Proxypass et ftp ???

[achel]

Bonjour, voici un petit cas pratique sur lequel je me pose des questions (ça a fonctionné et ça ne fonctionne plus et je ne sais pas pourquoi).

J'ai proxypassé le port 21 d'un de mes nas avec le code suivant :

Code: Tout sélectionner

<VirtualHost 0.0.0.0:21>
    ServerName domaine.org
    ServerAlias nas2.domaine.org

    RewriteEngine on
    RewriteCond %REQUEST_METHOD ^(TRACE|TRACK)
    RewriteRule .* - [F]

    ProxyPass / ftp://10.0.0.16/
    ProxyPassReverse / ftp://10.0.0.16/
</VirtualHost>


Les NAS qui sont sur le réseau possèdent aussi des interface web (qui passent sans problème avec le proxypass sur le port 80). Il y'a un Lacie et un Buffalo.

Ca a tourné pendant un mois et puis plus rien (la cause je la connais => j ai un furet qui aime passer dans mes cables ethernet, ce qui a débranché une prise d'un des nas ... mais ce que j arrive pas à comprendre c'est pourquoi en rebranchant ma prise le proxy ne fonctionne plus ...).

Merci beaucoup

[bethebeast]

heu...soit ce post n'a rien à voir avec SME, soit c'est moi qui a encore (trop) abusé de la moquette...

@+

[achel]

Bon, je vais directement mettre mon plan réseau ce sera plus clair je pense =>




J'ai deux nas derrière ma sme et je veux juste savoir y accéder en ftp via un DQNS configuré dans la gestion des hôtes de sme (en gros, un proxypass sur le port 21) => ca a fonctionné et ca ne fonctionne plus ... je tombe sur le ftp de la sme qui est en front et non sur ceux des nas.

Je précise que je sais que je pourrais forwarder des ports différents sur la sme en front pour les envoyer vers les ports 21 de chaque nas ... mais le proxy pass a fonctionné et je trouvais ça assez élégant.

[sibsib]

Hello,

Le proxyPass s'appuie entièrement sur le protocole http. C'est une certitude, pas une affirmation 'en l'air' puisque proxypass analyse la requête http pour faire les redirections. Je ne comprends pas trop comment tu pourrais faire du ftp dedans.

Par contre (çà me parait audacieux), si tu te connectes au serveur web de ton SME (donc sur le port 80 ou 443), il se pourrait que proxypass puisse renvoyer vers le port 21 de tes NAS... mais çà ne servira à rien, puisque c'est toujours du protocole http qui va arriver sur le port 21 de tes NAS.

Donc, je pense que tu te fourvoies, et que tu penses que çà marchait grâce à tes règles de proxypass, alors que ce n'était pas çà.

Notamment, je vois sur ton schéma un VPN, et depuis le VPN, tu devrais pouvoir atteindre tous les serveurs FTP de ton LAN sans autre forme de procès. Par contre, Gaston nous a indiqué que le VPN pourrait avoir des soucis en 7.4 (là, je m'aventure sur un terrain que je ne connais pas).

A+,
Pascal

[achel]

Ok merci sibsib, en gros je suis bon pour un port forwarding ... . Bon vais checker une liste de port pas trop incongru pour les faire. (pourtant je suis certain d avoir pu joindre mon ftp de cette manière ... sans vpn et avant être passé à la 7.4 faudra que je creuse d'où est venue cette anomalie).

Encore un grand merci je reconfigure vite ça.

[achel]

Là je me retrouve devant quelque chose que je ne connaissais pas :p => je forward les ports 8021 et 8022 vers les ports 21 respectif à chaque Nas et avec winscp je me retrouve avec un belle erreur :

Code: Tout sélectionner

Error listing directory '/'.

Could not retrieve directory listing
Illegal PORT Command


Si je tente un reconnect j'ai droit à cette erreur :

Code: Tout sélectionner

Transfer channel can't be opened. Reason: Aucune connexion n'a pu être établie car l'ordinateur cible l'a expressément refusée.
Could not retrieve directory listing
Entering Passive Mode (192,168,1,70,183,52)


Il n'y a aucune manière de changer le port ftp sur les deux nas (Lacie et Buffalo) et ce, même en mode passif ... y'aurait il des ports spécifiques pour le forward de ftp ???

[sibsib]

yop,

En fait, le ftp est une vraie galère à faire passer :
Déjà, tu as au minimum deux ports : ftp-command (port 21) et ftp-data (port 20). Je crois (mais je dis peut-être une énormité) qu'en mode passif, c'est suffisant.
En mode actif, il y a négotiation dynamique du port pour le transfert des données et également du sens de connexion (enfin, le sens de connexion n'est pas dynamique mais dépend du type de transfert qu'on veut faire. Je ne connais plus la règle, mais dans certains cas, le client FTP devient serveur pour la session TCP de transfert de fichiers.)

Pour que ceci fonctionne via le firewall de SME, il y a un module kernel qui s'appelle ftp_contrack (pas dur à traduire : traceur de connexion ftp) qui permet à iptables de créer dynamiquement les règles de redirections adéquates pendant la durée du trransfert.

Là, çà y est, j'ai étalé toute ma science. Est-il possible d'utiliser aussi ftp _contrack pour tracer des sessions ftp entrantes ? Je suis quasi sûr que oui, mais pas la moindre idée de comment on fait.

Peut-être si tu peux utiliser du ftp passif que la redirection du port 20 va suffire à te sauver ?

A+,
Pascal

[achel]

je vais déjà essayer de voir si du point de vue ftp (à mon avis c'est ce port 20 de transfert qui met le souk) je peux aussi reforwarder ce port (et surtout qu'il le comprenne ... pcq le port 20, à voir, il effectue la connexion de manière implicite).

Si ça ne fonctionne pas je vais chercher après ftp_contrack (à moins qu'il ne se trouve dans un tuto sur les ftp sur contribs).

En tout cas merci, je poste mes résultats dans ce post en espérant arriver à un dénouement fonctionnel.

[achel]

Après moultes recherches j'ai rien trouvé qui puisse me permette de pouvoir joindre mes ftp (NAS) au travers de la sme ...

Si quelqu'un possède une marche à suivre, une modification d'iptable ou autre ce serait le bienvenu ... je pense que je dois pas être le seul à avoir besoin de faire ça ...

[achel]

Je réitère => si quelqu'un connait une manière de donner accès à des ftp se trouvant de le réseau, depuis internet, sans bloquer le ftp de la sme en server et passerelle : je suis preneur.

[durandbenoit]

achel as tu réussi à te servir du FTP externe en passant par le sme ?

[achel]

Oui : j'ai abandonné sme-server pour Blueonyx (bien mieux conçu à mon sens et orienté plus vers les hébergeurs qui en ont marre de mettre les mains dans le cambuis et qui veulent pas une usine à gaz).

=> au passage fo plusieurs ip pour faire ce que tu veux : vo mieux un bon routeur zyxel ou snapgear pour faire du 1to1 nat.