Mikrotik.moscow [тема: Правила IP / Настройка NAT для FTP — RouterOS v6.30.1]

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1

Thu, 04 May 2023 06:25:00 -0400

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1 RouterOS в форуме RouterOS.
Обычное правило NAT для dst будет выглядеть так: /ip firewall nat
add action=dst-nat chain=dstnat comment="active FTP for client1" dst-port=50000-50020 in-interface-list=WAN protocol=tcp to-addresses=
add action=dst-nat chain=dstnat comment="active FTP for client2" dst-port=50100-50120 in-interface-list=WAN protocol=tcp to-addresses=

То есть на client1 (какой бы ни был IP-адрес в локальной сети) нужно настроить FTP-клиент так, чтобы для передачи данных он использовал только порты 50000-50020. Аналогично, для client2 — порты 50100-50120.
04.05.2023 06:25:00, mkx.

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1

Wed, 03 May 2023 18:16:00 -0400

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1 RouterOS в форуме RouterOS.
Хорошо, допустим, всё происходит вот так... Но как сделать так, чтобы правило действовало только для одного конкретного клиента? Моё правило работает для любого клиента, потому что проверяет только адрес сервера и порт.
03.05.2023 18:16:00, EIKA.

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1

Wed, 03 May 2023 14:23:00 -0400

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1 RouterOS в форуме RouterOS.
Как я уже говорил: создайте «обычное» правило DST NAT для диапазона портов (dst-ports=X-Y) и перенаправьте их на одного внутреннего клиента (можно сделать ещё одно правило DST NAT с другим диапазоном портов для другого клиента). Диапазон не обязательно должен быть широким, думаю, 10-20 портов хватит для обычной рабочей станции. Затем настройте любой FTP-клиент на использование этого перенаправленного диапазона портов (X-Y) для активных FTP-соединений... каждый FTP-клиент тут немного особенный, и, наверное, не все можно настроить правильно. Вот пример, как это сделать для Filezilla: https://wiki.filezilla-project.org/Network_Configuration#Active_mode
03.05.2023 14:23:00, mkx.

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1

Tue, 02 May 2023 23:20:00 -0400

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1 RouterOS в форуме RouterOS.
Мне удалось создать NAT-запись, чтобы зашифрованный FTP работал в активном режиме: /ip firewall nat
add action=dst-nat chain=dstnat in-interface=LAN1-WAN log=yes log-prefix=FTP-TSL_ protocol=tcp src-address=SER.VER.IP.ADDR src-port=20 to-addresses=10.0.0.43
Но это не сработает, если больше одного пользователя роутера пользуются FTP-сервером. Все запросы будут перенаправляться на LAN-адрес 10.0.0.43.
Есть ли способ это исправить? Конечно, обратное соединение должно идти на правильный IP клиента — того, кто инициировал это соединение.
02.05.2023 23:20:00, EIKA.

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1

Mon, 01 May 2023 14:39:00 -0400

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1 RouterOS в форуме RouterOS.
Да, я знаю это и полностью согласен. [*] Один настраивает определённый диапазон портов (например, 60000-60500) для перенаправления на внутренний хост (клиент или сервер) и также даёт указание клиенту/серверу использовать только эти порты (как именно — зависит от конкретного клиентского или серверного ПО). В этом случае возможен TLS. Можете, пожалуйста, предложить правило для NAT или файрвола? Представим, что используется диапазон портов 8000-8000.
01.05.2023 14:39:00, EIKA.

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1

Mon, 01 May 2023 13:31:00 -0400

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1 RouterOS в форуме RouterOS.
Похоже, нам нужен СУПЕРГЕРОЙ на помощь… Включаем трубы, фанфары, ликующие толпы, ведь Normis, новый Мститель, врывается в обсуждение и объявляет о пакете опций Zerotrust cloudflare tunnel для всех устройств. Теперь все могут получить доступ к серверам без публикации публичных IP-адресов — безопасно, удобно и просто.
01.05.2023 13:31:00, anav.

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1

Mon, 01 May 2023 13:15:00 -0400

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1 RouterOS в форуме RouterOS.
Активный FTP может работать только в том случае, если помощник брандмауэра способен считывать команды портов для их перенаправления между клиентом и сервером... поэтому TLS невозможен. При настройке определённого диапазона портов (например, 60000-60500), которые будут перенаправлены на внутренний хост (либо клиент, либо сервер), и при одновременном указании клиенту/серверу использовать только эти порты (как именно — зависит от конкретного программного обеспечения клиента/сервера), TLS становится возможен.
01.05.2023 13:15:00, mkx.

