Serwer FTP udostępniony na zewnątrz sieci lokalnej [Funbox 3.0]

[siecpajakaleona]

Witajcie!

Mam prostą sieć lokalną (około 15 urządzeń) oraz Funbox 3.0. Na jednym z komputerów postawiłem serwer FTP (za pomocą usługi wbudowanej w WIN10). Ftp jest odnajdywalny z sieci lokalnej za pomocą wpisania w przeglądarkę ftp://192.168.1.170:21. Niestety poległem przy udostępnianiu go na zewnątrz sieci.

W FB 3.0 ustawiłem przekierowanie portu 21 dla tego konkretnego IP, obniżyłem zaporę na "niski" i teraz -  albo źle "wywołuje" ten serwer z poza sieci, albo po prostu to nie działa.

wpisuję: (zewnIP):21 - nie działa, ftp://zewnetrzneip:21 - nie działa, ftp://zwnetrzneip nie działa... 

jak wpisałem IPlokalne na którym stoi usługa w DMZ - również po wpisaniu zewnIP do przeglądarki nic się nie dzieje. 

Czy Orange ogólnie nie wpuszcza z zewnątrz czy ja coś robię nie tak?

[pirenej]

uhhh, dużo by wyjaśniać...najlepiej odpuść i użyj czegoś innego. Np. sftp.

Oprócz portu 21, który jest portem do zarządzania sesją połączenia, potrzebny jest również dostęp do portu przeznaczonego do transferu danych (czyli komend takich jak ls, put, get). Połączenie na tym porcie jest otwierane w trakcie sesji, gdy jest potrzebne, ale sposób wyznaczenia numeru tego portu i otwarcia połączenia, zależny od trybu pracy, jednego z dwóch: aktywnego lub pasywnego. W trybie aktywnym serwer przekazuje klientowi numer portu, otwiera połączenie, po czym klient może nawiązać połączenie i wymienić dane z serwerem. Powinno to działać dla serwera za NATem, bo to serwer otwiera połączenie. Ale może nie działać dla klienta, za jego NATem, no bo przecież NAT klienta nie dopuści połączenia z zewnątrz. Dla takich sytuacji powstał tryb pasywny, w którym to klient wyznacza port dla danych i otwiera połączenie do serwera. Tyle że, z kolei, analogicznie, teraz NAT serwera nie dopuści tego połączenia. Jak więc widzisz, oprócz podstawowej podatności samego protokołu FTP urągającej dzisiejszym zasadom bezpieczeństwa, również zapewnienie dostępności serwera FTP na zewnątrz zmusza do czynienia kolejnych wyrw w firewallu. Najlepiej więc odpuść, jak nadmieniłem na wstępie.

https://pl.wikipedia.org/wiki/Protok%C3%B3%C5%82_transferu_plik%C3%B3w

https://en.wikipedia.org/wiki/File_Transfer_Protocol#NAT_and_firewall_traversal

https://en.wikipedia.org/wiki/File_Transfer_Protocol#Security

[pirenej]

... jeszcze dodam (moderację proszę o niescalanie wpisu), że tak, protokół FTP, mimo swojej archaiczności, nadal jest szeroko*) stosowany, ale zwykle nie w sposób czyniący własną sieć miejscem publicznym. Jeżeli Twój zamiar udostępnienia zasobów poprzez FTP jest poważny, wykup usługę VPS tylko do tego celu i tam "postaw swój serwer".

--

*) ale to się prawdopodobnie rychło zmieni, wraz z usuwaniem z przeglądarek obsługi protokołu ftp.

[siecpajakaleona]

Dzięki serdeczne za wyczerpującą odpowiedź.

