Kein Upload zu FTP Server möglich

[FeuerHoden]

Hallo,

habe mir mit CesarFTP einen FTP Server eingerichtet, eine Verzeichnisstruktur erstellt, einen User angelegt und Rechte zugewiesen. So weit so gut, ich kann auf den FTP Server zugreifen, mich einloggen, und ein Testfile runterladen. Ich habe ein Verzeichnis angelegt bei dem der User Schreibrechte hat aber es gelingt mir nicht eine Datei hochzuladen.

Per AndFTP (Android) erhalte ich nur die Meldung 'Transfer failed'
Per CoreFTP (Windows) erhalte ich keine Meldung aber der FTP Server schießt das Control Fenster ab wodurch meine administrative Verbindung zum Server (lokal) gekillt wird, und übertragen wird die Datei auch nicht.

Log von Login bis Uploadversuch:
Fri 02 Nov 2012 [20:52:40] 000003 User connecting, IP:10.10.1.1
Fri 02 Nov 2012 [20:52:40] 000003 220 CesarFTP 0.99g Server Welcome !
Fri 02 Nov 2012 [20:52:40] 000003 USER Guest
Fri 02 Nov 2012 [20:52:40] 000003 User Guest connected, login : Guest
Fri 02 Nov 2012 [20:52:40] 000003 331 User login OK, waiting for password
Fri 02 Nov 2012 [20:52:40] 000003 PASS **********
Fri 02 Nov 2012 [20:52:40] 000003 User Guest logged in successfully
Fri 02 Nov 2012 [20:52:40] 000003 230-Quota credit: 100 Files
230 User password OK, CesarFTP server ready
Fri 02 Nov 2012 [20:52:40] 000003 PWD
Fri 02 Nov 2012 [20:52:40] 000003 257 "/"
Fri 02 Nov 2012 [20:52:40] 000003 NOOP
Fri 02 Nov 2012 [20:52:40] 000003 200 command successfully executed
Fri 02 Nov 2012 [20:52:40] 000003 CWD /
Fri 02 Nov 2012 [20:52:40] 000003 250 Directory change OK
Fri 02 Nov 2012 [20:52:40] 000003 SYST
Fri 02 Nov 2012 [20:52:40] 000003 215 Microsoft Windows
Fri 02 Nov 2012 [20:52:40] 000003 PASV
Fri 02 Nov 2012 [20:52:40] 000003 227 Entering Passiv Mode (10,10,1,33,8,5)
Fri 02 Nov 2012 [20:52:40] 000003 LIST
Fri 02 Nov 2012 [20:52:40] 000003 150 Data connection created for directory listing
Fri 02 Nov 2012 [20:52:40] 000003 226-Quota credit: 100 Files
226 Transfer successfully achieved
Fri 02 Nov 2012 [20:52:50] 000003 NOOP
Fri 02 Nov 2012 [20:52:50] 000003 200 command successfully executed
Fri 02 Nov 2012 [20:52:50] 000003 CWD /upload
Fri 02 Nov 2012 [20:52:50] 000003 250 Directory change OK
Fri 02 Nov 2012 [20:52:50] 000003 PASV
Fri 02 Nov 2012 [20:52:50] 000003 227 Entering Passiv Mode (10,10,1,33,8,6)
Fri 02 Nov 2012 [20:52:50] 000003 LIST
Fri 02 Nov 2012 [20:52:50] 000003 150 Data connection created for directory listing
Fri 02 Nov 2012 [20:52:50] 000003 226-Quota credit: 100 Files
226 Transfer successfully achieved
Fri 02 Nov 2012 [20:52:59] 000003 NOOP
Fri 02 Nov 2012 [20:52:59] 000003 200 command successfully executed
Fri 02 Nov 2012 [20:52:59] 000003 TYPE I
Fri 02 Nov 2012 [20:52:59] 000003 200 Type successfully set
Fri 02 Nov 2012 [20:52:59] 000003 CWD /upload
Fri 02 Nov 2012 [20:52:59] 000003 250 Directory change OK
Fri 02 Nov 2012 [20:52:59] 000003 PASV
Fri 02 Nov 2012 [20:52:59] 000003 227 Entering Passiv Mode (10,10,1,33,8,7)
Fri 02 Nov 2012 [20:52:59] 000003 STOR version_@mp3
Fri 02 Nov 2012 [20:52:59] 000003 550 "/upload/version_@mp3" File/Directory not found
Fri 02 Nov 2012 [20:52:59] 000003 PASV
Fri 02 Nov 2012 [20:52:59] 000003 227 Entering Passiv Mode (10,10,1,33,8,8)
Fri 02 Nov 2012 [20:52:59] 000003 STOR version_@mp3.1253887985078
Fri 02 Nov 2012 [20:52:59] 000003 550 "/upload/version_@mp3.1253887985078" File/Directory not found

Ich habe auch versucht einen Ordner zu erstellen aber auch das geht nicht.

Btw. der Server ist seit gestern ~14:00 online und heute morgen gegen 8:00 gab es den ersten Verbindungsversuch von einer russischen IP. Anonymous Login ist deaktiviert und ich habe die IP auf die Ban Liste gesetzt. Einen Login Versuch gab es nicht. Ich würde nun aber gerne gleich die komplette IP Range des Providers blockieren, CesarFTP selbst bietet aber nur die Möglichkeit einzelne IPs zu blockieren. Soll ich das nun über die Windows Firewall machen oder geht das gleich im Router?



