[РЕШЕНО] vsftpd - проблема с загрузкой файлов

[No-Mad]

В продолжение темы, т.к. не смог победить https://forum.ubuntu.ru/index.php?topic=100369.0

1) Из локальной сети подключиться, смотреть, качать, закачивать могу
2) Из интернета могу подключиться, смотреть. КАЧАТЬ И ЗАКАЧИВАТЬ НЕ МОГУ.
3) конфиг:

(Нажмите, чтобы показать/скрыть)

ftpd_banner=Welcome to My FTP service
dirmessage_enable=YES
use_localtime=YES

listen=YES
listen_port=21
pasv_enable=YES
# pasv_address=
# pasv_addr_resolve=NO
pasv_min_port=50000
pasv_max_port=50500
connect_from_port_20=YES
ftp_data_port=20
# listen_ipv6=YES
idle_session_timeout=300
data_connection_timeout=120
max_clients=15
max_per_ip=5

anonymous_enable=YES
no_anon_password=YES
anon_root=/home/ftp/anonymous
# anon_upload_enable=YES
# anon_mkdir_write_enable=YES
# anon_other_write_enable=YES
# anon_umask=022

local_enable=YES
# session_support=YES
chroot_local_user=YES
# chroot_list_enable=YES
# chroot_list_file=/etc/vsftpd.chroot_list
# local_root=/home/ftp/$USER
write_enable=YES
local_umask=022
virtual_use_local_privs=YES
user_config_dir=/etc/vsftpd_user_conf
# userlist_enable=YES
# userlist_deny=NO
# userlist_file=/etc/vsftpd_user_conf/userlist

# chown_uploads=YES
# chown_username=whoever
# deny_email_enable=YES
# banned_email_file=/etc/vsftpd.banned_emails
# nopriv_user=ftpsecure
# async_abor_enable=YES
# ascii_upload_enable=YES
# ascii_download_enable=YES
# ls_recurse_enable=YES

xferlog_enable=YES
xferlog_file=/var/log/vsftpd.log
# xferlog_std_format=YES

pam_service_name=vsftpd
secure_chroot_dir=/var/run/vsftpd/empty
rsa_cert_file=/etc/ssl/private/vsftpd.pem

4) Конфиг пользователя

(Нажмите, чтобы показать/скрыть)

local_root=/home/ftp/vika
dirlist_enable=YES
download_enable=YES
write_enable=YES
mdtm_write=YES

5)
Лог клиента:

(Нажмите, чтобы показать/скрыть)

----------
Connect to: (10.08.2011 16:07:02)
hostname=IP
username=vika
startdir=
----------
Connect to: (10.08.2011 16:22:01)
hostname=IP
username=nomad
startdir=
220 Welcome to My FTP service
USER nomad
331 Please specify the password.
PASS ***********
230 Login successful.
SYST
215 UNIX Type: L8
FEAT
211-Features:
 MDTM
 PASV
 REST STREAM
 SIZE
 UTF8
211 End
HELP SITE
214-The following commands are recognized.
 ABOR ACCT ALLO APPE CDUP CWD  DELE EPRT EPSV FEAT HELP LIST MDTM MKD
 MODE NLST NOOP OPTS PASS PASV PORT PWD  QUIT REIN REST RETR RMD  RNFR
 RNTO SITE SIZE SMNT STAT STOR STOU STRU SYST TYPE USER XCUP XCWD XMKD
 XPWD XRMD
214 Help OK.
OPTS UTF8 ON
200 Always in UTF8 mode.
Connect ok!
PWD
257 "/"
Чтение каталога...
TYPE A
200 Switching to ASCII mode.
PASV
227 Entering Passive Mode (IP,196,211)
LIST
150 Here comes the directory listing.
Загрузка
Ожидание ответа сервера...
226 Directory send OK.
CWD Share
250 Directory successfully changed.
PWD
257 "/Share"
Чтение каталога...
PASV
227 Entering Passive Mode (IP,196,70)
LIST
150 Here comes the directory listing.
Загрузка
Ожидание ответа сервера...
226 Directory send OK.
DELE PARADOX gent.htm
250 Delete operation successful.
Deleted (10.08.2011 16:22:06): ftp://109.254.83.109/Share/PARADOX gent.htm
Чтение каталога...
PASV
227 Entering Passive Mode (IP,196,139)
LIST
150 Here comes the directory listing.
Загрузка
Ожидание ответа сервера...
226 Directory send OK.
NOOP
OFFLINE6, error=0

