proftpd 外部から接続失敗の原因？

質問

現在、Centos8 準拠の国産の Miracle Linux 8.6 を使って、自宅サーバーを立ち上げていますが、FTP サーバーのところで、外部から（LAN外から）のアクセスに失敗します。

＜インストール内容＞

　・proftpd のバージョンは、Proftpd 1.3.7f で、主な設定内容は、

　　　- サーバーモードは standalone
　　　- ポート番号は　2121
　　　- User ftp　　 Group ftp
　　　- PassivePorts 49152 49153

　　となっています。IODATA 社の NAS が FTP 機能を有しており標準のポート番号 21 が使われているので、今回 2121 に変更しています。
　　なお、ルーター側で TCP 2121 の信号が、今回の自宅サーバーに届くように、ポート解放とポート変換の設定はできています。

＜不具合現象＞

　Windows PC 側で FFFTP というクライアントソフトで確認すると、

　LAN 内部からは　passive モード　非passive モード　のとちらでも接続ＯＫ。
　LAN 外部からは　passive モード　非passive モード　のとちらでも接続失敗。

　という結果となっています。

＜私が考察した内容＞

　FFFTP での失敗ログを見ると

-----　ここからです。

FTP over Explicit SSL/TLS (FTPES)を使用します.
ホスト xxxxxx.f5.si を探しています. (TCP/IPv4)
ホスト xxxxxx.f5.si を探しています. (TCP/IPv6)
ホスト xxxxxx.f5.si (27.95.9.100 (2121)) に接続しています. (TCP/IPv4)
ホスト xxxxxx.f5.si が見つかりません. (TCP/IPv6)
接続しました. (TCP/IPv4)
220 192.168.2.150 FTP server ready
>AUTH TLS
234 AUTH TLS successful
>PBSZ 0
200 PBSZ 0 successful
>PROT P
200 Protection set to Private
>USER root
331 Password required for root
>PASS [xxxxxx]
230 User root logged in
>FEAT
211-Features:
AUTH TLS
CCC
CLNT
EPRT
EPSV
HOST
MDTM
MFF modify;UNIX.group;UNIX.mode;
MFMT
MLST modify*;perm*;size*;type*;unique*;UNIX.group*;UNIX.groupname*;UNIX.mode*;UNIX.owner*;UNIX.ownername*;
PBSZ
PROT
RANG STREAM
REST STREAM
SIZE
SSCN
TVFS
211 End
>TYPE A
200 Type set to A
>PASV
227 Entering Passive Mode (192,168,2,150,192,0).
ダウンロードのためにホスト 192.168.2.150 (49152) に接続しています. (TCP/IPv4)
接続できません. (TCP/IPv4)
ファイル一覧の取得を中止しました.
>CWD

--------　ここまでです。

となります。　上記で、xxxxxx.f5.si　は、DDNS now 社の DDNS のドメインですが、ここではサブドメインを xxxxx としています。
また、グローバル　IP 27.95.9.100 も今回の報告の際に架空のもので記載しています。

おかしいのは、下記の部分で、

　ダウンロードのためにホスト 192.168.2.150 (49152) に接続しています. (TCP/IPv4)

ここは当然、以下のようにグローバルIPである必要があるので、これが接続失敗の原因のようです。

　ダウンロードのためにホスト 27.95.9.100 (49152) に接続しています. (TCP/IPv4)

＜その他情報＞

知人で、Centos6 で、ポート 2121 で外部接続が成功している人がいたので、その人の proftpd.conf　（ただし、proftpd のバージョンは相当古いが不明との事でした）を見せてもらったところ、

ServerType inetd
port 2121
PassivePorts 49152 49153
MasqueradeAddress xxxxxx.f5.si

のようになっていました。

今回、私がインストールした Proftpd 1.3.7f の .conf ファイルには、MasqueradeAddress の記載が全くなかったので最後の行を追加しましたが、不具合は改善されませんでした。
知人曰く、「サーバータイプが standalone ではダメなのでは？」との話でしたが、これが本当かどうか、私にはわかりません。

＜アドバイス頂きたい事＞

　最終的には、外部から proftpd に接続できる事ですが、まずは以下の私の疑問に関しご教示頂きたくよろしくお願いいたします。

　(1) proftpd を外部接続する際に、standalone では原理的に無理なのか？　（知人の言う事は本当か？）
　(2) もし、standalone でも正しく設定すれば外部からの接続が可能ならば、どのように設定するのか？
　　　前述のように Proftpd 1.3.7f の .conf ファイルには、MasqueradeAddress の記載が無いが、どこか別のところで設定するのか？
　(3) もし、standalone では原理的に無理ならば、inetd での設定方法についてわかりやすく記載されたネット情報（URL等）をご教示下さい。
　　　私なりにネット情報を見たのですが、
　　　　xinetd インストール　とか、（proftpd ではなく）　xproftpd　という語句が出てきて、とても複雑そうです。

