NAS und FTP Konfiguration Probleme

[xerex.exe]

Hallo zusammen,

ich habe ein Synology NAS DS216J und will von außen per FTP drauf zugreifen können.

Der Zugriff innerhalb des Heimnetzwerkes funktioniert problemlos. von außen kriege ich immer per Filezilla eine Zeitüberschreitung.

Status: Auflösen der IP-Adresse für xxx.synology.me
Status: Verbinde mit xx.xx.xx.xx:21...
Status: Verbindung hergestellt, warte auf Willkommensnachricht...
Antwort: 220 NAS FTP server ready.
Befehl: AUTH TLS
Antwort: 234 AUTH TLS command successful.
Status: Initialisiere TLS...
Status: Überprüfe Zertifikat...
Status: TLS-Verbindung hergestellt.
Befehl: USER xxx
Antwort: 331 Password required for xxx.
Befehl: PASS *********
Fehler: Zeitüberschreitung der Verbindung nach 20 Sekunden Inaktivität
Fehler: Herstellen der Verbindung zum Server fehlgeschlagen

Ich greife dabei über den synology.me DNS Dienst zu. Port 21,22 und 55536 - 55543 sind in der Fritzbox freigegeben. Das NAS hängt im Netzwerk am Wlanrepeater per Lan. Der Repeater ist im Meshnetzwerk integriegt.

Was mache ich gerade noch falsch? Ich komme leider nicht drauf und in der Hilfe von Synology finde ich auch nichts passendes.


Vielen Dank!



Wenn wir sowieso gerade dabei sind, ich habe relativ viele Logs mit User [anonymous] from [79.246.113.110] failed to log in via [FTP] due to authorization failure. Kann ich das irgendwie unterbinden? Ich weiss dass das versuche von Fremden sind sich bei mir einzuloggen.

 

[WingX]

FTP benötigt Port 21 und 20, SFTP Port 22. Was nutzt du? Wozu brauchst du die Ports über 55000?

 

[xerex.exe]

FTP benötigt Port 21 und 20, SFTP Port 22. Was nutzt du? Wozu brauchst du die Ports über 55000?

Wenn möglich wäre natürlich sftp mein Favorit. Aber ich wäre froh, wenn FTP erstmal funktioniert. so heikel sind die Daten dann auch wieder nicht. Die Ports wurden in einem anderen Forum als "Antwortports" für das FTP Protokoll betitelt. Sind im NAS auch als Standardports für den passiven FTP betitelt.

 

[Masamune2]

SFTP läuft über Port 22, und zwar ausschließlich darüber.
FTP(E)S läuft über Port 21 und im aktiven Modus Port 20 (den nutzt quasi niemand mehr, kannst du also ignorieren) und einen frei definierten Port über 1024, in deinem Fall dann 55536-55543.
Du hast also erst mal alles richtig gemacht, in dem Log ist auch zu sehen das du dich korrekt verbindest und die Verbindung mit TLS verschlüsselt wird, also alles gut so.

Warum die Verbindung nach dem Senden des PAssworts abbricht kann ich mir nicht erklären, eigentlich sollte danach der LIST Befehl kommen und dir den Verzeichnisinhalt anzeigen.
Sicher das das Passwort korrekt ist?

 

[xerex.exe]

SFTP läuft über Port 22, und zwar ausschließlich darüber.
FTP(E)S läuft über Port 21 und im aktiven Modus Port 20 (den nutzt quasi niemand mehr, kannst du also ignorieren) und einen frei definierten Port über 1024, in deinem Fall dann 55536-55543.
Du hast also erst mal alles richtig gemacht, in dem Log ist auch zu sehen das du dich korrekt verbindest und die Verbindung mit TLS verschlüsselt wird, also alles gut so.

Warum die Verbindung nach dem Senden des PAssworts abbricht kann ich mir nicht erklären, eigentlich sollte danach der LIST Befehl kommen und dir den Verzeichnisinhalt anzeigen.
Sicher das das Passwort korrekt ist?

Ganz sicher. Habe es mit neu angelegten Benutzern und meinem Login selbst ausprobiert. Mehr kann man ja nicht mehr machen.

Ich weiss nicht ob es einen einfluss hat, aber das NAS ist per Lan an einem Wlanrepeater angeschlossen der im Mesh hängt. Ich werde das mal oben noch mit dazu schreiben.

