à retenir.

Les principes, c'est comme les barrières : les petits passent dessous, les grands passent dessus, il n'y a que les c** qui rentrent dedans.

Le côté développeur de cool34000 qui ressort

En effet, lorsqu'on fait une contrib, on travaille sur les templates. Et lorsqu'on bricole sa SME, on travaille sur les templates-custom, de manière à ce qu'une mise à jour de la contrib - qui va probablement mettre à jour le template - n'écrase pas les bidouilles effectuées.

Mais dans ce cas, il n'y a aucun template nommé /etc/e-smith/templates/etc/proftpd.conf/06PassivePorts. Donc, on peut sans crainte travailler sur les templates.

le ftp actif ça existe encore ?

C'est quand même le mode par défaut de FileZilla... Peut-être pas tout à fait pour rien...

Je trouve ta remarque peu cohérente avec ton attitude : tu cherches à mieux sécuriser ton serveur FTP, et la première chose que tu fais est de chercher à le passer en mode passif qui, s'il présente des avantages pour le client, est moins sécurisé pour le serveur !

Beaucoup de serveurs - dont SME - n'acceptent que le mode actif. Question soit de sécurité, soit d'économies de ressources, ou encore les deux.

Quitte à éliminer un des deux modes, j'éliminerais plutôt le passif. Au client de se dém*** pour avoir un firewall bien fait pour répondre à ses besoins (s'il a besoin de faire du FTP, pourquoi serait-ce au serveur d'en prendre les risques ?). Mais la question ne se pose pas, les deux modes sont dans la RFC959. Et voir les choses ainsi ou comme tu le fais est beaucoup trop réducteur : il y a bien d'autres raisons à considérer...

[igo]

oulala :O


Qui à dit que je cherchais à mieux sécuriser mon serveur ftp ???

filezilla est en mode passif par défaut !

ensuite ouvrir le port 21 et moins risqué que d'ouvrir les ports 21 et 20 si l'on juge le risque sur le nombre de ports ouverts....

A quoi bon sécuriser si c'est pour perdre la fonctionnalité ?
Mais libre à toi de te venter d'avoir un serveur sécurisé et inaccessible à la plupart des gents.

sme n'autorise pas le mode passif ? où as tu vu ça ?

tu parles sans savoir et n'apporte aucune information utile ni élément de réponse aux questions posées !!

[Cool34000]

Les lignes vides sont la pour s'assurer la bonne concaténation des templates lors de leur régénération...

Effectivement, il n'y a pas lieu de mettre ce template dans les templates-custom car le template n'existe pas !

Certains routeurs gèrent le mode passif automatiquement (ouverture dynamique des ports)...
Visiblement, ce n'est pas le cas des LiveBox dans le mode Firewall par défaut.

[jibe]

Salut,

Qui à dit que je cherchais à mieux sécuriser mon serveur ftp ???

Il me semblait avoir compris cela pourtant...

Si j'ai mal compris et mal fait, il me semble qu'il y a de meilleures façons de le dire... Il y avait peut-être aussi de meilleures façons de présenter les choses...
http://forums.ixus.fr/viewtopic.php?t=38987

En attendant, merci pour ta gratitude

Ne t'étonne pas si tu n'obtiens pas d'aide sur les forums... Ou que de la part d'incompétents comme moi : lorsqu'on se prétend meilleur que tous, on ne trouve personne à sa hauteur... Et lorsqu'on se contredit soi-même, il n'est pas étonnant qu'on contredise les théories reconnues de tous aussi bien que l'expérience des autres.

Pour le reste : http://forums.ixus.fr/viewtopic.php?t=27781&start=21

[Muzo]

Bonjour

filezilla est en mode passif par défaut !

AH? bah pourquoi chez moi il est en actif alors? car il faut cocher volontairement un cas dans la conf de filezilla pour qu'il soit passif. J'ai la même conf que jibe désolé.

ensuite ouvrir le port 21 et moins risqué que d'ouvrir les ports 21 et 20 si l'on juge le risque sur le nombre de ports ouverts....

C'est bien t'as tout compris au ftp ...
http://fr.wikipedia.org/wiki/File_Transfer_Protocol

Merci de baisser d'un ton et SURTOUT de ne pas polluer les posts des membres qui posent des questions.

/Muzo

[igo]

merci Cool34000 pour ces information claires.

Muzo, effectivement il m arrive de m énerver mais cela arrive souvent lorsque l on est pris pour ce que l on est pas..

je n ai rien pollué du tout, j'ai plutôt avancé une solution viable au problème posé par Tomcraft.

filezilla est par défaut en mode passif comme la plupart des clients ftp !

[tomtom]

Keep cool

filezilla est par défaut en mode passif comme la plupart des clients ftp !

Exact, ainsi d'ailleurs que certains serveurs parmi les plus réputés sur le plan de la sécurité, wzdftpd et vsftpd pour n'en citer que deux.
Les navigateurs ne savent souvent faire que du passif ou sont en passif par défaut, les clients en mode console rudimentaires également....

