CIO Tech Eksperten IT-JOB IT-Kurser Events Podcast Søg

Log ind eller opret profil

Du kan også logge ind via nedenstående tjenester

pkb Nybegynder

15. august 2003 - 12:15 Der er 16 kommentarer og
2 løsninger

FXP med Cisco PIX501

Jeg har lige sat en server op med RaidenFTPD 2.4.449 med FXP enable med PASV Mode, og har åbnet portene i min PIX501. Men mine venner kan ikke fxp til mig, her er fejlen
TYPE I
200 Type set to I.
TYPE I
200 Type set to I.
PASV
Entering Passive Mode (206,158,102,123,90,134).
206,158,102,123,90,134

it's stop rite ther

mit PASV Mode Range er : 1401-1411

her er min PIX501 konfiguration
: Written by enable_15 at 13:58:20.122 CEDT Wed Aug 13 2003
PIX Version 6.3(1)
interface ethernet0 10baset
interface ethernet1 100full
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password 6nTJHm.ZtzfaZP.7 encrypted
passwd 6nTJHm.ZtzfaZP.7 encrypted
hostname pixfirewall
domain-name activeconnect.dk
clock timezone CEST 1
clock summer-time CEDT recurring last Sun Mar 2:00 last Sun Oct 3:00
fixup protocol ftp 20
fixup protocol ftp 21
fixup protocol h323 h225 1720
fixup protocol h323 ras 1718-1719
fixup protocol http 80
fixup protocol ils 389
fixup protocol rsh 514
fixup protocol rtsp 554
fixup protocol sip 5060
fixup protocol sip udp 5060
fixup protocol skinny 2000
fixup protocol smtp 25
fixup protocol sqlnet 1521
names
access-list outside_access_in permit icmp any any echo-reply
access-list outside_access_in permit tcp any host 80.199.37.152 eq smtp
access-list outside_access_in permit tcp any host 80.199.37.152 eq 32000
access-list outside_access_in permit tcp any host 80.199.37.152 eq https
access-list outside_access_in permit tcp any host 80.199.37.152 eq ftp
access-list outside_access_in permit tcp any host 80.199.37.152 eq 5900
access-list outside_access_in permit tcp any host 80.199.37.152 eq www
access-list outside_access_in permit tcp any host 80.199.37.152 eq 3389
access-list outside_access_in permit tcp any host 80.199.37.152 eq ident
access-list outside_access_in permit tcp any host 80.199.37.152 eq 59
access-list outside_access_in permit tcp any host 80.199.37.152 eq ftp-data
access-list outside_access_in permit tcp any host 80.199.37.152 eq 286
access-list outside_access_in permit udp any host 80.199.37.152 eq 286
access-list outside_access_in permit tcp any host 80.199.37.152 eq 2849
access-list outside_access_in permit udp any host 80.199.37.152 eq 2849
access-list outside_access_in permit udp any host 80.199.37.152 eq 21
access-list outside_access_in permit udp any host 80.199.37.152 eq 20
access-list outside_access_in permit tcp any interface outside range 5000 5011
access-list outside_access_in permit udp any interface outside range 5000 5011
access-list outside_access_in permit tcp any interface outside range 1401 1411
access-list outside_access_in permit udp any interface outside range 1401 1411
access-list outside_access_in permit tcp any host 80.199.37.152 eq 29692
access-list outside_access_in permit udp any host 80.199.37.152 eq 29692
access-list outside_access_in permit tcp any host 80.199.37.152 eq 23179
pager lines 24
logging on
logging timestamp
logging console informational
logging monitor informational
logging buffered informational
logging trap informational
logging history informational
logging host inside 192.168.1.10
mtu outside 1500
mtu inside 1500
ip address outside pppoe setroute
ip address inside 192.168.1.1 255.255.255.0
ip verify reverse-path interface outside
ip verify reverse-path interface inside
ip audit info action alarm
ip audit attack action alarm
pdm location 192.168.1.0 255.255.255.0 inside
pdm location 172.29.0.0 255.255.0.0 outside
pdm location 194.192.110.10 255.255.255.255 outside
pdm location 172.29.16.0 255.255.255.0 outside
pdm location 172.29.16.0 255.255.254.0 outside
pdm location 192.168.1.10 255.255.255.255 inside
pdm location 80.199.37.152 255.255.255.255 outside
pdm location 212.242.93.96 255.255.255.224 outside
pdm logging informational 512
pdm history enable
arp timeout 14400
global (outside) 1 interface
nat (inside) 1 0.0.0.0 0.0.0.0 0 0
static (inside,outside) tcp interface smtp 192.168.1.10 smtp netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 32000 192.168.1.10 32000 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface https 192.168.1.10 https netmask 255.255.255.255 0 0