 

[hellF!RE]

Wäre das Passwort falsch, sollte ja zumindest auch ne Fehlermeldung kommen

 

[WingX]

Wie das NAS am Netz hängt, dürfte keine Rolle spielen. Du kommst ja zumindest an. Für SFTP musst du noch Zertifikate für die Authentifizierung generieren. Aber bleiben wir mal bei FTP. Ich habe im Log kein PASV Kommando gesehen. So, wie die Ports freigegeben sind, müsstest du bei der Client Verbindung noch den passive Mode einschalten und beim Server natürlich auch. Beim Server kannst du dann die Antwort Ports definieren, am besten halt die, die du schon freigegeben hast.

 

[Raijin]

Antwortports musst du nicht weiterleiten. Wenn du von außen auf den FTP verbindest, ist der Antwortports ausgehend. D.h. wenn du ausgehend keine Firewall definiert hast, die zB nur http(s) erlaubt, sind die 55xxx ports genau so frei wie alle anderen.

Man muss bei FTP aber wie @WingX schon angedeutet hat zwischen aktivem und passiven FTP unterscheiden.

Passives FTP: Der Client baut erst eine ausgehende Command-Verbindung auf und anschließend eine ausgehende Data-Verbindung. Das sind standardmäßig TCP 20/21. Da beim Server beide Verbindungen eingehend sind, muss es für beide Ports eine Weiterleitung geben.

Aktives FTP: Der Client baut zunächst eine ausgehende Command-Verbindung zum Server auf. Anschließend baut nun der Server eine ausgehende Data-Verbindung zum Client auf.


Das Problem ist in den meisten Fällen die Data-Verbindung , da man am Router des Clients nun eine Portweiterleitung für den Data-Port benötigt! In fremdverwalteten Netzwerken (zB Hotspot) ist das natürlich nicht möglich. Deswegen empfiehlt sich fast immer der von @WingX vorgeschlagene passive Modus.

"Antwortports" werden von jedem handelsüblichen Router automatisch weitergeleitet, weil das schlicht und ergreifend der Quell-Port ist.

 

[luky37]

Du hast TLS eingeschaltet, d.h. dein NAT router kann keine NAT helper benutzen um, den passiven Modus auf die Sprünge zu helfen.

Deswegen muss:
- der passive port range auf dem Router freigegeben werden
- der passive port range auf dem FTP server konfiguriert sein
- der FTP server die korrekte öffentliche IP Addresse wissen und dem Client mitteilen


Leider ist dein Filezilla log nicht detalliert. Rechtsklick auf das Log Fenster und "Show detailed log" aktivieren.


Und den test musst darfst du nicht von gleichen LAN aus auf die öffentliche IP machen, denn wenn dein Router NAT-Loopback nicht unterstützt dann gehts schonmal darum nicht.

Am besten erstellt du einen Test Account und probierts das ganze auf https://ftptest.net/

 

[xerex.exe]

Antwortports musst du nicht weiterleiten. Wenn du von außen auf den FTP verbindest, ist der Antwortports ausgehend. D.h. wenn du ausgehend keine Firewall definiert hast, die zB nur http(s) erlaubt, sind die 55xxx ports genau so frei wie alle anderen.

Man muss bei FTP aber wie @WingX schon angedeutet hat zwischen aktivem und passiven FTP unterscheiden.

Passives FTP: Der Client baut erst eine ausgehende Command-Verbindung auf und anschließend eine ausgehende Data-Verbindung. Das sind standardmäßig TCP 20/21. Da beim Server beide Verbindungen eingehend sind, muss es für beide Ports eine Weiterleitung geben.

Aktives FTP: Der Client baut zunächst eine ausgehende Command-Verbindung zum Server auf. Anschließend baut nun der Server eine ausgehende Data-Verbindung zum Client auf.


Das Problem ist in den meisten Fällen die Data-Verbindung , da man am Router des Clients nun eine Portweiterleitung für den Data-Port benötigt! In fremdverwalteten Netzwerken (zB Hotspot) ist das natürlich nicht möglich. Deswegen empfiehlt sich fast immer der von @WingX vorgeschlagene passive Modus.

"Antwortports" werden von jedem handelsüblichen Router automatisch weitergeleitet, weil das schlicht und ergreifend der Quell-Port ist.

passive FTP ist beim NAS sowie bei Filezilla eingestellt. Port 20 habe ich auch noch freigegeben.

Ergänzung (6. Oktober 2018)

Du hast TLS eingeschaltet, d.h. dein NAT router kann keine NAT helper benutzen um, den passiven Modus auf die Sprünge zu helfen.

