ولې د FTP لیستونه د VPN ګیټوې په شا کې ځوړند پاتې کیږي چې NAT کوي
ننوتل او PWD بریالي کیږي، خو کله چې NAT یوازې سرلیکونه بیا لیکي LIST او RETR ودروي. وګورئ چې د FTP مرستندوی چېرته باید وي او غیر فعال حالت څنګه سم شي.
ننوتل کار کوي، PWD کار کوي، او بیا LIST ځوړند پاتې کیږي ترڅو چې کلاینټ تسلیم شي یا بل ډیټا حالت ته لاړ شي۔ دا جلاوالی هماغه نښه ده: پورټ 21 ته کنټرول اړیکه روغه ده، خو د ډیټا اړیکه له هغه پتې یا پورټ څخه جوړیږي چې بل لوري ته رسیدلی نشي۔ د هغه VPN ګیټوې شاته چې پخپله هم NAT کوي، معمول مجرم هغه FTP کمانډ دی چې په خپل پیلوډ کې د 10.8.0.6 په څیر تونل پته نوموي۔ د سرلیکونو ژباړه هېڅکله هغه ارزښت ته لاس نه ورکوي۔
بیا دا راځي چې هغه ارزښت له کومه ځایه راځي، او کوم بکس اجازه لري چې هغه بدل کړي۔
ماتېدونکی پیلوډ دی، نه تونل
FTP د ډیټا پای نقطه د کنټرول بهیر دننه ږدي۔ په فعال حالت کې کلاینټ PORT د خپلې پتې او پورټ سره لیږي، او سرور هغه جوړه ته بیرته زنګ وهي۔ په غیر فعال حالت کې سرور د یوې جوړې سره 227 ځواب ورکوي، او کلاینټ د هغې پر ځای هماغه ته زنګ وهي۔
دواړه بڼې یو ډول بیان لري: دې پتې ته، په دې پورټ کې وصل شې۔ هغه وسیله چې یوازې د IP او TCP سرلیکونه بیا لیکي، بیان لاس نه ورکوي، نو یو لوری هڅه کوي هغه پتې ته ورسیږي چې یوازې د تونل بل لوري ته شته۔ د ډیټا اړیکه وروسته له هغې ودروي چې کنټرول اړیکه لا دمخه روغه اعلان شوې وي۔
درې حالتونه، درې پیلوډونه
لاندې جدول ښیي چې کوم لوري ته د زنګ وهلو امر کیږي، او هغه NAT چې یوازې سرلیکونه بیا لیکي په دې اړه څه کولی شي۔
وروستی کالم د هغه څه په توګه ولولئ چې لومړی ناکام کیږي۔ په فعال حالت کې شخصي پتې ته زنګ سرور وهی، په غیر فعال حالت کې کلاینټ، او په FTPS کې پیلوډ کوډ شوی متن دی او منځني بکس لپاره د کار کولو څیز لا کم دی۔
| Mode | Value in the control stream | Who dials whom | Header-only NAT leaves |
|---|---|---|---|
| Active (PORT) | client address and port | server dials the client | a server dialing an unreachable tunnel address |
| Passive (227) | server address and port | client dials the server | a client dialing an address it cannot route to |
| FTPS | the same values, inside TLS | as above | ciphertext, so no rewrite happens at all |
مرستندوی چېرته کېږده چې ژباړه ترسره کیږي
په لینکس کې د پیلوډ بیا لیکل د nf_conntrack_ftp مرستندوی لخوا کیږي۔ هغه کنټرول اړیکه ګوري، هغه پورټ زده کوي چې پرې خبرې شوې، د ډیټا بهیر لپاره تمه جوړوي، او په NAT بکس کې د پیلوډ دننه پته او پورټ بیا لیکي۔ هغه یوازې په هغه وسیله مرسته کوي چې د کلاینټ پته ژباړي۔ د هغه په کلاینټ یا په هغه روټر چې یوازې بهیر مخته لیږي، لوډول په غونډه کې هېڅ نه بدلوي۔
دا درې کمانډونه ښیي چې ماډل شته، نښلول شوی، او د غونډې پر مهال تمه شته که نه:
modprobe nf_conntrack_ftp
lsmod | grep nf_conntrack_ftp
conntrack -L expect | grep ftpماډل لوډول د هغه نښلولو سره سم نه دي۔ له 4.7 راهیسې کرنلونه د net.netfilter.nf_conntrack_helper=0 سره راځي، نو مرستندوی څرګند قاعده ته انتظار کوي، لکه iptables -t raw -A PREROUTING -p tcp --dport 21 -j CT --helper ftp۔ که د لیږد د هڅې پر مهال د تمو لیست خالي پاتې شي، نو نښلول باید وګورل شي، نه ماډل۔
غیر فعال حالت: سرور ته ووایه چې څه اعلان کړي
غیر فعال حالت اسانه دی چې ټاکل شوی شي، ځکه سرور ته کیدای شي وویل شي چې په 227 ځواب کې څه ږدي۔ په vsftpd کې هغه pasv_address دی، د pasv_min_port او pasv_max_port سره; ProFTPD د MasqueradeAddress او PassivePorts کاروي۔ دا لومړی تنظیم کړه، ځکه سم اعلان شوې پته په هغه لوري کې د هر څه بیا لیکلو اړتیا لرې کوي۔
بیا هماغه پورټ حد د ګیټوې له لارې تیر کړه، لکه -A FORWARD -i tun0 -p tcp --dport 30000:30100 -j ACCEPT، ترڅو قاعده د سرور د اعلان سره سمه وي۔
دواړه تنظیمات باید یو شان وي۔ هغه سرور چې 30000-30100 اعلانولو ته ویل شوی، خو ګیټوې 40000-40100 ته اجازه ورکوي، په تر ټولو بې ګټې ډول ناکام کیږي: کنټرول خبرې روغې ښکاري او هر ډیټا اړیکه مړه کیږي۔ د بل هر څه ډیبګ کولو دمخه شمېرې پرتله کړه۔
د ناکامۍ دوه نښې، او FTPS څه لرې کوي
په LIST ځوړند پاتې کیدل د غونډې لومړنۍ ډیټا اړیکې ته اشاره کوي، چېرته چې د پتې بیا لیکل او تمه دواړه باید کار وکړي۔ د کار کوونکي LIST وروسته په RETR ځوړند پاتې کیدل پخپله لیږد ته اشاره کوي، یعنې غیر فعال حد یا د تونل MTU۔ هغه دوهمه نښه د پیلوډ ستونزه نه ده، او د مرستندوی تنظیمات به یې سم نه کړي۔
د TLS پر سر FTP هغه پیلوډ لرې کوي چې مرستندوی یې لولي۔ منځنی بکس نه شي کولی هغه PORT یا PASV ارزښت بیا ولیکي چې هغه یې نه شي کولی ډیکریپټ کړي، نو پاتې انتخابونه: هغه پروکسي چې TLS پای ته رسوي، هغه سرور چې په محدود حد کې د رسیدو وړ پته اعلانوي، یا بل لیږد پروتوکول۔
د کتنو لنډ ترتیب
له نښې بهر ته کار وکړه۔ تایید کړه چې PWD بریالي کیږي او LIST ناکام کیږي، د PORT یا 227 پیلوډ دننه پته ونیسه، او وپوښته چې کومه وسیله هغه پته ژباړي۔ هلته مرستندوی ونښلو، د یو لیږد پر مهال د تمو لیست وګوره، بیا په سرور کې غیر فعال حالت سم کړه او حد په ګیټوې قاعده کې انځور کړه۔
د ډیټا لارې ناکامي له پراخه لیږد ناکامۍ جلا وساته، ځکه دوی تاسو بیلابیلو تنظیماتو ته بیایي۔