Mam jeszcze jedno, bardziej ogólne pytanie. Czy w takim razie, idąc tym tokiem rozumowania, jak kupię sobie jakiegoś domowego NASa to nie będę miał możliwości sobie do niego zajrzeć z firmy, tzn. z innej sieci? Serio pytam bo zastanawia mnie to czy coś mogę poradzić aby móc mieć dostęp do swoich danych będąc na wyjazdach na przykład. Czy może mając Orange + Funbox 3.0 wogóle nie będzie możliwości.

dziękuję

[agat13]

@siecpajakaleonaPytrałem mądrzejszego i możesz kupić NAS Synology lub Qnap i tam w opcji jest połączenie Via serwer producenta z urządzeniem zdalnym (czytaj: dyskiem dołączonym za FB). Jest to bezpieczne i za pomocą oprogramowania możesz widzieć ten dysk jako dodatkowy w kompie.

Możesz również skorzystać z dynDNS (na tych dyskach jako opcja ) i łączyć się po nazwie...

[siecpajakaleona]

@agat13 to byłoby rozwiązanie. Aczkolwiek miałem na myśli własnie bardziej zmapowanie sobie NASa w drugim komputerze który by łączył się tym NASem zza sieci domowej. Rozumiem, że tak też się da?

Czyli w domu stoi NAS, po drodze ma Funbox'a od Orange, na drugim końcu Polski jestem ja 🙂 drugim PC i tam mam zamapowany NAS jako dysk. Jest może gdzieś na sieci (YT np.) jakiś tutek do tego jak ktoś takie coś ogarnia?

dzięki

[pirenej]

NASy tzw. "chmurowe" umożliwiają dostęp w sposób inny niż przez FTP. Prawdopodobnie jest to dobry wybór, choć i tu zastrzeżenia do bezpieczeństwa jakieś mogą być. Wyszukaj np. wg klucza "wd nas cloud".

Rozwiązaniem innym, niewymagającym inwestycji i nieuzależniającym od usługi producenta NASa, jest udostępnienie sobie domowego sewera przez ssh i użycie sftp, tak jak pisałem. Dla bardziej zaawansowanych potrzeb można posługiwać się tunelem - takim ad-hoc zestawianym VPNem poprzez ssh. Dla nieco większej pewności można użyć portu ssh innego niż standardowy. Tutaj lepiej czują się linuksowcy niż windowsowcy. Nie jestem pewien czy i jak skuteczne może być tu wsparcie "podsystemu Linux" w Windows 10.

https://www.google.pl/search?q=ssh+tunel+vpn

https://www.ssl.com/pl/jak/w%C5%82%C4%85cz-instalacj%C4%99-podsystemu-Linux-w-systemie-Ubuntu-Window...

[agat13]

@siecpajakaleona dokładnie tak i to NAS za Ciebie wszystko robi. Ty siedzisz na drugim końcu Polski i łącząc się nazwa, bądź przez soft producenta korzystasz z danych dysku w domu za FB. Tak to w uproszczeniu wygląda...znam to z opowiadań ludzi, którzy tak mają i o instrukcji " zrób to sam" nic nie wiem...podstawa jednak jest dobór sprzętu

[pirenej]

... mogę też podpowiedzieć: https://www.freenas.org/

[ketrasaArtur]

Dysk sieciowy z oprogramowaniem producenta bardzo fajnie się sprawuje. Uruchomiłem u siebie WD Caviar, ale poprzestałem ostatecznie na dostępie tylko wewnątrz sieci. Żonie bardziej przypadła do gustu Dropbox, pewnie z powodu synchronizacji danych.

Kiedyś bawiłem się serwerem FTP z dostępem na zewnątrz, ale po pewnym czasie od udostępnienia, zaczynał się generować duży ruch, więc uważam, że ze względów bezpieczeństwa albo wykupić usługę FTP na serwerze profesjonalnym, gdzie pilnują bezpieczeństwa, robią kopie zapasowe itp, albo skorzystać z chmury, a jeśli usilnie już udostępniać dane ze swojej sieci lokalnej, to zainwestować w dysk sieciowy.