static (inside,outside) tcp interface www 192.168.1.10 www netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 5900 192.168.1.10 5900 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface ftp 192.168.1.10 ftp netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 3389 192.168.1.10 3389 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface ident 192.168.1.10 ident netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 59 192.168.1.10 59 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface ftp-data 192.168.1.10 ftp-data netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 5000 192.168.1.10 5000 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 5001 192.168.1.10 5001 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 5002 192.168.1.10 5002 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 5003 192.168.1.10 5003 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 5004 192.168.1.10 5004 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 286 192.168.1.10 286 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 286 192.168.1.10 286 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 2849 192.168.1.10 2849 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 2849 192.168.1.10 2849 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 5005 192.168.1.10 5005 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 5006 192.168.1.10 5006 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 5007 192.168.1.10 5007 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 5008 192.168.1.10 5008 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 5009 192.168.1.10 5009 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 5010 192.168.1.10 5010 netmask 255.255.255.255 0 0
static (inside,outside) udp 80.199.37.152 5010 192.168.1.10 5010 netmask 255.255.255.255 0 0
static (inside,outside) udp 80.199.37.152 5009 192.168.1.10 5009 netmask 255.255.255.255 0 0
static (inside,outside) udp 80.199.37.152 5008 192.168.1.10 5008 netmask 255.255.255.255 0 0
static (inside,outside) udp 80.199.37.152 5007 192.168.1.10 5007 netmask 255.255.255.255 0 0
static (inside,outside) udp 80.199.37.152 5006 192.168.1.10 5006 netmask 255.255.255.255 0 0
static (inside,outside) udp 80.199.37.152 5005 192.168.1.10 5005 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 20 192.168.1.10 20 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 21 192.168.1.10 21 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 5011 192.168.1.10 5011 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 5011 192.168.1.10 5011 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 1401 192.168.1.10 1401 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 1401 192.168.1.10 1401 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 1402 192.168.1.10 1402 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 1402 192.168.1.10 1402 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 1403 192.168.1.10 1403 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 1403 192.168.1.10 1403 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 1404 192.168.1.10 1404 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 1405 192.168.1.10 1405 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 1406 192.168.1.10 1406 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 1407 192.168.1.10 1407 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 1408 192.168.1.10 1408 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 1409 192.168.1.10 1409 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 1410 192.168.1.10 1410 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 1411 192.168.1.10 1411 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 1404 192.168.1.10 1404 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 1405 192.168.1.10 1405 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 1406 192.168.1.10 1406 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 1407 192.168.1.10 1407 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 1408 192.168.1.10 1408 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 1409 192.168.1.10 1409 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 1410 192.168.1.10 1410 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 1411 192.168.1.10 1411 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 29692 192.168.1.10 29692 netmask 255.255.255.255 0 0
static (inside,outside) tcp interface 23174 192.168.1.10 23174 netmask 255.255.255.255 0 0
static (inside,outside) udp interface 29692 192.168.1.10 29692 netmask 255.255.255.255 0 0
access-group outside_access_in in interface outside
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h225 1:00:00
timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+
aaa-server RADIUS protocol radius
aaa-server LOCAL protocol local
http server enable
http 80.199.37.152 255.255.255.255 outside
http 192.168.1.0 255.255.255.0 inside
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
tftp-server outside ***.***.***.**** /wmhomepix/config
floodguard enable
telnet 212.242.93.96 255.255.255.224 outside
telnet 172.29.16.0 255.255.254.0 outside
telnet 194.192.110.10 255.255.255.255 outside
telnet 192.168.1.0 255.255.255.0 inside
telnet timeout 5
ssh 172.29.16.0 255.255.254.0 outside
ssh 194.192.110.10 255.255.255.255 outside
ssh 212.242.93.96 255.255.255.224 outside
ssh 192.168.1.0 255.255.255.0 inside
ssh timeout 5
console timeout 0
vpdn group pppoe_group request dialout pppoe
vpdn group pppoe_group localname ***********
vpdn group pppoe_group ppp authentication chap
vpdn username ************** password ********
dhcpd lease 3600
dhcpd ping_timeout 750
dhcpd auto_config outside
terminal width 80
Cryptochecksum:7272154d705e31e1296b37f7224e3ebd
pixfirewall(config)#

Hvad kan de være ???????

