FTP Commande PORT illégale

Notez tout d'abord que les deux commandes finales, PORT et PASV, n'ont rien à voir l'une avec l'autre. Ce sont deux indépendant tentatives de connexion (une pour le FTP actif, une pour le FTP passif).

La défaillance de votre PORT est donc attendue.

Le chemin PORT (le mode "FTP actif") consiste à ce que le client envoie sa propre adresse au serveur - le serveur se connecte en retour à vous pour le transfert de données.

D'après les journaux, votre ordinateur client se trouve derrière un NAT et possède une adresse IP "privée". C'est la seule adresse qu'il connaît, et c'est donc celle qu'il envoie avec la commande PORT.

Normalement, votre routeur reconnaît une connexion FTP et s'en sert comme d'une arme. éditer la commande PORT, remplaçant votre adresse privée par l'adresse publique du routeur. (Ou, si vous n'avez pas de chance, il la remplacera par une adresse vide).

Cependant, comme votre connexion de contrôle est maintenant cryptée à l'aide de TLS, le routeur ne peut pas effectue cette correction (il ne voit que des données cryptées), et le serveur reçoit exactement ce que votre client envoie : votre adresse privée.

Comme le serveur se trouve sur un autre réseau, il ne peut pas atteindre une adresse privée (c'est là tout l'intérêt de la NAT). Même s'il ne se donne pas la peine d'essayer - pour des raisons de sécurité, la plupart des serveurs refusent immédiatement toute adresse qui ne correspond pas exactement à l'endroit d'où provient la connexion de contrôle.

tl;dr Passez votre client FTP en mode passif. Oui, vos logs montrent que le mode passif (PASV) ne fonctionne pas non plus. Mais au moins, c'est en quelque sorte Il est possible d'y remédier si votre serveur dispose d'une adresse IP publique dédiée, ce qui n'est pas le cas du mode actif.

Qu'en est-il du PASV ? Le problème est similaire.

En général, le pare-feu de votre serveur espionne la connexion de contrôle FTP, extrait le port temporaire de la réponse "Entering passive mode (x,y,z )" et le marque comme appartenant à une connexion "RELATED". Votre règle n°004 l'autoriserait alors.

Cependant, iptables ne peut pas voir à travers TLS (tout ce qu'il voit, ce sont des données cryptées) et ne peut plus reconnaître vos connexions de données FTP comme étant liées. Votre connexion se heurte donc à la règle #999 et est abandonnée.

Pour que PASV fonctionne, vous devez configurer ProFTPd de manière à ce qu'il utilise un gamme de ports passifs (peu importe la plage exacte), et indiquer à iptables d'autoriser les connexions vers ces ports.

PORT 192,168,192,14,211,181

Cette commande signifie que le client écoute l'adresse IP 192.168.192.14 port 54197 pour la connexion de données du serveur. 192.168.*.* sont des adresses IP privées qui ne peuvent pas être acheminées sur l'internet. Cela signifie que cette adresse IP ne peut pas être atteinte à partir d'un serveur sur l'internet. C'est pourquoi le serveur considère que la commande PORT n'est pas valide.

Cela a fonctionné pour moi : Vous devez ajouter les lignes suivantes à vsftpd.conf . J'ai passé des jours à essayer de trouver cette réponse

listen=YES
#listen_ipv6=YES

Ci-dessous tous les éléments non commentés dans vsftpd.conf

listen=YES
anonymous_enable=NO
local_enable=YES
write_enable=YES
dirmessage_enable=YES
use_localtime=YES
xferlog_enable=YES
connect_from_port_20=YES
secure_chroot_dir=/var/run/vsftpd/empty
pam_service_name=vsftpd
rsa_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
rsa_private_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
ssl_enable=NO
pasv_enable=YES
pasv_min_port=1024
pasv_max_port=1048
port_enable=YES
pasv_address=PUT YOUR PUBLIC IP ADDRESS HERE (e.g. 18.236.105.3)