Deswegen muss:
- der passive port range auf dem Router freigegeben werden
- der passive port range auf dem FTP server konfiguriert sein
- der FTP server die korrekte öffentliche IP Addresse wissen und dem Client mitteilen


Leider ist dein Filezilla log nicht detalliert. Rechtsklick auf das Log Fenster und "Show detailed log" aktivieren.


Und den test musst darfst du nicht von gleichen LAN aus auf die öffentliche IP machen, denn wenn dein Router NAT-Loopback nicht unterstützt dann gehts schonmal darum nicht.

Am besten erstellt du einen Test Account und probierts das ganze auf https://ftptest.net/

Brauch ich die öffentliche IP oder reicht der DNS?

 

[Raijin]

passive FTP ist beim NAS sowie bei Filezilla eingestellt. Port 20 habe ich auch noch freigegeben.

Was heißt bei dir "freigegeben"?

Es muss

- eine Portweiterleitung im Router erstellt werden
- eine Ausnahme in der Firewall im Router erstellt werden (passiert bei 08/15 Consumer-Routern automatisch im Hintergrund)
- am FTP-Server sichergestellt werden
--- dass die Firewall des Servers Zugriffe von außen bzw externen IPs erlaubt
--- dass der FTP-Dienst selbst auch Verbindungen von externen IPs erlaubt (bei 08/15 Installationen eigentlich immer der Fall)

Hast du es sonst auch mal mit einem anderen FTP-Client ausprobiert? Ansonsten wäre nun mein nächster Schritt, mittels WireShark/tcpdump am FTP-Rechner zu prüfen ob überhaupt Daten sowohl am Command- als auch am Data-Port ankommen.

Wie @luky37 schon sagte musst du das auch wirklich von außen testen und nicht aus dem eigenen LAN. Das sind nämlich zwei Paar Schuhe und birgt noch weitere potentielle Fallstricke.

 

[chrigu]

... oder an der fritzbox ist der ftp Server auch aktiv.

 

[xerex.exe]

Was heißt bei dir "freigegeben"?

Es muss

- eine Portweiterleitung im Router erstellt werden
- eine Ausnahme in der Firewall im Router erstellt werden (passiert bei 08/15 Consumer-Routern automatisch im Hintergrund)
- am FTP-Server sichergestellt werden
--- dass die Firewall des Servers Zugriffe von außen bzw externen IPs erlaubt
--- dass der FTP-Dienst selbst auch Verbindungen von externen IPs erlaubt (bei 08/15 Installationen eigentlich immer der Fall)

Hast du es sonst auch mal mit einem anderen FTP-Client ausprobiert? Ansonsten wäre nun mein nächster Schritt, mittels WireShark/tcpdump am FTP-Rechner zu prüfen ob überhaupt Daten sowohl am Command- als auch am Data-Port ankommen.

Wie @luky37 schon sagte musst du das auch wirklich von außen testen und nicht aus dem eigenen LAN. Das sind nämlich zwei Paar Schuhe und birgt noch weitere potentielle Fallstricke.

Freigeben im Sinne von Portweiterleitung. Der FTP test bringt das gleiche wie Filezilla.

Ergänzung (6. Oktober 2018)

... oder an der fritzbox ist der ftp Server auch aktiv.

Nope ist nicht.

 

[Raijin]

Freigeben im Sinne von Portweiterleitung.

Dann prüfe den Rest meines Beitrags. Firewall am Server, etwaige Einstellungen an der FTP-Server-Software sowie WireShark/tcpdump. Gerade letztere stellen sicher, dass du die Ursache überhaupt im richtigen Gerät suchst. Wenn WireShark/tcpdump nämlich eingehende Pakete zeigt, ist am Router soweit alles korrekt und es liegt daran, dass der PC bzw das Betriebssystem und/oder die Serversoftware die Verbindung ablehnt.

 

[luky37]

Du must schon die Beiträge ganz lesen und befolgen. Im Filezilla Client den detallierten Log aktivieren und posten, von außderhalb des LANs testen und den ftptest.net output posten.

 

[xerex.exe]

@Raijin @luky37 nach ein wenig testen funktioniert bei mir sftp. Ftp weiterhin immer noch nicht aber das ist mir angesichts der höheren Sicherheit bei sftp auch relativ egal gerade. Für mich hat sich das Problem jetzt gelöst