6) Лог с vsftpd за период подключения пользователя

(Нажмите, чтобы показать/скрыть)

Wed Aug 10 16:21:25 2011 [pid 2] CONNECT: Client "Client-IP"
Wed Aug 10 16:21:25 2011 [pid 1] [nomad] OK LOGIN: Client "Client-IP"
Wed Aug 10 16:21:26 2011 [pid 2] CONNECT: Client "Client-IP"
Wed Aug 10 16:21:26 2011 [pid 1] [nomad] OK LOGIN: Client "Client-IP"
Wed Aug 10 16:23:26 2011 [pid 2] CONNECT: Client "Client-IP"
Wed Aug 10 16:23:26 2011 [pid 1] [nomad] OK LOGIN: Client "Client-IP"
Wed Aug 10 16:25:26 2011 [pid 2] CONNECT: Client "Client-IP"
Wed Aug 10 16:25:26 2011 [pid 1] [nomad] OK LOGIN: Client "Client-IP"

7) на маршрутизаторе через NAT проброшены порты 20,21,50000-50500 на айпи сервера

из папки для анонимных пользователей чтение разрешено для всех пользователей

Собственно вопрос: что я не учёл?

P.S. Уточнение
попытка передачи файла останавливается на вот этом моменте

227 Entering Passive Mode (IP,196,64)
LIST
150 Here comes the directory listing.
Загрузка
Ожидание ответа сервера...
226 Directory send OK.

При этом сам файл создаётся, но с нулевым размером.
Удалять файлы я могу, и создавать, получается тоже могу - но все с нулевым размером.
Папки тоже могу создавать и удалять.
Повторюсь, что при подключении снаружи (через браузер, у меня Firefox) переход по папкам разрешён, но при просмотре/закачки файла почему-то ошибка 550 Failed to change directory.

[fisher74]

pasv_address=

Укажите реальный адрес для теста.
И предлагаю показать правила.. только желательно все результирующие, а не выжимки и не скрипты из загружающие.

[No-Mad]

По поводу "pasv_address="
Исходя из лога клиента - ftp-сервер передаёт свой айпишник правильно, подставляя не свой внутренний, а внешний; везде, где в логах указано "IP" - это мой реальный внешний айпишник.
Я уже пробовал указывать свой IP в этой опции, но результата никакого, т.к. клиент и так получает правильный адрес.

И предлагаю показать правила.. только желательно все результирующие, а не выжимки и не скрипты из загружающие.

О каких правилах и скриптах вы говорите ? Я указал полные версии логов и конфигов.

P.S. добавил информации в первый пост.

[djrust]

правила фаервола...откройте все порты на внешней сетевой и проверьте работу фтп

[No-Mad]

какого файрвола?
схема подключения такая FTP -> Router/Firewall/NAT -> клиенты
на роуетере порты проброшены, файрвол там хиленький (несколько основных функций ака проверка на подмену айпи, вычисление DDoS и проверка соответствия протоколам), но его я тоже отключил.
на самом ftp сервере никакого файрвола не ставил

[No-Mad]

Всем спасибо за внимание.
Только что разобрался.
На организации, откуда подключаются клиенты, стоит машинка DFL-210. Т.к. всё это добро досталось "по наследству", не заметил сразу одной хитрой настройки. Фильтр там "многослойный" оказался, и при отключенном файрволе (а это по сути аппаратный файрвол + маршрутизатор) фильтры контента продолжают действовать.
В общем был включен (не знаю зачем - эффекта нуль, а ресурсы жрёт) фильтр который проверяет у файлов, которые передаются через 80 и 21 порты соответствие контента заявленному типу и если не совпадает - разрывает соединение.
теперь все ок.

[fisher74]

какого файрвола?

iptables

на самом ftp сервере никакого файрвола не ставил

iptables ставится из коробки

Только что разобрался.
...
теперь все ок.

И это есть хорошо.

P.S. "Решите" тему.

[No-Mad]

Не знаю, как правильно "решается" тема, сделал так, как в заголовке.
Кстати, iptables у меня пустой.