3

Estou com um servidor (fedora 29) em casa rodando (como root) um ftp feito em python com as portas 5000-5003 e 40000-50000 abertas, a maquina está em DMZ

import logging
import sys

from pyftpdlib.handlers import FTPHandler
from pyftpdlib.servers import FTPServer
from pyftpdlib.authorizers import UnixAuthorizer
from pyftpdlib.filesystems import UnixFilesystem

def main():
     logger = logging.getLogger()
     ch = logging.StreamHandler(sys.stdout)
     logger.setLevel(logging.DEBUG)
     ch.setLevel(logging.DEBUG)
     formatter = logging.Formatter('%(asctime)s - %(name)s - %(levelname)s - %(message)s')
     ch.setFormatter(formatter)
     logger.addHandler(ch)

     authorizer = UnixAuthorizer(allowed_users=['marcelo'], require_valid_shell=True, global_perm='elradfmwMT')
     handler = FTPHandler
     handler.authorizer = authorizer
     handler.abstracted_fs = UnixFilesystem
     handler.passive_ports = (40000, 50000)

     handler.log_prefix = '%(username)s@%(remote_ip)s'

     server = FTPServer(('',5001), handler)
     server.serve_forever()

     if __name__ == '__main__':
         main()

No trabalho estou como uma máquina (fedora 29) com as portas 5000-5003/tcp e 40000-50000/tcp abertas e em DMZ rodando um cliente ftplib.

from ftplib import FTP

ftp = FTP('')
ftp.connect('*****',5001)
ftp.login(user='****',passwd='*****')
ftp.set_debuglevel(2)
ftp.set_pasv(False)
#ftp.cwd('/home/marcelo')
response = ftp.retrlines('LIST')
print("response: %s",response)


def uploadFile():
  filename = 'arquivo5.txt'
  ftp.storbinary('STOR '+filename, open(filename,'rb'))



def downloadFile():
  filename = 'backup.dmp'
  localfile = open(filename, 'wb')
  ftp.retrbinary('RETR '+filename, localfile.write, 2048)
  localfile.close()

#uploadFile()
#downloadFile()

ftp.quit()

No cliente recebo a seguinte resposta: ftplib.error_perm: 501 Rejected data connection to foreign address 192.168.0.9:47123.

E no servidor: pyftpdlib - WARNING - marcelo@... -> 501 Rejected data connection to foreign address 192.168.0.9:47123.

Obs: os astericos são o meu ip público Obs2: No navegador funciona perfeitamente

Acredito que o problema seja o endereço tipo C que estou enviando para o servidor mas não sei como resolver isso.

obrigado.

1
  • Você testou a conexão rodando o cliente e o servidor na mesma máquina?
    – jsbueno
    16/07/2019 às 20:16

1 Resposta 1

1

Olha só - consigo entender onde está o problema, mas não sei te passar a solução.

No protocolo FTP, e outros protocolos sobre TCP (como o próprio HTTP), quando é feita a primeira conexão para o servidor -esse que está escutando na porta 5001, o servidor transfere essa conexão para uma outra porta alta aleatória. Assim o servidor pode voltar a ouvir a porta 5001 esperando novas conexões. (no caso das suas mensagens a porta 47123 é a porta alta - ela pode variar entre tentativas diferentes, já que é basicamente sorteada).

E o que está acontecendo aí, baseado nas suas mensagens de erro é que ao mudar a conexão para essa conexão de "dados" do FTP, o servidor está passando o IP local dele - o 192.168.0.5 , e não o IP público (o que você mascarou). Infelizmente eu não sei o suficiente de TCP para saber a forma correta que o servidor FTP deveria usar pra mudar a conexão pra outra porta. A primeira vista eu diria que o servidor FTP está fazendo certinho e isso é um problema nas suas regras de rede: elas não sabem que ao receber o pacote que contém os dados de FTP para mudar a conexão pra outra porta tem que "traduzir" o IP do IP interno para o IP público.

Em suma, pra fazer funcionar como está vocẽ vai ter que entender como funciona essa mudança de conexão pra porta alta, no baixo nível do protocolo FTP, e qual componente deveria ser responsável por traduzir o IP interno para o IP público aí.

Solução 1: descarte o código do servidor e use SFTP

A recomendação no entanto é não deixar assim por algumas outras razões: ao criar um servidor de FTP você está reinventando a roda, e não é uma roda fácil em particular. O protocolo FTP é um dos mais antigos na internet, e ao longo de 3 ou décadas foi um dos mais vunlneráveis, com bons engenheiros de rede levando 15, 20 anos pra finalmente ter servidores FTP sem falha de segurança em seu código.

A biblioteca de Python que você está usando com certeza já incorpora muitas das correções encontradas nesse tempo, mas possivelmente existem outros problemas no nivel mais alto do protocolo que seriam responsabilidade do implementador do servidor corrigir. Como exemplos das duas situações - (1) a biblioteca tem esse objeto "Authorizer" aí que já pega a senha dentro do pacote FTP e usa os mecanismos diretos de autenticação do Posix, em vez de algo "feito a mão" com uma senha local. E (2) você liga o servidor no filesystem sem verificar nada, e sem dar um diretório de "starting point": provavelmente (não fui ler a doc do pyftplib) expõe seu filesystem todo, inclusive as pastas /var e /etc para o FTP, e todos os arquivos de usuários (incluindo códigos de programa, arquivos de condiguração com chaves secretas de produção, tudo ).

Outro coisa: mesmo que você faça um servidor FTP realmente seguro, e com todas as configurações de rede corretas: o procolo FTP é inseguro por natureza, por que as credenciais de login trafega mna internet sem criptografia alguma. Isso implica que um atacante que tenha acesso a qualquer roteador, ou outro ponto na rota dos seus dados pode capturar a senha.

Então - já que você não está fazendo nada de muito especial no servidor FTP, é melhor deixar um servidor já consolidado pra servir - e, mais ainda, usar o protoclo SFTP - que trafega os dados de FTP por um túnel de SSH e acabam-se os problemas de criptografia.

Subir um servidor SFTP é uma questão de duas linhas de configuração na configuração do OpenSSH - se quiser limitar o acesso sftp só ao usuário "marcelo", e manter SSH para outros usuários, vai precisar configurar mais coisas - senão é só isso mesmo. O código do cliente (se estiver usando o protocolo FTP corretamente) continua exatamente o mesmo,mas agora com acesso pelo túnel SSH.

No caso do fedora inclusive o sftp já vem habilitado por padrão no arquivo /etc/ssh/sshd_config - é só questão de ler a documentação para acertar as portas e restrição de usuários (e, de preferencia, a qual parte do filesystem conceder acesso).

outra solução, usando o seu código de servidor:

Uma alternativa ao SFTP se você realmente quiser customizar o acesso cm um servidor próprio é usar o SSH então para criar um túnel SSH para conectar o cliente ao servidor - isso também vai fazer o servidor funcionar bem sem se preocupar com IP, e vai resolver o problema dos dados trafegando em aberto na internet. (mesmo se o cliente for uma máquina Windows, o velho e bom "PuTTY" consegue abrir o túnel SSH necessário)

Qualquer que seja a sua opção, acho que você vai precisar disso aqui:

https://www.openssh.com/manual.html

1
  • Muito obrigado pela resposta, esclarecedora. Estou criando o FTP em python porque iria integra-lo em uma rotina de backup remoto automático, estou ciente das vulnerabilidades do FTP é por isso o servidor FTP seria levantado somente no momento programado e desligado quando terminasse o processo. Mas como você falou realmente estou reinventado a roda. posso fazer de outra maneira. 17/07/2019 às 12:06

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .