Logo GNT
Actualités Tests & Guides Bons Plans
Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11
Entraide Sécurité Sécurité Sécurité Firewall Checkpoint ... et FTP

Firewall Checkpoint ... et FTP

27 réponses
Avatar
Ascadix
B'soir tout le monde

J'ai un truc qui m'ennui, j'ai besoin de mettre en ligne un FTP, mais le FW
m'emm...

Coté FTP, un p'tit FileZilla, monté configuré .. il tourne nickel en LAN et
entre LAN .. et entre un LAN et la DMZ ( depuis un PC qui à full accés vers
la DMZ )

Par contre, dés qu'il s'agit de l'atteindre à travers le FW depuis internet
..ça cafouille en mode PASV.

- la connexion initiale : ok
- login / pwd : ok ( il n'y a pas d'accés anonymous )

et là ..
- en mode PORT ..ça marche, list, get put ...
- en mode PASV ..le client déconnecte *instantanément* aprés l'envoi de la
commande PASV, or si je regarde la console du serveur, celui-ci à bien
envoyé une réponse PASV avec des valeurs correctes


Je soupçonne fortement un pb dans la config du FW ( un Checkpoint NG )
..sauf que je séche
- il ya une régle ...
source = ANY --> cible = FTP --> service = FTP
et d'aprés la doc c'est censée être suffisant sur cette génération de FW.
j'ai quand même essayer d'ajouter une régle pour spécifier ma plage de port
pour le PASV ( 10 ..amplement suffisants, les même que configuré dans le
FileZilla) ..mais je cherche encore la nuance entre toutes les variantes de
FTP-xxx dans les options de type de protocol.
faut utiliser quoi ?

l'idée bien sur étant d'ouvrir le moins possible ... comme d'hab quoi :-)

Merci d'avance pour les infos, pistes, sugestions ..ou mieux ..solutions :-)


--
@+
Ascadix
adresse @mail valide, mais ajoutez "sesame" dans l'objet pour que ça arrive.
Signaler un problème avec ce contenu

7 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2 3
Avatar
Pascal Hambourg

Si ton serveur FileZilla supporte le mode passif étendu (avec la
commande EPSV dont la réponse ne contient que le port et pas
l'adresse, redondante) qu'est-ce que ça donne avec un client
supportant aussi le mode passif étendu ?


Rien vu coté EPSV, je vais fouiller un peu la doc, mais ça ne me dit
rien ( et surtout ..je risque fort d'avoir en face des vieux trucs et
surtout ..des personnes résolument non-informaticiens, donc j'ai besoin
d'un truc qui marche simplement. )


D'accord, c'était surtout histoire de tester du mode passif en
s'affranchissant de cette histoire d'adresse passée dans la réponse.
Mais à la réflexion, si le serveur supporte le mode passif étendu EPSV
(et éventuellement le mode actif étendu EPRT), il vaudrait mieux
vérifier que le firewall le supporte aussi, au cas où un utilisateur
aurait un logiciel client utilisant ce mode. On m'a déjà fait le coup
d'un serveur supportant EPSV/EPRT mais placé derrière un firewall qui ne
le supportait pas. Résultat des courses : mon client envoyait un EPSV,
le serveur répondait "OK vas-y", mais le firewall n'autorisait pas le
port spécifié comme il l'aurait fait en mode PASV.

Tu as écrit qu'un autre serveur FTP situé au même endroit n'a pas de
problème en mode passif, comment est-il configuré pour ce mode ?
Renvoie-t-il son adresse privée ou l'adresse publique ?


Mouaip, situé sur la même DMZ, avec une autre paire d'IP public/privée
Il n'est pas configuré, il fait ce qu'il veut, c'est un Proftpd sur un
linux, aucune config de déclarée pour le mode passif, d'aprés la doc il
ne devrait donc pas répondre aux PASV ..mais il y répond et le FW laisse
passser, les clients arrivent à se connecter dessus en PASV,


Pourquoi ne devrait-il pas répondre ? Peut-être que dans sa
configuration par défaut Proftpd accepte le mode passif, tout
simplement. Ce serait le contraire qui m'étonnerait.

j'ai pas vu
de log coté serveur, et coté client ça semble recevoir des réponses
contenants l'IP publique et un port du coté de 49000-50000


Donc le firewall-NAT modifierait l'adresse dans la réponse du serveur à
la volée. Cela ne m'étonne pas, dans la mesure où il examine le contenu
des commandes et les réponses.

