FTP-Zugang von außen funktioniert nicht, wo liegt der Fehler

    Hallo,


    wie die Überschrift schon vermuten lässt habe ich ein Problem: Der FTP(s)-Zugang von außen auf mein NAS funktioniert nicht.
    Zur genaueren Beschreibung des Problems:


    1. Physische Konfiguration


    DSL kommt bei mir über eine Fritzbox 7113 rein, aktuellste Firmware ist drauf. Daran hängt das NAS (TS-119) hinter zwei Netgear GS105 Switches.


    2. Einstellungen


    Zunächst zur Fritzbox: DynDNS ist eingerichtet und funktioniert auch soweit. Alle Geräte hier im lokalen Netz haben eine feste IP, DHCP der Fritzbox ist ausgeschaltet. In der Fritzbox hab ich (nachdem ich diesbezüglich hier im Forum schon ne Weile gesucht habe) folgende Ports auf das NAS weitergeleitet:


    TCP:
    - 20 -> 20 (auch mit 20 -> 1496 sowie 1496 -> 20 schon probiert)
    - 21 -> 21 (auch mit 21 -> 1496 sowie 1496 -> 21 schon probiert)
    - 989 -> 989
    - 990 -> 990
    - 1496 -> 1496
    - 55536-56559 -> 55536-56559


    UDP:
    - 989 -> 989
    - 990 -> 990


    Im NAS sind die Einstellungen wie folgt:
    FTP(s)-Dienst ist explizit über SSL/TLS aktiviert, Anschlussnummer 1496 (auch schon probiert mit "normalem" ftp). Unicode und Anonymer Zugriff sind aus. Bei den passiven Ports wurde der Standard-Bereich gewählt.
    Es existieren ein paar Network-Shares, vier davon sind für den Testuser zugänglich (hier dürfte aber eh net das Problem liegen), der Gastzugriff ist jeweils komplett verweigert und Netzlaufwerk verbergen steht auf JA.


    3. Zugang


    Zugang wird versucht über Total Commander 7.04, in Windows ist die Light-Version von OpenSSL installiert. Einstellungen für die FTP-Verbindung sind wie folgt:
    - Servername ist myname.dyndns.org:1496 (Ich möchte wenns geht bewusst nicht den Standard-Port nehmen, sondern eben etwas > 1000, das sollte ja schon mal ein paar Hacker abwehren die's eh nur auf den Standard-Ports versuchen); SSL/TLS Häkchen ist gesetzt.
    - Benutzername/Passwort halt entsprechend der Daten die im NAS der Testuser hat
    - entferntes/lokales Verzeichnis sowie Befehle bleiben leer
    - Servertyp automatisch
    - passiver und aktiver Modus beides schon probiert


    4. Bisherige Ergebnisse


    Zugang hab ich einmal hier von lokal im Netz versucht, sagt nicht viel aus, aber es geht, die für den User freigegebenen Shares sind da, Zugriff darauf ist entsprechend der Lese-/Schreib-Berechtigungen möglich.
    Zugang von außen ergab zunächst das Problem, dass die Verbindung zwar ging, der LIST-Befehl (also einlesen der Verzeichnisse) hing, ging nimmer weiter. Da war zunächst nur Port 1496 weitergeleitet. Mit der Freigabe der restlichen Ports (letzter Stand: 1496->1496, 20/21->20/21, 989/990->989/990 TCP&UDP, 55536-56559 -> 55536-56559) und der Einstellung der Verbindung auf aktiven Modus klappt anscheinend auch das LIST-Command, es werden aber die freigegebenen Verzeichnisse nicht angezeigt!



    Soweit bisher meine Versuche, ich komm aber hier einfach nimmer weiter. Welche Ports sind eigentlich absolut nötig, damit der Zugang über ftps funktioniert? Möchte natürlich so wenig wie möglich öffnen (gern auch zB nur ative Verbindung zulassen wenn dann die ganzen 5xxxx Ports zu bleiben können)... Woran kann es liegen dass einfach die Verzeichnisse nicht angezeigt werden? Wäre echt super wenn ihr mir weiterhelfen könntet!


    Gruß,
    Gerald

    Hi,


    nur als Idee auf die schnelle:


    häng mal an die Adresse, die du aufrufst, hinten noch einen Slash an "/", es gibt diverse Dinge auf dem NAs, die nur so funktionieren.


    Werden die Portweiterleitungen alle auf die IP des NAS weitergeleitet?

    werd ich mal probieren, danke


    und ja, portweiterleitungen alle auf die IP des NAS, hab ich alles inzwischen scho mehrfach überprüft :)


    was mich halt irritiert ist, dass es hier intern funktioniert (also auf meinem PC die _exakt_ gleiche FTP-Verbindung im Total Commander eingerichtet wie von extern bei meinem Bruder) und von außen halt nicht. Daher hatte ich als einigermaßener Laie vermutet, dass irgendwelche relevanten Ports net offen sind (Stichwort Control und Daten). Oder kann es auch an Einstellungen des PC's liegen, wie zB dass nicht automatisch nach Netzwerkfreigaben o.Ä. gesucht wird?

