为什么 vsftpd（防火墙后面）返回 pasv 地址的内部 IP 地址？

Question

我在另一个 Debian 防火墙后面的 Debian 服务器上使用 vsftpd。natting 是正确的，我可以从外部连接到 ftp 服务器。但是，当客户端发出PASV命令时，ftp 服务器会返回其内部 IP (192.168.0.19)。

我没有pasv_address在conf文件中设置指令，因此“地址是从传入的连接套接字中获取的”（从手册中复制）。在我看来，当外部客户端发出时PASV，应该返回防火墙的外部IP地址，而当内部客户端连接时，应该返回内部FTP服务器的IP。

当我将pasv_address指令设置为防火墙的外部 IP 时，一切都在外部正常工作，但随后在内部中断。当我将其设置为内部 IP 地址或注释掉 时pasv_address，内部客户端可以工作，但外部客户端则不能。

有人有任何见解吗？

编辑1：这是服务器端日志文件：

Thu Sep  7 10:36:15 2017 [pid 9093] FTP command: Client "x.x.x.x", "USER yyy"
Thu Sep  7 10:36:15 2017 [pid 9093] [yyy] FTP response: Client "x.x.x.x", "331 Please specify the password."
Thu Sep  7 10:36:15 2017 [pid 9093] [yyy] FTP command: Client "x.x.x.x", "PASS <password>"
Thu Sep  7 10:36:15 2017 [pid 9092] [yyy] OK LOGIN: Client "x.x.x.x"
Thu Sep  7 10:36:15 2017 [pid 9094] [yyy] FTP response: Client "x.x.x.x", "230 Login successful."
Thu Sep  7 10:36:15 2017 [pid 9094] [yyy] FTP command: Client "x.x.x.x", "OPTS utf8 on"
Thu Sep  7 10:36:15 2017 [pid 9094] [yyy] FTP response: Client "x.x.x.x", "200 Always in UTF8 mode."
Thu Sep  7 10:36:15 2017 [pid 9094] [yyy] FTP command: Client "x.x.x.x", "PWD"
Thu Sep  7 10:36:15 2017 [pid 9094] [yyy] FTP response: Client "x.x.x.x", "257 "/""
Thu Sep  7 10:36:15 2017 [pid 9094] [yyy] FTP command: Client "x.x.x.x", "CWD /DownloadProduction/"
Thu Sep  7 10:36:15 2017 [pid 9094] [yyy] FTP response: Client "x.x.x.x", "250 Directory successfully changed."
Thu Sep  7 10:36:15 2017 [pid 9094] [yyy] FTP command: Client "x.x.x.x", "TYPE A"
Thu Sep  7 10:36:15 2017 [pid 9094] [yyy] FTP response: Client "x.x.x.x", "200 Switching to ASCII mode."
Thu Sep  7 10:36:15 2017 [pid 9094] [yyy] FTP command: Client "x.x.x.x", "PASV"
Thu Sep  7 10:36:15 2017 [pid 9094] [yyy] FTP response: Client "x.x.x.x", "227 Entering Passive Mode (192,168,0,19,192,27)."

编辑 2：我能够使用 ProFTPD 来完成这项工作。以下是服务器故障案例：防火墙后面的 ProFTPd 服务器返回 WAN 和 LAN 连接的内部 IP 地址

Answer 1

如果您位于外部防火墙后面，则传入连接实际上来自外部防火墙。所以服务器IP地址就是它的内部IP地址。您所描述的是“正确”的行为。FTP 服务器不知道（也不可能知道）防火墙的外部 IP 地址。

您可以做的就是为 FTP 服务器分配两个 IP 地址。一种用于外部使用，一种用于内部使用。并配置FTP服务器为外部IP地址上的连接返回防火墙外部IP地址；以及用于内部 IP 地址上的连接的内部IP 地址。

虽然我不确定 vsftpd 是否允许这样的配置。ProFTPD 确实如此。