Synes godt om

langbein Nybegynder

16. august 2003 - 21:55 #1

Har jo ingen pix 501 kjørende og vet ikke en gang hva fxp er for noe. Ser at det ikke kommer så mange andre ferdige svar, så det går kanskje ann å diskutere prblemstillingen litt ?? (ser elleres at fxp ikke er nevnt med et ord i den firewall dokumentasjonen jeg sitter på, heller ikke i forbindelse med pix 501. Det skulle allikevell være mulig å klarlegge litt prinsipper samt lage litt mere eller mindre "systematisk feilsøking".)

1. Hva er egentlig "fxp" ?? Finnes en link her som beskriver dette som en metode nærmest for remoote filoverføring mellom to andre ftp servere uten at din egen maskin er direkte involvert i datatransporten. Er dette korrekt ?? Eventuelt andre linker som kan kaste litt lys over dette ??
http://sourceforge.net/projects/gtkfxp/

2. "access-list outside_access_in permit tcp any host 80.199.37.152 eq www"
Dette er en filtering rule som sier at all trafikk inn til port 80 (www) med mottaker adressse 80.199.37.152 skal få passere. Korrekt ??

3. "static (inside,outside) tcp interface www 192.168.1.10 www netmask 255.255.255.255 0 0" (Dette var da en merkelig måte å angi netmasken på ..)
Dette er en nat regel som videresender all trafikk rettet til extern ip videre inn til lokal server 192.168.1.10. Riktig ??

Kan se at http forbindelsen kjører ok. Hva hvis man kjører en ordinær ftp server inne på "lan" fungerer dette på ordinær måte via firewall ??

Synes godt om

langbein Nybegynder

16. august 2003 - 22:17 #2

Forresten .. Du har kanskje lagt ut litt mange av de typiske opplysninger som en hacker vil være på jakt etter i utskriften over. Ikke for å være "nesevis" men det vil kanskje være en ide å forandre en del på oppsettet innen du kommer i ordinær drift ...

Synes godt om

pkb Nybegynder

19. august 2003 - 08:52 #3

Hej Lanbein

det er rigtigt at fxp er server to server tramfers , 2 og 3 er også rigtigt, ftp funger fint både på lan og på wan

Synes godt om

langbein Nybegynder

19. august 2003 - 12:04 #4

Da vet jeg sannelig ikke. Har kikket litt i de generelle firewallbøkene jeg har og der står det ingen ting om fxp.

Det hender jo at enkelte tjenester har problemer med nat og da vil det jo uansett ikke være så lett å få det til å fungere.

Helt generelt .. hvis jeg ønsker å undersøke hvorledes en firewall skal/bør/må konfigureres, så vil jeg i utgangspunktet og for testing ta bort firewallen for en periode. Så vil jeg sette opp den trafikken jeg ønsker skal kjøre og dumpe denne hved hjelp av en packetsniffer. Ved å lese gjennom loggen fra packet sniffer, så man jo normalt kunne se hva slags trafikk det er snakk om slik at man kan konfigurere firewall i forhold til dette, dvs få den til å slippe gjennom den trafikken som skal kjøre.

Synes godt om

rubeck Nybegynder

30. august 2003 - 01:35 #5

Du skal nok slå disse fra:

"fixup protocol ftp 20"
"fixup protocol ftp 21"

Jeg tror simpelt hen ikke PIX'en vil tillade FXP kommandosets

/Rubeck

Synes godt om

rubeck Nybegynder

30. august 2003 - 01:35 #6

Jeg prøver lige at lave det om til et svar.... :-)

/Rubeck

Synes godt om

rubeck Nybegynder

30. august 2003 - 01:40 #7

Fjern ihvertfald "fixup protocol ftp 20"... Den er fuldstændig unødvendig, da PIX'en "godt ved" at der kan komme en efterfølgende data connection på port 20..

/Rubeck

Synes godt om

langbein Nybegynder

30. august 2003 - 06:53 #8

Har som allerede nevnt ingen annen kunnskap om pix 501 ut over det som jeg har lest, men synes da problemstillingen er ganske interessant ..

Fra innlegget over "Jeg tror simpelt hen ikke PIX'en vil tillade FXP kommandosets"

Men Pix 501 er vel en "ren" statefull inspection packet firewall ?

Det skulle vel "normalt" tilsi at den forholder seg til "kommandoer" som en datastøm og ikke som "aktive" kommandoer.

Dette skulle da tilsi at den uansett ikke skulle ha problemer med å forholde til et hvert "kommandosett" så lenge dette bare passerer gjennom firewall som datastrøm.

En annen problemstilling det er hvorvidt den kan forholde seg til den trafikk, dvs den kombinasjon av protokoller og portnummer eventuelt andre særegenheter som finnes i denne trafikken.

Måten å finne ut hvordan denne trafikken kjører det må vel være å sette opp en PC med packet sniffer utenfor firewall og så kjøre de aktuelle FXP kommandoer fra denne, mens man logger og ser på trafikkinnholdet.

Når man så har oversikt over dette så skulle man tro at det i de fleste tilfeller i prinsipp vil være mulig å konfigurere en vilken som helst firewall av denne type til å tillate denne trafikken, med mindre det dreier seg om helt uvanlige protokoller eller behov for "connection tracking" som firewallen ikke har mulighet for å klare.

Synes godt om

langbein Nybegynder

30. august 2003 - 07:04 #9

Vi har ellers muliggens noe her:
http://lists.netfilter.org/pipermail/netfilter-devel/2000-December/000270.html

"The first thing you do, is to send a PASV command to one of the servers.
Then you send that response as a PORT command to the other server.

You will now have a data connection between the two servers."

Synes godt om

langbein Nybegynder

30. august 2003 - 07:11 #10

http://docs.astaro.org/older_versions/ASL-V2.0/docs_v2/ftp-howto.txt

Synes godt om

langbein Nybegynder

30. august 2003 - 07:18 #11

Det ser ut til å ligge noe i problemstillingen rundt ftp connection tracking ..

Synes godt om

langbein Nybegynder

30. august 2003 - 07:28 #12

http://www.raidenftpd.com/kb/kb000000035.htm

Synes godt om

rubeck Nybegynder

30. august 2003 - 11:30 #13

Jeg tænkte at "fixup protocol ftp 21" begrænsede inbound FTP commands ved inspection af L7.

Feks. ved "fixup protolcol smtp 25" er det kun kommandoer iflg. RFC821 der tillades som disse:
HELO, MAIL, RCPT, DATA, RSET, NOOP, and QUIT.

Om det er MailGuard funktionen der gør dette ved jeg dog ikke...

Jeg tænkte om det samme måske er det der er issue ved FTP... bare en tanke.

/Rubeck

Synes godt om

langbein Nybegynder

30. august 2003 - 12:56 #14

Ikke vet jeg .. men tanken høres fornuftig ut ..

Det står noe i Osborne: "The complete refferece Firewalls" om dette i kappitlet "Cisco PIX Advanced Functionality", side 412 og 413:

NO FIXUP PROTOKOL FTP

When the PIX firewall is configured with the command "no fixup protocol ftp", this disables the application protocol checking for the FTP protocol. When in this mode, only Passive FTP is allowed from the higher security interface (the inside interface, for example) to the lower security interface (typically, the outside interface). Active FTP is not permitted. All inbound FTP is disabled.

FIXUP PROTOCOL FTP 21

When the PIX firewall is configured with the "fixup protocol ftp 21" command, application protocol checking is enabled for the FTP protocol, on the TCP port number that follows the ftp command. The default is 21. This configuration option gives the greatest compability for legacy FTP applications, web browser-based FTP, and embedded and chained commands. When this command is entered, Active and Passive FTP are allowed. THE PIX FIREWALL WILL ENFORCE THE DIRECTION IN WHICH COMMANDS ARE ISSUED (uthevet av meg) to prevent servers from opening up TCP ports on the client. If the default port is changed from 21 to another port, FTP will not work on port 21. It is possible, however, to enter multiple fixup protocol ftp commands for diffrent ports.

Er ikke sikker på at jeg har skjønt dette 100 % (eller 90 %), men kan innholdet i det som står muliggens tolkes noe i denne retning:

"Aktiviser ftp fixup og så vil ftp fungere men ikke fxp. Deaktiviser den da vil kanskje fxp fungere, men ftp bare i begrenset omfang"

Hva med å teste ut ??

Finner ikke noen direkte beskrivelse for "fixup protocol ftp 20" bare for port 21. Hva med å forsøke også ved å ta vekk port 20 setningen ??

Synes godt om

rubeck Nybegynder

30. august 2003 - 18:23 #15

Ja, prøv det engang... det er rimligt hurtigt :-) "no fixup protocol ftp 21", "no fixup protocol ftp 21",

Lanbein:
Mht. "fixup protocol 20"

*Snip fra Cisco.com"

Use the fixup protocol ftp command to specify the listening port or ports for the File Transfer Protocol (FTP). The following describes the features and usage of this command:

The PIX by default listens to port 21 for FTP.
Mutliple ports can be specified.
Only specify the port for the FTP control connection and not the data connection. The PIX stateful inspection will dynamically prepare the data connection as necessary. For instance, the following is incorrect:
INCORRECT

fixup protocol ftp 21
fixup protocol ftp 20

CORRECT

fixup protocol ftp 21
Use caution when moving FTP to a higher port. For example, if you set the FTP port to 2021 by entering fixup protocol ftp 2021 all connections that initiate to port 2021 will have their data payload interpreted as FTP commands.
Use the fixup protocol ftp command to specify the listening port or ports for the File Transfer Protocol (FTP). The following describes the features and usage of this command:

The PIX by default listens to port 21 for FTP.
Mutliple ports can be specified.
Only specify the port for the FTP control connection and not the data connection. The PIX stateful inspection will dynamically prepare the data connection as necessary. For instance, the following is incorrect:
INCORRECT

fixup protocol ftp 21
fixup protocol ftp 20
CORRECT

fixup protocol ftp 21
Use caution when moving FTP to a higher port. For example, if you set the FTP port to 2021 by entering fixup protocol ftp 2021 all connections that initiate to port 2021 will have their data payload interpreted as FTP commands.

Synes godt om

rubeck Nybegynder

30. august 2003 - 18:25 #16

UPs... Hvad skete der der? LOL

Synes godt om

pkb Nybegynder

18. september 2003 - 09:53 #17

tak for svar, men jeg har nu selv løst det, man skal køre ftp på et andet port end port 21 helst på port som over 1000, fixup protocol skal ikke slår fra, ellers virke det ikke

Synes godt om

pkb Nybegynder

18. september 2003 - 10:04 #18

anyway 50 point til rubeck/langbein for store hjælp

Synes godt om

Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Følg dette spørgsmål

Opret Preview

Se alle it-kurser fra Computerworld Kurser

IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Se alle it-kurser

Flere spørgsmål fra Firewalls kategorien

Titel	Indlæg	Oprettet	Seneste aktivitet
Fejlmeddelse i Easy Firewall Af cyperbent i Firewalls	22	21/01/202418:54	08/03/202415:31
Abelssoft EasyFirewall Af valby i Firewalls	9	12/10/202319:21	13/10/202319:17
Firewals og antivirus med videre Af mogens8000 i Firewalls	4	24/06/202213:54	24/06/202215:30
Din internetadgang er blokeret Af sigyn i Firewalls	1	04/01/202218:04	04/01/202220:25
Den afsatte tid til at gennemføre dit køb, er desværre udløbet. Men dit produkt er sandsynligvis stadig tilgængeligt i sortimentet. Forsøg gerne igen" Af gh0stry i Firewalls	3	25/09/202114:52	25/09/202120:39

Se alle spørgsmål i kategorien Opret spørgsmål

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester

Alle kategorier på Eksperten

Seneste artiklerRSS