..( forcement puisque mon FTP est en DMZ )



Vois pas trop le rapport entre DMZ et adresse privée.


ben ... mes machine en DMZ ont une adresse privée sur leur config, et je
translate au niveau du FW, je n'ai aucune machine posée avec une adresse
publique directement.


D'accord, mais que je sache DMZ n'implique pas forcément NAT, non ?

Oui, le serveur est sur une IP privée, je translate au niveau du FW.
Pour le serveur FTP, j'ai remplit la petite option permettant de lui
spécifier l'adresse IP publique à renvoyer dans les réponses à PASV,
justement dans le cas ou le serveur est deriere un NAT.


A mon avis c'est justement ce qui déplaît au firewall, et toujours à mon
avis ce n'était pas nécessaire avec un NAT "intelligent" qui sait
traiter le protocole FTP. Si le firewall sait examiner le contenu des
connexions de commande FTP et translater comme il faut les connexions de
données, alors il serait logique qu'il modifie lui-même le contenu des
réponses PASV.




Avatar
Ascadix
Nina Popravka viens de tapoter sur son clavier ....
<news:

On 03 Jun 2007 18:04:42 GMT, "Ascadix" wrote:

Qu'est-ce que ça donne si le serveur FileZilla est configuré pour
envoyer sa propre adresse privée au lieu de l'adresse publique ?
Bonne question ...je suis pas sur, j'ai pas trop essayer ça, il me

semble que le FW ne proteste pas, je uis vraiment pas sur.
Je vais refaire l'essai précis demain.
Je sais pas si Filezilla le fait (j'imagine que oui, mais je ne

l'utilise pas), mais Cerberus sait faire, ça j'en suis certaine, je
m'en sers.


Il peut le faire à priori oui, mais j'ai "betement" configuré tout de suite
l'IP publique à renvoyer dasn les réponses PASV provenant d'un réseau
extérieur ( en interne, il renvoit son IP privée ) .. donc je n'ai pas fais
de test en le laissant renvoyer son IP privée


--
@+
Ascadix
adresse @mail valide, mais ajoutez "sesame" dans l'objet pour que ça arrive.



Avatar
Ascadix
Pascal Hambourg viens de tapoter sur son clavier ....
<news:f3vajv$20bm$


Si ton serveur FileZilla supporte le mode passif étendu (avec la
commande EPSV dont la réponse ne contient que le port et pas
l'adresse, redondante) qu'est-ce que ça donne avec un client
supportant aussi le mode passif étendu ?


Rien vu coté EPSV, je vais fouiller un peu la doc, mais ça ne me dit
rien ( et surtout ..je risque fort d'avoir en face des vieux trucs et
surtout ..des personnes résolument non-informaticiens, donc j'ai
besoin d'un truc qui marche simplement. )


D'accord, c'était surtout histoire de tester du mode passif en
s'affranchissant de cette histoire d'adresse passée dans la réponse.
Mais à la réflexion, si le serveur supporte le mode passif étendu EPSV
(et éventuellement le mode actif étendu EPRT), il vaudrait mieux
vérifier que le firewall le supporte aussi, au cas où un utilisateur
aurait un logiciel client utilisant ce mode. On m'a déjà fait le coup
d'un serveur supportant EPSV/EPRT mais placé derrière un firewall qui
ne le supportait pas. Résultat des courses : mon client envoyait un
EPSV, le serveur répondait "OK vas-y", mais le firewall n'autorisait
pas le port spécifié comme il l'aurait fait en mode PASV.


Bon ..ben une vérification de + sur la liste de courses :-)

Tu as écrit qu'un autre serveur FTP situé au même endroit n'a pas de
problème en mode passif, comment est-il configuré pour ce mode ?
Renvoie-t-il son adresse privée ou l'adresse publique ?


Mouaip, situé sur la même DMZ, avec une autre paire d'IP
public/privée Il n'est pas configuré, il fait ce qu'il veut, c'est
un Proftpd sur un linux, aucune config de déclarée pour le mode
passif, d'aprés la doc il ne devrait donc pas répondre aux PASV
..mais il y répond et le FW laisse passser, les clients arrivent à
se connecter dessus en PASV,


Pourquoi ne devrait-il pas répondre ? Peut-être que dans sa
configuration par défaut Proftpd accepte le mode passif, tout
simplement. Ce serait le contraire qui m'étonnerait.