Concernant la sécurité du serveur, la différence est minime pour peu que l'on limite la plage de ports autorisés sur le serveur et qu'on la "firewalle" bien avec un helepr adapté par exemple (attention avec TLS sur la connexion de controle)

Concernant la sécurité coté clients, le mode actif est une catastrophe, quasi ingérable avec du nat et plusieurs clients....

Concernant l'utilisabilité et la simplicité de configuration, c'est le mode passif qui est de loin préférable. Tout est affaire de choix.


Dans tous les cas, ftp n'est pas franchement un protocole réputé pour sa sécurité

t.

[jibe]

Salut,

Bon, je veux bien reconnaitre mes torts si j'en ai. Mais par ailleurs, ta réponse me laisse assez sceptique, tomtom, pour diverses raisons n'ayant pas toutes des fondements informatiques...

Passons sur les raisons qui ne me concernent pas : je ne suis pas modo, je n'ai rien à dire qui puisse toucher de près ou de loin à cette fonction. J'accepte le fonctionnement et les règles d'Ixus et ceux qui sont là pour assurer le premier et faire respecter les secondes, sinon je n'ai rien à faire ici.

Pour ce qui me concerne personnellement, je pense que tu comprendras que j'aie un peu de mal à avaler le fait que tu prennes la défense, avec de simples affirmations non détaillées, de celui qui m'a insulté publiquement.

Pour les raisons informatiques, tu as parfaitement raison de corriger les âneries ou les simples inexactitudes qui ont été dites, qui que ce soit qui ait tort. Mais contrairement à ton habitude et comme je viens de le souligner, tu as été un peu avare de précisions... D'autre part, si j'ai exagéré un peu certains points, c'était pour contrecarrer le "ça existe encore" laissant supposer que le mode actif est une totale hérésie, mais j'ai pris la précaution de souligner :

Et voir les choses ainsi (c'est à dire comme je venais de les présenter) ou comme tu le fais est beaucoup trop réducteur : il y a bien d'autres raisons à considérer...

Filezilla en mode passif par défaut ? Là, j'en suis sur le c** ! Je l'ai installé et utilisé sur un paquet de bécanes, et comme Muzo j'ai toujours eu à cocher la case lorsque je le voulais en mode passif. Il faudrait que je recherche, mais j'ai aussi vu plusieurs documents disant qu'il est en mode passif par défaut... De même que des posts sur des forums soulignant sa différence avec d'autres clients FTP... Alors, je veux bien avoir tort, mais j'aurais aimé que tu m'expliques où et comment je fais erreur...

Concernant la sécurité du serveur, la différence est minime pour peu que l'on limite la plage de ports autorisés sur le serveur et qu'on la "firewalle" bien avec un helepr adapté par exemple

Là, plus que l'imprécision, c'est notre éternel différent concernant théorie et pratique... Dans mes affirmations, je me plaçais dans le cadre de SME. Si ses concepteurs ont choisi de ne pas autoriser le mode passif, c'est parce que justement, les adaptations nécessaires au firewall ne sont pas très simple dans un tel cadre... Dans la pratique, il faut considérer le rapport entre avantages apportés et coût pour pallier aux inconvénients.

Autrement dit, je reconnais tout à fait avoir tort en théorie, mais comme d'hab je me plaçais sur le plan pratique, ce qui change souvent pas mal la façon de voir les choses...
(la théorie, c'est quand on sait tout et que rien ne fonctionne. La pratique, c'est quand tout fonctionne et que personne ne sait pourquoi. Ici, nous avons allié théorie et pratique : rien ne fonctionne, et personne ne sait pourquoi. Albert Einstein.)

Concernant la sécurité coté clients, le mode actif est une catastrophe, quasi ingérable avec du nat et plusieurs clients....

Difficile d'accepter une telle affirmation non justifiée et sortie de son contexte... Pour les mêmes raisons que celles qui te font bondir lorsque je parle sécurité côté serveur...

Oui, la sécurité côté clients n'est pas fameuse, oui, il peut y avoir des problèmes de NAT. Il y a aussi quelques solutions. Et surtout, j'ai bien dit : il faut définir les besoins, et ne pas partir sur des a-priori. Souvent, ces problèmes ne se posent pas ou peu, et surtout sont vus dans le cadre de la réalisation et de l'utilisation d'un serveur "tout en un", qui a forcément certaines limites et certaines contraintes d'utilisation.

Donc, comme je le disais : aux clients de se dém*** plutôt que de demander au serveur de se dém***. Je me plaçais côté serveur, et j'aurais bien sûr dit exactement le contraire si je m'étais placé côté client. Tu l'as dit : tout est une question de choix...