　以上、よろしくお願いいたします。

回答No.2

superside0 · ベストアンサー

MasqueradeAddress を使う場合は、
自宅が固定IPでないなら、
立ち上げっぱなしのstandaloneだとIPが変わっても追従できないので、
リスエストごとに都度起動するinetd方式のほうがよいでしょうね。

ただ、今回の問題は動的IPアドレスの変化に追従してくれないというものでなく　
「227 Entering Passive Mode (192,168,2,150,192,0).」
となって、パッシブモードのIPアドレスにプライベートアドレスを
をレスポンスしてしまうということなのでそれとは別の問題ですね。

最近のルーターなら、FTPのポート転送を設定するだけで、
ルーターがパッシブモードのIPアドレスの置換までやってくれるので
MasqueradeAddressの設定は不要なはずです。

ですが、ポート21ではないってことなので、
もしかして、ftp用のポート転送設定ができてなくて、
ルーターがパッシブモードのIPの置換をしてくれてない
可能性はないでしょうか？（ルーターの仕様次第ですが）

この場合なら、ルーターの設定で　プロトコルはFTPのままで、
ポート番号を変更できる機能があるなら、それを使ってみてはどうでしょう。
もし、ftpを選ぶとポート21でしかポート転送できないルータならば
MasqueradeAddress DDNSのホスト名
を指定するしかないでしょうね。

それと
「なお、ルーター側で TCP 2121 の信号が、今回の自宅サーバーに届くように、ポート解放とポート変換の設定はできています。」
とのことですが、
PassivePorts 49152 49153
で指定しているポート番号のポート開放とポート変換も
できていますか？
（パッシブモードは外部→内部なので、ポート転送が必要です）

別の問題かもしれませんが、MasqueradeAddress を指定したときの
FFFTPのログの
227 Entering Passive Mode（～）
のIPアドレスや、そのあとどこでエラーしているのかを
丁寧にみてみるとよいかと思います。
（サーバー側のログもですが）

補足

わかりやすいご説明、ありがとうございました。

まだ standalone モードのままですが、以下のように試行錯誤して、外部からも内部からも FTP サーバーに接続できるようになりました。

(1) proftpd.conf に以下のように、直接グローバルIPを記述する。

　　　MasqueradeAddress 27.95.9.100

　　　→　問題無く、外部から接続できた。
　　　　　従って、ルーターの設定等は問題無い事が判明。
　　　　　　（質問時の記載に漏れていましたが、49152 49153　のポート解放とポートマッピングは変更済みでした。）

　　　　　ただし、この状態では内部からはアクセスできなくなってしまった。

(2) 質問時に、
　　　MasqueradeAddress xxxxxx.f5.si
　　のように、DDNS のドメイン名を記載したが改善されなかった理由は、私の場合、内向き DNS を建てていて、ドメイン名が
　　インターネット名と同じ名前であったのが原因のようでした。

　　昔の IODATA の NAS は、製品登録すれば無料で DDNS のドメインが入手できるので、今回この NAS を引っ張り出して、FTP 専用の
　　ドメイン名を用意し、このドメイン名を　MasqueradeAddressに　記述したところ、

　　　- 外部からは passive モードで接続ＯＫ。
　　　- 内部からは 非passive モードで接続ＯＫ。（passive モードでは接続ＮＧですが）

　　となり、これが最適解ではないかもしれませんが、何とか最初のターゲットはクリアできました。ありがとうございました。

＞MasqueradeAddress を使う場合は、自宅が固定IPでないなら、立ち上げっぱなしのstandaloneだとIPが変わっても追従できないので、
＞リスエストごとに都度起動するinetd方式のほうがよいでしょうね。

　確かに、standalone モードだと IP の変化が起きても DNS を牽き直さないので、やはり inetd 方式にする必要があるわけですね。

　xinetd インストール　とか、（proftpd ではなく）　xproftpd　とか、ハードルが高そうですが、チャレンジしてみます。

　superside0 様は、この分野にお詳しいようですので、この質問コーナーをクローズせずに、何か困った事があったら質問しても
　よろしいでしょうか？

　以上、よろしくお願いいたします。

回答No.4

superside0

> この機能を有しているルーターの型番を教えて頂ければあ
りがたいです。

私が自宅で使っているのは台湾のTP-Link製の7000円ぐらいのですが
「ヘアピンNAT　NATループバック　ルーター」
で検索すると色々ありますよ。

VPNサーバーも必要なら、それなりのルーターが必要になるかと思いますが、
昔のPPTPのみのVPNサーバー付きルーターだと、
今どきのMacやiOS(iPhone)から接続できないので
L2TP/IPsec対応VPNサーバー付きルーターとなるでしょう。
ちなみに、私は上記のルーターにはVPNサーバー機能はないですが
L2TPをLinuxサーバーにポート転送して、
LinuxでL2TP/IPsecを待ち受けさせてVPNサーバーにしています。

