Enquanto parar de trabalhar no modo ativo FTP após alterar a porta do servidor

Question

Estou usando o proftpd no meu servidor (ubuntu 16.04 x86_64).

Padrão proftpd use standart 21 port. Eu posso ligar do meu notebook para ftp com o modo ativo sem problema.

Agora paro o proftpd, altero a porta de 21 para 10021, inicio o serviço novamente. E agora eu não consigo conectar com o modo ativo, apenas com o modo passivo.

1. O que mudou?

2. Também não consigo entender, por que funciona o modo ativo? Eu tenho acesso à internet pelo roteador. Eu não desisto as portas do meu notebook no roteador. Como eu agora, na conexão, meu notebook (cliente ftp) cria conexão de alguma porta > 1023 para a porta do servidor 21. Meu notebook enviar para o servidor também segunda porta (dados) para servidor e servidor de conexão da própria porta 20 para mim com essa porta de dados. Mas como segunda conexão pode ser estabelecida, se minhas portas estão fechadas a partir de wan?

Answer 1

Seu firewall (roteador) tem um auxiliar de rastreamento de conexão para FTP. Quando ele vê uma conexão de controle FTP (que reconhece pela porta de destino TCP == 21), ele observa os comandos. Quando ele vê seu cliente enviando o comando PORT , ele o reescreve (para o seu endereço IP externo e talvez para uma porta diferente) e mantém o controle da conexão esperada do servidor FTP. Quando essa conexão chega, é permitido passar.

Quando você alterou a porta, nada disso aconteceu, porque 10021 não é reconhecido como uma conexão de controle FTP.

No Linux, pelo menos, esse recurso é o módulo nf_conntrack_ftp e você pode definir a opção ports para incluir 10021, se desejado.

PS: Uma coisa semelhante pode ser feita com um firewall na frente do servidor, embora ao contrário: é feito em transferências no modo passivo, em vez de no modo ativo.