Et ceux qui ont suivi mon raisonnement ont bien compris que je ne faisais pas le procès du mode passif, simplement que je faisais le procès de sa mise en place sur une distrib qui s'y prète peu alors que d'autres s'y prêtent beaucoup mieux, et qu'en plus le choix du mode passif n'a été justifié que par une préférence personnelle, les arguments venant après coup pour la justifier... Je crois avoir souligné qu'il vaut mieux partir des besoins réels et que ce sont à eux de servir d'arguments aux choix qui sont faits.

On peut certainement me reprocher d'en prendre à mon aise avec les théories. Ou de rester attaché à des solutions simples et ne pas prendre de risques. Mais quand comprendrez-vous, vous qui en savez beaucoup plus que moi qui parle sans savoir et qui n'apporte aucune information utile ni élément de réponse aux questions, que ce que vous finissez par dire (c'est en tous cas ce que beaucoup croient comprendre et font sans se douter qu'ils jouent aux apprentis sorciers), c'est :

"Assemblez des Ipcop et des SME comme vous l'entendez, bricolez-les à loisir pour les adapter à vos envies, ce sera toujours mieux et plus simple que de configurer des Debian en fonction de vos besoins."

Si c'est ça la bonne parole, alors je suis effectivement incompétent et n'ai rien à faire ici.

[tomtom]

Hello,

Sur le fond du débat :
J'ai parlé du ftp de manière générale et pas de SME.
Je garde ma position : Il est vivement conseillé d'utiliser le mode passif. la littérature sur le sujet est plus qu'abondante. Le mode actif au niveau des clients oblige à faire des arabesques pas possibles sur les firewalls, parfois sur les clients eux-mêmes... Et dès lors que plusieurs clients veulent faire du ftp, la configuration du firewall devient inextricable...

Sur les détails : Filezilla est en mode défaut, je n'ai pas cherché sur 1000 documentations, j'ai ouvert les clients sur divers postes : Préférences : Mode de transfert : passif (conseillé) est selectionné sur chaque et de mémoire sans que je n'y ai touché.
Configuration des serveurs ftp que je manipule : vsftpd est en passif par defaut, quant à wzftpd, un excellent serveur, voir sa page sur le sujet : http://www.wzdftpd.net/trac/wiki/Docume ... aPortModes

Sur SME en particulier, il y a une seule configuration à changer (voir reponse de cool34000) et le firewalling est correct directement (netfilter power).


Sur la forme : Ta position de "victime" est inacceptable.

- insultes publiques ?? Où ça ?

Je reprends l'historique du thread :
- une question a été posée sur la possibilité de passer le serveur de SME en passif.
- Une réponse a été donnée.
- Un conseil sur l'utilisation préférable du mode passif est donné par igo, qui pose par ailleurs des questions intéressantes et ne me semble pas du tout impoli
- Tu lui fais des reflexions sur l'incohérence de son attitude, te relances dans ton débat préféré sur "le tout en un faut pas y toucher" et avec des arguments erronés
- Sa réponse n'est pas disproportionnée à ton message.


Etant donné qu'une réponse à la question a été donnée et que cela ne semble pas vraiment compliqué comme configuration à faire sur une SME, je ne comprends pas trop ta position sur "une autre distrib serait mieux pour faire du ftp passif". Avec SME, tu as deja un firewall (bien) configuré pour faire ça, et une simple configuration ultra-classique de proftpd résout le problème.

Alors quoi ?


t.

[Muzo]

En passant je m'excuses auprès d'igo de ma réponse, j'avais tout faux.

/Muzo

[jibe]

Salut,

Ok, j'ai dû faire comme Muzo et me planter complètement en ce qui concerne Filezilla... je reste peu convaincu, mais je n'ai pas envie de me prendre la tête avec ça.

Comme je suis très crevé et il est vrai un peu sur les nerfs ces temps-ci, on va dire que

tu parles sans savoir et n'apporte aucune information utile ni élément de réponse aux questions posées !!

n'était pas une insulte, mais une simple constatation. Je ne vois pas vraiment en quoi c'est plus correct que de dire qu'une démarche me parait peu cohérente (il me semble que dans un cas il y a attaque directe de la personne, et dans l'autre un simple doute sur une démarche, même s'il est exprimé avec peu de diplomatie je reconnais...). D'autant que j'avais pris la peine d'expliquer les templates/templates custom...

Bon, si j'ai tout faux je présente mes excuses à ceux qui sont concernés et vais en tirer les conséquences.

[Cool34000]

Salut,

Chez moi FileZilla est par défaut configuré ainsi : mode passif (conseillé) avec l'option de switcher de mode en cas d'échec... De quoi mettre tout le monde daccord ?
Quel est le meilleur mode FTP ? Celui qui fait ce qu'on attend de lui !!!


Ca parle de plus en plus "sec" ici !
Ca monte tout doucement mais surement, on ne sait pas toujours pourquoi d'ailleurs !
Voila pourquoi je participe de moins en moins sur Ixus...


Vous allez vous aimer les uns les autres bordel de mayrde ? (Les Inconnus - Jésus 2, le retour)