2

Я хочу между ftp сервером и клиентом разместить proxy хост, чтобы клиент не знал реальный адрес ftp сервера.

Протокол ftp с его пассивным режимом не дает просто так проксировать трафик. Нужен какой-то специальный ftp-прокси сервер, который будет перехватывать пакеты ftp-сервера и подменять в них адрес и порты для пассивного соединения.

Есть ли такой ftp прокси сервер?

У меня система debian, я пробовал установить и запустить ftp-proxy, но он не работает вообще. Всегда пишет:

Dec 22 04:32:42 host.local systemd[1]: Starting LSB: Launch ftp-proxy...
Dec 22 04:32:42 host.local ftp-proxy[6930]: Starting FTP-Proxy: ftp-proxydisabled. ... (warning).
Dec 22 04:32:42 host.local systemd[1]: Started LSB: Launch ftp-proxy.
4
  • Комментарии не предназначены для расширенной дискуссии; разговор перемещён в чат.
    – Grundy
    24 дек 2020 в 6:11
  • 1
    Почитал чат. Мне кажется, задача "чтобы не заддосили бэкенды" решается тупа и в лоб: берём FTP-сервер, к нему по NFS over OpenVPN монтируем ресурсы бэкендов — хоба!.. :)
    – user_587
    24 дек 2020 в 20:00
  • @AlexanderProkoshev правильно ли я вас понял: поднимаем ftp сервер на прокси хосте, и монтируем удаленные каталоги с backend хостов на прокси хост? если да, то идея неплохая. но тогда зачем vpn ставить?
    – gomin1d
    24 дек 2020 в 21:58
  • 1
    Ну потому что NFS-серверы могут быть на другом краю Земли, а NFS — это UDP (по классике если) со всеми вытекающими, да ещё и не шифруется (опять же, по классике). В общем, мне кажется, гораздо проще её пропустить через VPN, не заморачиваясь на TLS и проч, а на всех остальных интерфейсах рубить фаерволлом.
    – user_587
    24 дек 2020 в 22:11

2 ответа 2

1

Я для себя решил проблему так: проксирование трафика сделал через nat, а, чтобы пассивные соединения работали нормально, в конфиге ftp сервера proftpd указал параметр MasqueradeAddress.

Полная инструкция:

Подключаемся на хост, где будет расположен ftp сервер, устанавливаем ftp сервер proftpd:

apt install -y proftpd

Создаем конфиг /etc/proftpd/conf.d/local.conf с таким содержимым:

PassivePorts                  7010 7019
MasqueradeAddress             айпи_прокси_хоста

Где 7010 7019 - диапазон портов для пассивного режима, а айпи_прокси_хоста нужно заменить на айпи прокси хоста, можно использовать доменное имя.

Перезагружаем сервис proftpd:

service proftpd restart

Подключаемся на прокси хост и создаем правила для проксирования:

iptables -t nat -A PREROUTING -p tcp --dport 2121 -j DNAT --to-destination айпи_ftp_сервера:21
iptables -t nat -A PREROUTING -p tcp --dport 7010:7019 -j DNAT --to-destination айпи_ftp_сервера:7010-7019
iptables -t nat -A POSTROUTING -p tcp --dport 7010:7019 -j SNAT --to-source айпи_прокси_хоста
iptables -t nat -A POSTROUTING -p tcp --dport 21 -j SNAT --to-source айпи_прокси_хоста

Где айпи_ftp_сервера нужно заменить на айпи хоста с ftp сервером, а айпи_прокси_хоста нужно заменить на айпи прокси хоста.

Готово, так проксирование будет работать. Можно будет подключиться через прокси хост по айпи_прокси_хоста:2121 и соединение будет перенаправлено на айпи_ftp_сервера:21. Порты пассивного режима так же будут корректно проксироваться.

Адрес прокси хоста из параметра MasqueradeAddress будет отправляться ftp сервером для установки соединений пассивного режима, что полностью скроет реальный айпи ftp сервера от клиента.

Но у этого способа есть 2 минуса:

  1. С такой конфигурацией будет невозможно подключиться к ftp серверу напрямую. Подключение возможно будет только через прокси хост.
  2. Если прокси хост хочется использовать для проксирования для нескольких ftp серверов, придется для каждого из ftp серверов создавать уникальный диапазон портов для пассивного режима, чтобы они не пересекались в iptables nat правилах.

С ftp сервером vsftp тоже можно сделать так, там имеется настройка pasv_address, которая является альтернативой настройки MasqueradeAddress из proftpd.

5
  • Я бы на proftpd не стал свой фтп поднимать: opennet.ru/keywords/proftpd.html
    – don Rumata
    23 дек 2020 в 13:17
  • @donRumata а какой тогда сервер лучше? vsftp норм?
    – gomin1d
    24 дек 2020 в 0:19
  • Ну я лично на нём как раз и слушаю 21-й порт.
    – don Rumata
    24 дек 2020 в 11:22
  • Насколько я понимаю, эта конфигурация подразумевает, что proxy_host является default gw для ftp-сервера (а иначе DNAT не будет работать корректно)
    – user_587
    24 дек 2020 в 19:55
  • @AlexanderProkoshev мы имеете в виду, что хосты должны быть подключены по кабелю dafault gateway? у меня это не так, и все равно работает. у меня ftp хост и прокси хост даже не в общем датацентре. dnat умеет проксировать по внешним адресам, этим я уже давно пользуюсь
    – gomin1d
    24 дек 2020 в 21:51
1

Не хочешь попробовать Squid? Цитирую Вики программный пакет, реализующий функцию кэширующего прокси-сервера для протоколов HTTP, FTP, Gopher и (в случае соответствующих настроек) HTTPS. В настройках прописываешь что то вроде: acl Safe_ports port 21 # ftp acl CONNECT method CONNECT http_access deny !Safe_ports acl ftp proto FTP http_access allow ftp

Я хочу между ftp сервером и клиентом разместить proxy хост, чтобы клиент не знал реальный адрес ftp сервера.

Смотри справку по настройке Squid

1
  • как я понял, в squid это просто поддержка загрузки файлов на сайт через ftp. а мне нужен ftp отдельно от http
    – gomin1d
    24 дек 2020 в 4:01

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.