Comme avec toutes les docs du monde manchot, c'est un joyeux bordel pour y
trouver qqchsoe de net, mais à priori, la majorité des docs que j'ai lues
m'ont laissée l'idée qu'en théorie, si pas de config pour le mode passif,
pas de connections en passif.
évidement ..aucine précision de la version à laquelle ces docs s'appliques
..donc peut être que c'était des docs obsolétes de qq jours et que la
version que j'ai fait du passif même sans config.
D'autre part, je n'ai pas réussi à trouver ou que ce soit d'info sur la
plage de port utilisés par deafut pour le mode passif en l'absence de config
explicite.

j'ai pas vu
de log coté serveur, et coté client ça semble recevoir des réponses
contenants l'IP publique et un port du coté de 49000-50000


Donc le firewall-NAT modifierait l'adresse dans la réponse du serveur
à la volée. Cela ne m'étonne pas, dans la mesure où il examine le
contenu des commandes et les réponses.


Mouaip, j'ai pas trouvé de doc sur cette partie du comportement du FW ..donc
j'y vais à tatons.

..( forcement puisque mon FTP est en DMZ )



Vois pas trop le rapport entre DMZ et adresse privée.


ben ... mes machine en DMZ ont une adresse privée sur leur config,
et je translate au niveau du FW, je n'ai aucune machine posée avec
une adresse publique directement.


D'accord, mais que je sache DMZ n'implique pas forcément NAT, non ?


Non, pas forcement, mais là c'était le cas ..bien que je sais plus si je
l'avais énoncé clairement.

Oui, le serveur est sur une IP privée, je translate au niveau du FW.
Pour le serveur FTP, j'ai remplit la petite option permettant de lui
spécifier l'adresse IP publique à renvoyer dans les réponses à PASV,
justement dans le cas ou le serveur est deriere un NAT.


A mon avis c'est justement ce qui déplaît au firewall, et toujours à
mon avis ce n'était pas nécessaire avec un NAT "intelligent" qui sait
traiter le protocole FTP. Si le firewall sait examiner le contenu des
connexions de commande FTP et translater comme il faut les connexions
de données, alors il serait logique qu'il modifie lui-même le contenu
des réponses PASV.


Possible, mais comme c'est la premiere fois que je monte un FPT deriere ce
modéle/génération de FW, j'ai fait comme depuis une dizaien d'année ..j'ai
configuré le server FTP pour qu'il connaisse son IP publique et la renvoit
dans les réponses PASV.

La suite ..aprés le prochain test.


--
@+
Ascadix
adresse @mail valide, mais ajoutez "sesame" dans l'objet pour que ça arrive.





Avatar
Ascadix
Denis Cil viens de tapoter sur son clavier ....
<news:

Ascadix le 03 juin 2007 a déposé dans les nouilles:

Si ton serveur FileZilla supporte le mode passif étendu (avec la
commande EPSV dont la réponse ne contient que le port et pas
l'adresse, redondante) qu'est-ce que ça donne avec un client
supportant aussi le mode passif étendu ?


Rien vu coté EPSV, je vais fouiller un peu la doc, mais ça ne me dit
rien ( et surtout ..je risque fort d'avoir en face des vieux trucs et
surtout ..des personnes résolument non-informaticiens, donc j'ai
besoin d'un truc qui marche simplement. )


Aucun problème, je viens d'installer FileZilla à l'arrache, un test
sur g6ftpserver donne :



[ snip..]

EPSV
* Connect data stream passively

< 229 Entering Extended Passive Mode (|||1078|)
* Trying 81.198.246.192... connected
* Connecting to 81.198.246.192(81.198.246.192) port 1078

TYPE A
< 200 Type set to A


LIST
< 150 Connection accepted



Je vais fouiller dans la doc des clients par curiosité, mais vu que en face
je vias avoir des non-inforamticiens , il faudrais mieux que je puisse faire
marcher le PASV classique.


--
@+
Ascadix
adresse @mail valide, mais ajoutez "sesame" dans l'objet pour que ça arrive.



Avatar
Ascadix
Ascadix viens de tapoter sur son clavier ....
<news:465f1277$0$25908$




Exactement comme plusieurs sugestions/réponses commençait à y faire allusion
... le pb viens du fait que ce FW en fait "trop", et ne le documente pas de
façon claire.

Il ne faut pas que le server FTP renvoi son IP publique lors d'une réponse
PASV, mais réponde avec son IP privée, c'est le FW qui altére la trame à la
volée en fonction de ses propres info de NAT.

J'ai donc désactivé l'option indiquant au server FTP de répondre aux
commande PASV avec son IP publique, et tout marche.

merci à tous les participants

--
@+
Ascadix
adresse @mail valide, mais ajoutez "sesame" dans l'objet pour que ça arrive.



PS: ..le post original ..pour les curieux qui n'ont pas suivi le fil ...

B'soir tout le monde

J'ai un truc qui m'ennui, j'ai besoin de mettre en ligne un FTP, mais
le FW m'emm...

Coté FTP, un p'tit FileZilla, monté configuré .. il tourne nickel en
LAN et entre LAN .. et entre un LAN et la DMZ ( depuis un PC qui à
full accés vers la DMZ )

Par contre, dés qu'il s'agit de l'atteindre à travers le FW depuis
internet ..ça cafouille en mode PASV.

- la connexion initiale : ok
- login / pwd : ok ( il n'y a pas d'accés anonymous )

et là ..
- en mode PORT ..ça marche, list, get put ...
- en mode PASV ..le client déconnecte *instantanément* aprés l'envoi
de la commande PASV, or si je regarde la console du serveur, celui-ci
à bien envoyé une réponse PASV avec des valeurs correctes


Je soupçonne fortement un pb dans la config du FW ( un Checkpoint NG )
..sauf que je séche
- il ya une régle ...
source = ANY --> cible = FTP --> service = FTP
et d'aprés la doc c'est censée être suffisant sur cette génération de
FW. j'ai quand même essayer d'ajouter une régle pour spécifier ma
plage de port pour le PASV ( 10 ..amplement suffisants, les même que
configuré dans le FileZilla) ..mais je cherche encore la nuance
entre toutes les variantes de FTP-xxx dans les options de type de
protocol. faut utiliser quoi ?

l'idée bien sur étant d'ouvrir le moins possible ... comme d'hab quoi
:-)
Merci d'avance pour les infos, pistes, sugestions ..ou mieux
..solutions :-)


Avatar
Julien Salgado
Ascadix a écrit :
Il peut le faire à priori oui, mais j'ai "betement" configuré tout de suite
l'IP publique à renvoyer dasn les réponses PASV provenant d'un réseau
extérieur ( en interne, il renvoit son IP privée ) .. donc je n'ai pas fais
de test en le laissant renvoyer son IP privée


C'est sûrement là que doit se trouver le problème Checkpoint est capable
de faire proprement la translation d'addresse pour du FTP (ça été le
premier le premier firewall à le faire pour la petite histoire). Par
contre, il ne faut pas spécifier l'IP publique sur la configuration du
serveur.

Ce qui se passe lorsqu'on fait cela :
- le client envoie sa commande PASV ;
- le module d'analyse de Checkpoint commence un traitement en mode
passive ;
- le serveur reçoit la requête et répond avec une comme PORT contenant
l'IP _publique_ du serveur et un numéro de port, cette réponse est
dans un paquet IP ayant comme IP source l'IP _privée_ du serveur ;
- le firewall voyant arrivé une commande PORT en analyse la cohérence
(parce que SmartDefense est actif), comme l'IP source du paquet est
différente de l'IP donnée dans la commande PORT, le paquet est
considéré comme invalide.

Maintenant, ce type de vérification est bien fait pour se prémunir
d'attaque venant de serveur FTP qui ne sont pas sécurisés ou qui ne sont
pas dans une zone de confiance. En effet, avec un peu d'astuce il peut
être possible de faire ouvrir à un firewall qui fait du suivi FTP, des
port et des IP plus ou moins arbitraire et le nom de l'attaque est FTP
Bounce...

--
Julien

Avatar
Julien Salgado
Pascal Hambourg a écrit :
Si ton serveur FileZilla supporte le mode passif étendu (avec la
commande EPSV dont la réponse ne contient que le port et pas l'adresse,
redondante) qu'est-ce que ça donne avec un client supportant aussi le
mode passif étendu ?


Si c'est bien un firewall en NG, le mode étendu ne marchera pas... pas
contre je n'en suis pas certain pour les versions NGX (R60 et suivantes).

--
Julien

1 2 3