ProFTPD mod_tls

[ju5t]

Ik wil voor een FTP server SSL configureren, maar ik loop ergens tegen aan waar ik niet uit kom.

In /var/log/proftpd/proftpd.tls.log krijg ik de volgende melding:

Jul 13 13:55:37 mod_tls/2.4.2[21926]: TLS/TLS-C requested, starting TLS handshake
Jul 13 13:55:39 mod_tls/2.4.2[21926]: unable to accept TLS connection: received EOF that violates protocol
Jul 13 13:55:39 mod_tls/2.4.2[21926]: TLS/TLS-C negotiation failed on control channel

Dit moet normaal opgelost kunnen worden met TLSOptions NoCertRequest, volgens ProFTPD tenminste.

In de configuratie staat het volgende, dit is overigens aardig default:


<IfModule mod_tls.c>
TLSEngine on
TLSLog /var/log/proftpd/proftpd.tls.log
TLSProtocol TLSv1
TLSVerifyClient off
TLSRequired off

#Certificates
TLSRSACertificateFile /etc/exim.cert
TLSRSACertificateKeyFile /etc/exim.key

TLSCipherSuite HIGH:MEDIUM:+TLSv1:!SSLv2:+SSLv3
</IfModule>

Deze staat buiten <Global>. De locatie van de files is correct, we gebruiken deze ook voor Exim bijvoorbeeld. Ook de rechten op deze files zijn default voor een DirectAdmin server. Dat ik het toch ergens anders vraag is omdat ik denk dat het probleem niet specifiek in DirectAdmin zit. De rechten op zowel de .cert als .key file zijn 644. De firewall in- of uitschakelen maakt geen verschil.

Ik gebruik FlashFXP om te testen met connection type: FTP using Explicit SSL (Auth TLS). De logging in de applicatie is beperkt tot het volgende:


[R] Connecting to server -> DNS=server IP=192.168.1.251 PORT=21
[R] Connected to server
[R] 220 ProFTPD 1.3.3e Server ready.
[R] AUTH TLS
[R] 234 AUTH TLS successful
[R] Connected. Negotiating TLSv1 session

En nadien gebeurt er niets meer, behalve de foutmelding in /var/log/proftpd/proftpd.tls.log.

Waar kijk ik overheen?

[Domenico]

Heb je het al op een andere poort dan 21 geprobeerd?

[SebastiaanStok]

Heb je toevallig de optie: Clear data channel? Dit probleem had ik vroeger met CuteFTP en PureFTPd als FTP server.
Met FileZilla als client heb ik nooit problemen gehad.

[ju5t]

Domenico: waarom moet dit verschil maken? Ik heb wel hier en daar gelezen dat een firewall op poort 21 soms vervelend deed, maar ook zonder firewall heb ik het probleem.

Sebastiaan: in die richting, "After login use Clear Command Channel". Maar zover kom ik niet. FlashFXP blijft hangen bij Negotiating TLSv1 session.

Ook het aanpassen van TLSProtocol naar SSLv23 maakt geen verschil. Ik heb ook de locatie van de certificaten gewijzigd inclusief de rechten naar de user waaronder ProFTPD draait, ook dat maakt niet uit.

Thanks voor het meedenken iig!

[Domenico]

Domenico: waarom moet dit verschil maken? Ik heb wel hier en daar gelezen dat een firewall op poort 21 soms vervelend deed, maar ook zonder firewall heb ik het probleem.
Dat dus! :) Maar als je dat al geprobeerd hebt (niet zonder firewall maar echt op een andere poort) houd het op.

Wat ik altijd doe is bij problemen is zeker testen met verschillende clients. Op deze manier sluit je 'verkeerde' client instellingen meestal uit.

[ju5t]

Goed, eigenwijs natuurlijk. Ik dacht dat het uitschakelen van de firewall en dan verbinding maken over poort 21 het probleem wel op zou lossen. Niet dus. Als ik de poort wijzig naar bijvoorbeeld 990 werkt het wel. Dat wil ik alleen niet :-)

Ik wil de configuratie zoveel mogelijk default laten waar mogelijk. En dat moet kunnen. Nu twijfel ik alleen even of hier op kantoor de firewall misschien roet in het eten gooit. Vanavond thuis maar spieken. Bedankt zover!

[ju5t]

Nog even een update. Als ik via Transmit op MacOS verbind krijg ik plus minus dezelfde melding als met FlashFXP op Windows. Gebruik ik Cyberduck dan gaat alles in een keer goed. Certificaat wordt goed geladen en het lijkt dus echt een client probleem te zijn.

Welke clients gebruiken jullie en met welke settings? Ik zie waarschijnlijk een vinkje over het hoofd.

[Yourwebhoster]

Nog even een update. Als ik via Transmit op MacOS verbind krijg ik plus minus dezelfde melding als met FlashFXP op Windows. Gebruik ik Cyberduck dan gaat alles in een keer goed. Certificaat wordt goed geladen en het lijkt dus echt een client probleem te zijn.

Welke clients gebruiken jullie en met welke settings? Ik zie waarschijnlijk een vinkje over het hoofd.
Filezilla bijvb icm explicit FTP over TLS.