お礼

情報提供、ありがとうございました。

回答No.3

superside0

補足読みました。

ルーターが 　パッシブモードのIPアドレス置換までやってくるタイプなら
proftpd.confでMasqueradeAddress指定自体が不要になるので、
そうすれば、standaloneでも問題ないでしょうね。

もし21番ポートでないと パッシブモードのIP置換をやってくれないルーターということなら、
NASとLinuxの２つのFTPサーバーでなく
Linuxからsambaクライアントを使ってNASをマウントして、
FTPはLinuxに一本化するという方法も考えられますね。

それと、
「内向き DNS を建てていて、」っていうのは、
LAN内から自宅サーバーへグローバルIPへアクセスできないので
プライベートIPアドレスで記述したLAN内専用のDNSを立てているということなのでしょうけど、
「ヘアピンNAT」を搭載しているルーターなら
LAN内からルーターのWAN側のIPアドレスにアクセスしても
内部サーバーにポート転送してくれます。
それならば、そもそもプライベートIPで定義する内部DNS自体も不要になりますし
内部からでもパッシブモードでの接続も可能になるはずです。
（実際に、私はそうやって解決しています）

なお　このコーナーのクローズ云々の件ですが、
１つのスレッドで　テーマが混在するのは
このOKWAVEの他の利用者にとっても望まない利用方法でしょうから
別の質問は、都度にあげられたほうがよいと思いますよ。

補足

＞プライベートIPアドレスで記述したLAN内専用のDNSを立てているということなのでしょうけど、
「ヘアピンNAT」を搭載しているルーターなら
LAN内からルーターのWAN側のIPアドレスにアクセスしても
内部サーバーにポート転送してくれます。
それならば、そもそもプライベートIPで定義する内部DNS自体も不要になりますし
内部からでもパッシブモードでの接続も可能になるはずです。
（実際に、私はそうやって解決しています）

そうなんですか。この機能を有しているルーターの型番を教えて頂ければありがたいです。

ちなみにうちは、Buffalo の有線ルーターで「BHR-4GRV2」というもので、その後ろに無線LANのアクセスポイント（ルーター機能なし）を接続しています。この機種は　VPN（PPTP）対応だったので、大昔に購入しのですが、今でも使い続けています。

＞１つのスレッドで　テーマが混在するのは
このOKWAVEの他の利用者にとっても望まない利用方法でしょうから
別の質問は、都度にあげられたほうがよいと思いますよ。

了解しました。そうします。
ありがとうございました。

回答No.1

abiwirang

FTPサーバに接続できない問題は、いくつかの原因が考えられます。以下のような点を確認してみることをおすすめします。

ポートフォワーディングの設定
FTPサーバが正しく外部からアクセスできるようにするためには、ルーターのポートフォワーディング設定が必要です。質問文にあるように、ポート 2121 のトラフィックをFTPサーバに転送するように設定されていることを確認してください。

FTPサーバの設定
FTPサーバが正しく構成されていることを確認してください。設定ファイル（通常は /etc/proftpd.conf ）を確認して、FTPサーバのポート番号、ユーザー、パッシブポートの範囲などが正しいかどうかを確認してください。また、FTPサーバが起動していることも確認してください。

ファイアウォールの設定
ファイアウォールが正しく設定されているかどうかを確認してください。例えば、SELinuxが有効になっている場合、FTPサーバのディレクトリが正しい権限を持っているかどうか、FTPサーバのプロセスがSELinuxのポリシーに遵守しているかどうかなどを確認する必要があります。

ネットワーク設定
ネットワーク設定に問題がある可能性があります。例えば、FTPサーバが正しく構成されているにもかかわらず、外部からアクセスできない場合、ISPがポート2121をブロックしている場合があります。また、NATを使用している場合、内部ネットワークのIPアドレスが正しく公開されているかどうかを確認する必要があります。

これらの点を確認して、問題を特定してください。また、FTPサーバへの接続が失敗した場合は、FTPクライアントが表示するエラーメッセージを確認して、問題の原因を特定する手がかりを探すことも重要です。

補足

早速のコメント、ありがとうございました。
SELinux は無効にしていました。（記載漏れ、すみません）

何とか、外部から接続できるようになりました。
superside0 様の回答に補足で記載しました。