Lancom 1811 nach Update auf 7.22 Fehler beim Zugriff auf FTP

[RalphT]

Hallo,

nachdem ich das Update auf die Firmware 7.22 durchgeführt habe, funktioniert der Zugriff von außerhalb auf einen FTP-Server nicht mehr richtig. Ich habe in diesem Router mehrer Portforwardings in der Tabelle eingetragen. Hier sind beispielsweise Port 80 und einige Ports zur Fernwartung eingetragen.
Alle diese Dienste funktionieren noch einwandfrei. Nur Port 21 macht Probleme.

Dieser Fehler äußert sich wie Folgt:
Mit WS FTP greife ich auf den FTP-Server zu. Als Fehlermeldung kommt beim WS FTP "550 Permission denied". Machmal lässt sich sogar noch eine Datei hochschaufeln. Dauert dann aber sehr lange.

Intern im Netz funktioniert der Zugriff auf diesen FTP-Server. Habe auch schon mal einen anderen Rechner als FTP-Server eingebunden, aber ohne Erfolg.

In der Port-Forwarding-Tabelle habe ich nach dem Update nichts verändert.

Wo könnte hier der Fehler liegen?

[backslash]

Hi RalphT

"550 Permission denied" ist eine Meldung des Servers, die wohl kaum ihre Ursache im Update der Router-Firmware hat.

Es sei denn du machst Dinge wie Site-To-Site-Trafsfers (z.B. FlashFXP), dann gibt es seit der 7.00 in der Firewall einige Beschränkugnen. Leider werden die entsprechenden Konfigurationspunkte nicht von LANconfig unterstützt, und du mußt es über Telnet oder die Experten-konfiguration der WEBconfig konfigurieren.

unter /Setup/IP-Router/Firewall gibt es das Menü "Applications", in dem für FTP und IRC spezielle einstellungen gemacht werden können:

Code: Alles auswählen

FTP-Block         VALUE:   off
Active-FTP-Block  VALUE:   off
Min-Port          VALUE:   1024
Check-Host-IP     VALUE:   default-route
FXP-Block         VALUE:   default-route

Hier könnten für dich Check-Host-IP und FXP-Block interressant sein.

Check-Host-IP prüft ob die in einem PORT-Kommando oder einen PASV-Response übermittelte IP-Adresse gleich der Absenderadresse des Pakets ist und schließt ggf. die Session

FXP-Block prüft ob ein Site-To-Site-Transfer initiiert werden soll und schließt ggf. die Session.

möglich Werte für die beiden Punkte sind

Code: Alles auswählen

off (0), allways (1), WAN (2), default-route (3)

für IRC gibt es entsprechend ein paar Einstellungen:

Code: Alles auswählen

IRC-Block      VALUE:   off
DDC-Block      VALUE:   off
Min-Port       VALUE:   1024
Check-Host-IP  VALUE:   default-route

Gruß
Backslash

[RalphT]

Hallo Backslsh,

nein das war es leider nicht. Habe erst einmal die Werte "aus" gesetzt.

Mit FTP lade ich nur Dateien auf den Server, bzw herunter. Hier macht er noch nicht einmal den Befehl "List". Da kommt schon die Meldung 550. Den Befehl List macht der FTP-Client ja gleich nach dem Anmelden. Gebe ich z.B. ein falsches Passwort für den Nutzer ein, dann gibt es die Meldung 530 "not logged in".

Vielleicht hilft ja der Log vom FTP-Client weiter. Hier mal der Mitschitt nur nach dem Anmelden:

Host meinname.dyndns.org wird gesucht...
Connecting to 82.228.194.46:21
Connected to 82.228.194.46:21 in 0.046, Waiting for Server Response
220 Serv-U FTP Server v6.0 for WinSock ready...
Host type (1): Serv-U
USER heino
331 User name okay, need password.
PASS (hidden)
230 User logged in, proceed.
Host type (I): Serv-U
FEAT
211-Extension supported
CLNT
MDTM
MDTM YYYYMMDDHHMMSS[+-TZ];filename
SIZE
SITE PSWD;EXEC;SET;INDEX;ZONE;CHMOD;MSG
REST STREAM
XCRC filename;start;end
MODE Z
211 End
PWD
257 "/e:/ftp/user/heino" is current directory.
TYPE A
200 Type set to A.
PASV
227 Entering Passive Mode (192,168,2,239,199,125)
connecting data channel to 192.168.2.239:51069
Substituting connection address 80.228.195.44 for private address 192.168.2.239 from PASV
connection refused; the server would not accept an FTP connection.
PORT 192,168,2,174,12,170
200 PORT Command successful.
LIST
550 Permission denied.

[backslash]

Hi RalphT

also das hier ist erstmal sehr ungewöhnlich:

PASV
227 Entering Passive Mode (192,168,2,239,199,125)
connecting data channel to 192.168.2.239:51069
Substituting connection address 80.228.195.44 for private address 192.168.2.239 from PASV

In der Antwort auf das PASV hätte die öffentliche IP-Adresse des Servers stehen müssen, also die 82.228.194.46 und nicht 192.168.2.239. Als nächstes wundert mich die Umsetzung dieser Adresse in die 80.228.195.44 - was vermutlich deine eigene WAN-Adresse ist. Es ist klar, daß diese Verbindung abgewiesen wird (connection refused; the server would not accept an FTP connection), da du selbst ja nicht auf die Verbindung wartest... Das hat aber nichts mit dem LANCOM zu tun.

NAT-Helper-Tools sind immer mit Vorsicht zu geniessen und sollten meiner Meinung nach möglichst deaktiviert werden, weil sie mehr schaden als nutzen - insbesondere hat ein NAT-Helper nicht in die Antwort auf ein PASV-Kommando einzugreifen)

Danach versucht der Client aktives FTP, indem er eine Verbindung an die 192.168.2.174 (vermutlich die lokale Adresse deines Clients) auf Port 3242 anfordert (wieso greift hier eigentlich das NAT-Helper Tool nicht ein und trägt die WAN-Adresse in das PORT-Kommando ein - egal, das wird ja vom LANCOM umgesetzt)

Danach kommt das LIST-Kommando und sofort die Ablehnung des Servers. Da solltest du mal in das Log des Servers schauen, warum er das abgelehnt hat...

Für mich sieht das einerseits nach einem Problem mit einem NAT-Helper-Tool und andererseits nach einem Konfigurationsproblem des FTP-Servers aus...

Gruß
Backslash