[Linux-bruxelles] proftpd sur sarge / utilisateurs NATés

[Eric Hanuise]

Hello

je suis occupé depuis un moment a chercher la source d'un problème sur
un serveur ftp (proftpd 1.2.9-7/sarge)

depuis quelques semaines (et je ne m'en suis pas rendu compte
immédiatement, donc aucune idée du changement précis qui a causé cela) ,
les utilisateurs qui sont sur le même réseau que le serveur ftp
continuent a avoir accès sans problèmes, mais les utilisateurs qui sont
NATés de l'extérieur vers le serveur ont des problèmes intermittents :
- le dialogue de login s'effectue parfois correctement, parfois c'est
'connected to ftp.xxxxxxxxx.xx' puis plus rien
- les commandes de type help, CD, ... fonctionnent
- dès qu'on fait un DIR ou un GET, plus rien.
Bref, visiblement le command channel passe mais le data channel se perd
en route.

exemple avec un client linux :
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> dir
229 Entering Extended Passive Mode (|||34079|)
500 Illegal EPRT command
200 PORT command successful
150 Opening ASCII mode data connection for file list
puis plus rien, jusqu'a un timeout message du client ftp.

exemple avec un client win2000 :
ftp> dir
521 Illegal PORT command
425 Unable to build data connection: Invalid argument
ftp> cd incoming
250 CWD command successful.
ftp> cd ..
250 CWD command successful.
ftp> dir
425 Unable to build data connection: Invalid argument
ftp> quote pasv
227 Entering passive mode (xx,xx,xx,xx,xx,xx)
ftp> dir
puis plus rien, jusqu'a un timeout message du client ftp.

j'ai evidemment essayé en mode 'normal' et en 'passive ftp', mais rien.
De plus le problème de login est intermittent (un coup ca va, on ferme
la connection, on relance, et un coup ca va pas.)

le serveur est en standalone, et sa config n'a pas changé entre le
moment ou ca marchait et le moment ou ca n'a plus marché.

Sur mon firewall, je vois un 'accept' des connections de l'extérieur
vers le serveur ftp, et ca marchait aussi 'avant'

je voudrais savoir si dans la sarge ce dernier mois des changements
notables ont été apportés a la gestion
réseau/iptables/NAT/forwarding/Masquerading ou si un script iptables par
défaut a été ajouté dans les packages (j'ai l'impression d'avoir raté un
truc :-)

J'ai l'impression que ca ne vient pas du service proftpd mais du reste
du système : j'ai essayé avec proftpd 1.2.9-8 et 1.2.9-9, meme
resultats. Avec proftpd 1.2.4 de woody sur ce serveur en sarge, meme
problème aussi

J'ai aussi essayé avec une autre machine en sarge, même problème : ca
marche depuis le LAN, ca foire depuis l'extérieur.
J'ai aussi essayé de changer de kernel (2.4.25 , puis 2.4.18, puis
2.4.16) pour etre certain que ce n'est pas du a un module iptables genre
connntrack ou autre, mais même resultat.

toute idée est la bienvenue :-)