перестал работать ftp из локалки через ipnat

[Dmitrij33]

Добрый день,

Небольшая виндовая локалка ходит в интернет через freebsd рутер ipf+ipnat, ограничений на исходящий траффик никаких, кроме закрытого 25ого порта.

Проапгрейдился с 7.0 до 7.3-STABLE с пересбором мира и ядра.
Обошелся без однопользовательского режима и mergemaster'a.

Полет нормальный, но намертво перестало работать ftp из локальной сети.
Даже telnet на любой внешний 21ый порт обрывается по тайм-ауту. Попробовал для примера на 80ый - работает.
С самого рутера отлично открываются те же ftp-шки

Запасной рутер на 7.0 с теми же настройками работает как и раньше, фтп через него идет.

Куда рыть? Что копать?
Очень хочется разобраться, в чем проблема и избежать тупой переустановки системы

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[hizel]

Обошелся без однопользовательского режима и mergemaster'a.

fail

[Dmitrij33]

в смысле, если нет физического доступа к серверу чтоб в однопользовательский режим залезть, то обновление системы лучше не затевать даже внутри одной и той же семерки?

[hizel]

если нет возможности делать в однопользовательском режиме то все операции делаются до перезагрузки в обычном режиме
у меня сломалось только при обновлении 6.1->8.1

[Гость]

если нет возможности делать в однопользовательском режиме то все операции делаются до перезагрузки в обычном режиме
у меня сломалось только при обновлении 6.1->8.1

ну, это спорт ) без сингла ползал 4-5-6-7 спокойно, с пересборкой всего и вся, правда. долго и муторно, но не было выхода.

[Dmitrij33]

все упростилось немного
оказалось, что сама процедура перехода непричем
установленная и настроенная с нуля фря7.3 - так же не работает фтп.

даже с конфигом ipf.rules

Код: Выделить всё

pass in out
pass out all

и ipnat.rules

Код: Выделить всё

map rl0 192.168.11.0/24 -> 0/32 proxy port ftp ftp/tcp
map rl0 192.168.11.0/24 -> 0/32

так что проблема в днк походу где-то, сижу, роюсь

[Dog]

А tcpdump что говорит?
И конфиги все-таки надо обновить, mergemaster рулит. Хоть бы и без однопользовательского режима, если удаленно.

[Dmitrij33]

И конфиги все-таки надо обновить, mergemaster рулит. Хоть бы и без однопользовательского режима, если удаленно.

поставил фрю 7.3 с нуля
проблема осталась

А tcpdump что говорит?

при попытке зайти из локалки на фтп, tcpdump дает примерно следующее:

на внутреннем интерфейсе:

Код: Выделить всё

[root@riga /etc]# tcpdump host kelvin.2000.lv
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on fxp0, link-type EN10MB (Ethernet), capture size 96 bytes
23:08:58.866628 IP 192.168.11.2.4417 > kelvin.2000.lv.ftp: S 3258705592:3258705592(0) win 65535 <mss 1460,nop,nop,sackOK>
23:09:01.780503 IP 192.168.11.2.4417 > kelvin.2000.lv.ftp: S 3258705592:3258705592(0) win 65535 <mss 1460,nop,nop,sackOK>
23:09:07.815536 IP 192.168.11.2.4417 > kelvin.2000.lv.ftp: S 3258705592:3258705592(0) win 65535 <mss 1460,nop,nop,sackOK>

на внешнем интерфейсе рутера:

Код: Выделить всё

[root@riga /etc]# tcpdump -i fxp1 host kelvin.2000.lv
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on fxp1, link-type EN10MB (Ethernet), capture size 96 bytes
23:11:50.796233 IP ahlers-latvia.eunet.lv.4472 > kelvin.2000.lv.ftp: S 3224169580:3224169580(0) win 65535 <mss 1460,nop,nop,sackOK>
23:11:50.814853 IP kelvin.2000.lv.ftp > ahlers-latvia.eunet.lv.4472: S 858347740:858347740(0) ack 3224169581 win 5840 <mss 1460,nop,nop,sackOK>
23:11:50.814873 IP ahlers-latvia.eunet.lv.4472 > kelvin.2000.lv.ftp: R 3224169581:3224169581(0) win 0
23:11:53.678639 IP ahlers-latvia.eunet.lv.4472 > kelvin.2000.lv.ftp: S 3224169580:3224169580(0) win 65535 <mss 1460,nop,nop,sackOK>
23:11:53.685267 IP kelvin.2000.lv.ftp > ahlers-latvia.eunet.lv.4472: S 903183444:903183444(0) ack 3224169581 win 5840 <mss 1460,nop,nop,sackOK>
23:11:53.685285 IP ahlers-latvia.eunet.lv.4472 > kelvin.2000.lv.ftp: R 3224169581:3224169581(0) win 0
23:11:59.713665 IP ahlers-latvia.eunet.lv.4472 > kelvin.2000.lv.ftp: S 3224169580:3224169580(0) win 65535 <mss 1460,nop,nop,sackOK>
23:11:59.726401 IP kelvin.2000.lv.ftp > ahlers-latvia.eunet.lv.4472: S 997584264:997584264(0) ack 3224169581 win 5840 <mss 1460,nop,nop,sackOK>
23:11:59.726420 IP ahlers-latvia.eunet.lv.4472 > kelvin.2000.lv.ftp: R 3224169581:3224169581(0) win 0

после чего ftp отваливается по тайм-ауту

[Dog]

Можете попробовать поставить keep state на разрешающий правилах? И, не помню, ftp-proxy работает ли для ipf либо же это только для pf. Можно было бы его попробовать.

[Dmitrij33]

Можете попробовать поставить keep state на разрешающий правилах? И, не помню, ftp-proxy работает ли для ipf либо же это только для pf. Можно было бы его попробовать.

спасибо, попробую
ситуация немного становится интереснее тем, что я дома на совершенно другом компьютере с того же самого диска поставил фрю7.3, обновил исходники, собрал ядро с поддержкой IPFILTER и все работает как часы. Вариантов 3 походу осталось: провайдер, железо или барабашка.

[Dog]

Кстати, в такой ситуации очень даже возможен провайдер.
Попробуйте поэкспериментировать с разными файрволами/вообще без файрвола.