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1

Mon, 01 May 2023 10:06:00 -0400

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1 RouterOS в форуме RouterOS.
Привет, ребята! Хочу настроить MikroTik на стороне клиента. Клиент за MikroTik должен иметь возможность использовать FTP по TLS в активном режиме (TCP:21). Зашифрованный пассивный режим работает отлично, как и простой пассивный и простой активный режимы. Единственная проблема — зашифрованный активный режим. Насколько я понимаю, FTP-хелпер MikroTik (Firewall - Service Ports - ftp) не может читать содержимое пакетов из-за используемого шифрования и не может устанавливать соединения на основе информации из команд PORT/PASV. То есть, FTP-клиент может инициализировать TLS-сессию и начать общение с FTP-сервером, но при команде вывода списка директорий происходит таймаут. Вот лог клиента:
200 PROT command successful.
OPTS UTF8 ON
200 UTF8 OPTS ON
CWD /
250 CWD command successful. "/" — текущая директория.
Подключение установлено!
Получаем директорию
TYPE A
200 Type set to A.
MODE Z
200 Mode Z ok.
PORT 10,0,0,43,212,201
200 Port command successful.
MLSD
PORT не удался, пробуем PASV режим!
PASV

А вот лог FTP-сервера (тот же самый сеанс, просто с другой стороны):
02:54:30, 76, SRV.IP.ADDR.ES, , AUTH TLS
02:54:30, 76, SRV.IP.ADDR.ES, , 234 AUTH command ok; starting SSL connection.
02:54:30, 76, SRV.IP.ADDR.ES, , establishing encrypted session
02:54:30, 76, SRV.IP.ADDR.ES, , USER client-username
02:54:30, 76, SRV.IP.ADDR.ES, client-username, 331 Password required for client-username.
02:54:30, 76, SRV.IP.ADDR.ES, client-username, PASS ****
02:54:30, 76, SRV.IP.ADDR.ES, client-username, logged in as "client-username".
02:54:30, 76, SRV.IP.ADDR.ES, client-username, 230 User client-username logged
02:54:31, 76, SRV.IP.ADDR.ES, client-username, FEAT
02:54:31, 76, SRV.IP.ADDR.ES, client-username, 211-Extensions supported:
02:54:31, 76, SRV.IP.ADDR.ES, client-username, AUTH TLS
02:54:31, 76, SRV.IP.ADDR.ES, client-username, CCC
02:54:31, 76, SRV.IP.ADDR.ES, client-username, CLNT
02:54:31, 76, SRV.IP.ADDR.ES, client-username, CPSV
02:54:31, 76, SRV.IP.ADDR.ES, client-username, EPRT
02:54:31, 76, SRV.IP.ADDR.ES, client-username, EPSV
02:54:31, 76, SRV.IP.ADDR.ES, client-username, MDTM
02:54:31, 76, SRV.IP.ADDR.ES, client-username, MFCT
02:54:31, 76, SRV.IP.ADDR.ES, client-username, MFMT
02:54:31, 76, SRV.IP.ADDR.ES, client-username, MLST type*;size*;create;modify*;
02:54:31, 76, SRV.IP.ADDR.ES, client-username, MODE Z
02:54:31, 76, SRV.IP.ADDR.ES, client-username, PASV
02:54:31, 76, SRV.IP.ADDR.ES, client-username, PBSZ
02:54:31, 76, SRV.IP.ADDR.ES, client-username, PROT
02:54:31, 76, SRV.IP.ADDR.ES, client-username, REST STREAM
02:54:31, 76, SRV.IP.ADDR.ES, client-username, SBUF
02:54:31, 76, SRV.IP.ADDR.ES, client-username, SIZE
02:54:31, 76, SRV.IP.ADDR.ES, client-username, SSCN
02:54:31, 76, SRV.IP.ADDR.ES, client-username, TVFS
02:54:31, 76, SRV.IP.ADDR.ES, client-username, UTF8
02:54:31, 76, SRV.IP.ADDR.ES, client-username, XCRC "filename" SP EP
02:54:31, 76, SRV.IP.ADDR.ES, client-username, XMD5 "filename" SP EP
02:54:31, 76, SRV.IP.ADDR.ES, client-username, XSHA1 "filename" SP EP
02:54:31, 76, SRV.IP.ADDR.ES, client-username, 211 End.
02:54:31, 76, SRV.IP.ADDR.ES, client-username, PBSZ 0
02:54:31, 76, SRV.IP.ADDR.ES, client-username, 200 PBSZ=0
02:54:31, 76, SRV.IP.ADDR.ES, client-username, PROT P
02:54:31, 76, SRV.IP.ADDR.ES, client-username, 200 PROT command successful.
02:54:31, 76, SRV.IP.ADDR.ES, client-username, OPTS UTF8 ON
02:54:31, 76, SRV.IP.ADDR.ES, client-username, 200 UTF8 OPTS ON
02:54:31, 76, SRV.IP.ADDR.ES, client-username, CWD /
02:54:31, 76, SRV.IP.ADDR.ES, client-username, смена директории "/" --> Доступ разрешён.
02:54:31, 76, SRV.IP.ADDR.ES, client-username, 250 CWD command successful. "/" — текущая директория.
02:54:31, 76, SRV.IP.ADDR.ES, client-username, TYPE A
02:54:31, 76, SRV.IP.ADDR.ES, client-username, 200 Type set to A.
02:54:31, 76, SRV.IP.ADDR.ES, client-username, MODE Z
02:54:31, 76, SRV.IP.ADDR.ES, client-username, 200 Mode Z ok.
02:54:32, 76, SRV.IP.ADDR.ES, client-username, PORT 10,0,0,43,202,73
02:54:32, 76, SRV.IP.ADDR.ES, client-username, 200 Port command successful.
02:54:32, 76, SRV.IP.ADDR.ES, client-username, MLSD
02:54:53, 76, SRV.IP.ADDR.ES, client-username, 425 Cannot open data connection.
02:54:53, 76, SRV.IP.ADDR.ES, client-username, PASV
02:54:53, 76, SRV.IP.ADDR.ES, client-username, 227 Entering Passive Mode (SRV,IP,ADDR,ES,31,114)