MfG
FeuerHoden

[Sephiroth]

Ich habe ein Verzeichnis angelegt bei dem der User Schreibrechte hat aber es gelingt mir nicht eine Datei hochzuladen.
Werden in NTFS die Schreibrechte für den FTP-User auch gewährt?

Generell: Nimm lieber FileZilla-Server (http://filezilla-project.org/download.php?type=server) anstatt einer total veralteten FTP-Server Software wie CesarFTP.

[FeuerHoden]

Das Selbe in grün. Es geht aber wenn ich die Windows Firewall deaktiviere was natürlich kein Dauerzustand sein soll. Ich habe in der Firewall Port 21 für Filezilla freigegeben und 10 weitere Ports für den Passive Mode. Ich glaube dass es irgendwie am öffnen der Ports für den Passive Mode hapert, aber ich komme nicht drauf woran es liegt.

[FeuerHoden]

Habe mir das jetzt mal mit Netstat angesehen.

Ist die Firewall aus funktioniert der FTP tadellos und ich kann bei Netstat eine Verbindung auf einem der freigegebenen Ports sehen.
Ist die Firewall an wird keiner der in der Firewall freigegebenen Ports geöffnet und ich verstehe nicht warum.
Es sind definitiv die 10 Ports für den Passive Mode die in der Firewall freigegeben sind und mit aktivierter Firewall nicht aufgehen.

Habe nun auf Client Seite von Passive auf Active Mode gewechselt, da funktioniert alles auch mit aktivierter Firewall.

[PatkIllA]

Dass auf einem im Internet hängenden FTP Server (noch dazu auf dem Standardport) immer mal wieder zugegriffen wird ist normal. Da musst du sämtliche IPs sperren.
Dir ist bewusst, dass standardmäßig Daten, Benutzernamen und Passwörter im Klartext durch das Netz gehen?

[FeuerHoden]

Am liebsten würde ich ja gleich sämtliche IP Ranges sperren die keinem österreichischen Provider zuzuordnen sind da ich den Server eh nur für einen kleinen Personenkreis zur Verfügung stellen will.
Es ist mir bewusst das sehr vieles als Klartext durchs Netz geht, hätte mich die Sache mit den Passive Mode nicht so lange aufgehalten, hätte ich mich jetzt schon mit SSL und SSH befasst. Auch eine Uhrzeitbeschränkung wäre sinnvoll da ich den Server wochentags zwischen 00:00h und 18:00 bestimmt nicht benötigen würde.
Daneben will ich solche Dienste wie einen FTP oder einen Mailserver lieber in einer VM laufen lassen. Weitere exprimente werden folgen. ;)

Edit: btw. die russische IP ist im Web bereits als Spamversender bekannt. Also entweder ist das direkt ein Spammer oder der Server eines gehackten Opfers, ich habe jetzt mal die komplette IP Range des Providers gesperrt nachdem ich einen IP > CIDR Konverter gefunden habe. Ich werde aber zukünftig umgekehrt vorgehen, alle IPs sperren und die der österreichischen Provider in eine Whitelist eintragen.

[FeuerHoden]

Habe nun zwei User angelegt.

User1 verbindet sich ohne SSL
User verbindet sich per SSL

User1 kommt sowohl innerhalb des Netzwerks als auch von außen auf den FTP.
User2 kommt intern per SSL auf den FTP, von außen kommt keine Verbindung zustande, der Login funktioniert und es wird versucht einen data channel zu öffnen.

Meldung:
150 Opening data channel for directory list.
425 Can't open data connection.

Ich habe schon probiert sowohl die Windows Firewall als auch die vom Router komplett zu deaktivieren (gleichzeitig) und es kann trotzdem kein data channel geöffnet werden.



Edit: Was man an einem Tag nicht alles lernen kann ...
User1, kein SSL Aktive Mode (Passive Mode funktioniert nicht)
User2, SSL Passive Mode (Active Mode funktioniert nicht)

So funktioniert es jetzt mit beiden Usern.

[HeldImZelt]

Im Passivmodus musst du im Server angeben, welche Ports veräußert werden sollen. Also genau die Portrange, die du freigegeben hast. Ansonsten werden willkürlich Ports vergeben (1024-65534), was die Wahrscheinlichkeit einer erfolgreichen Verbindung bei deiner Konfiguration auf 1:6451 reduziert. :D

Ich würde auch nicht Port 21 nach außen hin öffnen, eher 54321->21(intern) oder so was in der Art. Zeitgemäßer wäre es, das mit OpenVPN oder SSH zu verkapseln, wenn der Router das kann.

[FeuerHoden]

Ja, eine kleine Port Range habe ich freigegeben und ich stoße so langsam aber immer mehr an die Grenzen des Routers. Ich seh mir jetzt mal an wie man selbst einen Router aufsetzt, dann hab ich Router, FTP und Mailserver in einem Gerät.
Und weils soviel Spaß macht probiere ich das alles dann unter Linux. :D

[HeldImZelt]

Die Portrange des Routers muss aber im FTP Server ebenfalls angegeben werden, sofern der Router kein FTP Masquerading macht, was man von den kleinen Volksroutern nicht erwarten sollte. Dabei snifft der Router die Control Verbindung (Port 21) und fängt die zwischen FTP Server/Client ausgehandelten Ports ab und leitet (temporär) entsprechend weiter. Bei der Methode auf dem Bild wird die Aushandlung eingeschränkt.
http://www.abload.de/img/filezilla-server-optiippyb.png