    Hallöle,


    ich will ja nicht den Oberlehrer raushängen lassen, daher nur als Denkanstoß die Postings und Sicherheit...



    Wenn Du die Möglichkeit hast, versuche von extern mittels ftp auf das NAS zu kommen.
    Damit meine ich an der Konsole (unter Windows auch Dosshell, Command.com, cdm.exe etc. genannt, und Linux von der Shell) eine Verbindung zu Deinem NAS aufzubauen

    Code
    >ftp IP_des_NAS bzw. 
>ftp dyndns_Name_des_NAS


    eingeben und bei der Rückfrage nach Nutzer/Passwort die geforderten Angaben eingeben. Wenn das klappt, liegts am FTP-Client, wenn nicht, entweder am Forwarding (was aber erstmal gut aussieht) oder an den Einstellungen des NAS.


    grüße
    Jody

    Hi,


    da kommt mir eine Gedanke: es kann sein dass dein Firewall die Aufrufe abfängt, wenn du den Zugriff testest - welche Ports sind denn da freigegeben?


    Mit etwas Mut machst du die Firewall einfach kurz aus und versuchst, den Aufruf nochmal zu machen... ansonsten gibt vielleicht die Ports mal in der Firewall frei.


    Das ganze dürfte einfacher gehen, wenn du erstmal checkst, ob alles beim Standardport per ftps funktioniert (21 statt 14xx) - wenn das geht, weisst du mehr als jetzt, dann kann man effektiver den Fehler suchen.

    So, bin gerade am rumprobieren, mit Port 21 und dem ftp befehl in der kommandozeile von xp und anschliessender auflistung mittels "dir" tauchen die verzeichnisse auf...
    was mir natürlich noch net viel bringt, da ich ftps und nen andern port nutzen will, aber das wird scho noch denk ich :)


    €dith sagt: Laut dieser Homepage gilt folgendes

    Zitat

    Dabei werden in den Standardeinstellungen TCP-Port 21 für die Befehle und TCP-Port 20 als Datenkanal (data channel) genutzt. Befindet sich der FTP-Client hinter einem NAT-Router oder einer Firewall, kommt die Verbindung nicht zustande. Für diesen Fall gibt es Passives FTP, bei dem der Client den Datenkanal initiiert. Beim passiven FTP wird ein Port höher 1023 verwendet.


    Heisst das ich kann gar kein aktives FTP nutzen, trotz Port-Weiterleitung (und was is überhaupt sinnvoller, passiv oder aktiv)???


    €dith 2 sagt: Hab mich nochmal etwas detaillierter informiert über den Unterschied zwischen aktivem/passivem FTP und passiv ist wohl zu bevorzugen vor allem für "kunden" die hinter einer firewall sitzen, welche die aktive Antworte meines FTP-Servers nicht durchließe. D.h. ich habe jetzt die Port-Weiterleitung 21 auf 21 fürs Aushandeln + den Bereich für die passive Übertragung weitergeleitet. Kurz hier noch die Nachfrage, muss es unbedingt Port 21 sein oder kann ich eben hier dann auch nen andern Port wählen der dann explizit gewählt werden muss? (Ich teste das zwar einfach mal, aber trotzdem :D )

    Hallöle,


    das Testen mittels Kommandozeile diente lediglich dem Feststellen ob grundsätzlich der Verbindungsaufbau auch von extern klappt,
    die weiteren Schritte wären gewesen, die Einstellungen des Routers und der Firewall (soweit man bei der MS-Wall davon ansatzweise sprechen kann)
    zu prüfen und ggf. anzupassen.


    Du kannst den Port 21 auf jeden anderen ändern, aber dabei solltest Du folgendes beachten:
    wenn Du den Port nur auf der F.Box änderst, musst du sagen wir von 2121 nach 21 forwarden.
    Besser ist es jedoch eine 1:1 Weiterleitung zu machen (der Übersichtlichkeit halber) und den entsprechenden Port auch auf dem NAS anzupassen.


    Grüße
    Jody

    Okay, so hatte ich es auch ursprünglich geplant (also sowohl im Router als auch im NAS nen Port größer 1024)
    Im Moment kann ich eh net groß weiter machen da die Testmöglichkeit von außen ihren Sonntagabend net am PC is :)
    Aber soweit ich das gecheckt hab brauch ich hier eh nix an ner Firewall machen sondern wenn, dann derjenige der von außen zugreift bzw. bei passiver Verbindung nicht mal das (zumindest net manuell, da poppt ja dann so ne schöne Meldung auf von wegen Verbindung nicht mehr blockieren etc.). Naja, morgen wird weiter geschaut, so superwichtig isses eh net, die Hauptaufgabe des NAS, sprich Speicher hier im Netz funktioniert wunderbar, wenn der Zugriff von außen klappt is nur ein selten gebrauchter Bonus und das krieg ich auch scho noch hin.
    Trotzdem soweit erst mal Danke, wenn noch mehr Fragen auftauchen meld ich mich wieder :)