Настройки файрвола сейчас очень простые, разрешены только RELATED и ESTABLISHED соединения (в обеих цепочках - IN и FW). Падений нет. И две стандартные defconf-правила: passthrough и fasttrack. Это всё. Помогите, пожалуйста, составить правило для файрвола, которое позволит такие соединения.
01.05.2023 10:06:00, EIKA.

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1

Thu, 04 Mar 2021 10:30:00 -0500

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1 RouterOS в форуме RouterOS.
Привет. Я полный новичок в этом... не мог бы ты мне помочь? У меня роутер/шлюз от оператора связи, и после него стоит Mikrotik HPA lite (с другой сетевой подсетью, отличной от подсети оператора, с фиксированным IP, который выдал роутер оператора). К сети Mikrotik подключён Seagate Central (сетевой диск) с FTP-сервером, и я хотел бы подключаться к нему из вне дома.

У меня на роутере оператора активирован динамический DNS (no-ip), и я включил DMZ на фиксированный IP Mikrotik. Также на роутере оператора открыт внешний порт 10100 для доступа к FTP. В Mikrotik сделан редирект порта 10100 на IP моего диска на порт 21.

Внутри дома FTP работает без проблем, но когда пытаюсь подключиться извне, получаю ошибку: «server sent passive reply with unroutable address, using host address instead. Transfer channel can’t be opened. Reason: No connection could be made because the target machine actively refused it. Could not retrieve directory listing» при использовании FTP-клиента WinSCP без шифрования.

Можно ли это как-то обойти? Не мог бы ты написать правила IP-фильтра, чтобы это заработало (winbox)? Был бы очень признателен. Спасибо!
04.03.2021 10:30:00, Saint.

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1

Fri, 22 Jun 2018 14:42:00 -0400

Правила IP / Настройка NAT для FTP — RouterOS v6.30.1 RouterOS в форуме RouterOS.
Доброе утро! Надеюсь, вы сможете помочь с этой очень раздражающей проблемой. Я пытаюсь настроить FTP-сервер на нашем внутреннем сервере через Filezilla. В настройках Filezilla я использую порт для прослушивания 21, а в пассивном режиме — диапазон портов 980–990. Правила брандмауэра Windows уже настроены для разрешения входящего и исходящего трафика по этим FTP-портам.

Стоит отметить, что у меня есть другая программная система, которая использует API и работает через порт 3691 TCP/UDP. Этот порт я успешно открыл, и API работает без проблем.

Когда пытаюсь повторить тот же процесс для FTP-сервера, не могу открыть порт. Кто-нибудь может помочь разобраться с правильной процедурой?

Вот последняя настройка, которую я сделал на сервере Mikrotik (читал ваши форумы и смотрел видео, попробовал несколько вариантов):
Вошёл в роутер и зашёл в IP > Firewall > вкладка Nat, сверху добавил новое правило NAT.
а) Chain = dstnat
б) Protocol = (6) tcp
в) In.Interface = ether1-gateway (я не вижу опции WAN, и я не тот айтишник, который настраивал сеть изначально. Насколько я понимаю, в этом неудобном интерфейсе Mikrotik тот айтишник сделал бридж-соединения)
г) action = dst-nat
д) To Address = 10.1.10.120
е) To Ports = 980

Буду очень признателен за любые советы! Спасибо!
22.06.2018 14:42:00, Hialeahjoe.