Proxy FTP

Un proxy FTP permite la transferencia de archivos a través de un servidor proxy actuando como intermediario entre un cliente FTP y un servidor FTP, facilitando tanto las conexiones de control como las de datos, particularmente a través de límites de red como firewalls o dispositivos de Traducción de Direcciones de Red (NAT).

Entendiendo los Modos de Conexión FTP

El Protocolo de Transferencia de Archivos (FTP) utiliza dos conexiones distintas para cada sesión:
1. Conexión de Control: Una conexión persistente establecida en el puerto TCP 21 (por defecto) para enviar comandos (por ejemplo, USER, PASS, LIST, GET, PUT) y recibir respuestas.
2. Conexión de Datos: Una conexión temporal utilizada para la transferencia real de datos de archivos o listados de directorios. El establecimiento de esta conexión varía según el modo FTP.

Modo Activo FTP

En modo activo, el cliente FTP inicia la conexión de control con el servidor. Cuando se solicita una transferencia de datos, el cliente envía un comando PORT al servidor, especificando una dirección IP y un número de puerto en el que escuchará la conexión de datos. El servidor FTP luego inicia una conexión de datos de vuelta a la IP y puerto especificados del cliente desde su propio puerto TCP 20 (por defecto).

Desafíos con el Modo Activo:
El modo activo a menudo falla a través de firewalls porque el servidor intenta iniciar una conexión de vuelta al cliente. Si el cliente está detrás de un firewall que bloquea las conexiones entrantes no solicitadas, la conexión de datos no se puede establecer.

Cliente (Puerto X) --------> Servidor (Puerto 21) [Conexión de Control]
Cliente (Puerto Y) <-------- Servidor (Puerto 20) [Conexión de Datos - Bloqueada por Firewall]

Modo Pasivo FTP

En modo pasivo, el cliente FTP inicia tanto la conexión de control como la de datos. Después de establecer la conexión de control, el cliente envía un comando PASV al servidor. El servidor responde con una dirección IP y un número de puerto en el que escuchará la conexión de datos. El cliente luego inicia la conexión de datos a la IP y puerto especificados del servidor.

Ventajas del Modo Pasivo:
El modo pasivo es generalmente más amigable con los firewalls porque el cliente inicia todas las conexiones, simplificando las reglas del firewall.

Cliente (Puerto X) --------> Servidor (Puerto 21) [Conexión de Control]
Cliente (Puerto Y) --------> Servidor (Puerto Z)  [Conexión de Datos]

Cómo Funciona un Proxy FTP

Un servidor proxy FTP opera interceptando el tráfico FTP y gestionando las complejidades de las conexiones de control y de datos en nombre del cliente. Esto es crucial para entornos con políticas de firewall estrictas, NAT, o para implementar seguridad y registro.

El proxy actúa como una pasarela a nivel de aplicación (ALG), entendiendo los comandos y respuestas del protocolo FTP.

1. El cliente se conecta al Proxy: El cliente FTP se configura para conectarse al servidor proxy FTP en lugar de directamente al servidor FTP.
2. El Proxy se conecta al Servidor FTP: El proxy establece una conexión de control con el servidor FTP real en nombre del cliente.
3. Intercepción y Modificación de Comandos:
   • Modo Activo (comando PORT): Cuando el cliente envía un comando PORT, proporciona su propia IP y puerto. El proxy intercepta esto, reemplaza la IP y el puerto del cliente con su propia IP y un puerto disponible, y reenvía el comando PORT modificado al servidor FTP. El proxy luego escucha en el puerto especificado. Cuando el servidor FTP inicia la conexión de datos al proxy, el proxy la recibe y reenvía los datos al cliente.
   • Modo Pasivo (comando PASV): Cuando el cliente envía un comando PASV, el servidor FTP responde con su IP y puerto para la conexión de datos. El proxy intercepta esta respuesta, reemplaza la IP y el puerto del servidor con su propia IP pública y un puerto disponible, y reenvía la respuesta modificada al cliente. El cliente luego inicia la conexión de datos al proxy, que a su vez establece una conexión de datos con el servidor FTP y retransmite los datos.

Este proceso asegura que los detalles de la red interna (IPs de clientes, puertos efímeros) no se expongan externamente, y las reglas del firewall solo necesitan permitir conexiones hacia/desde el proxy.

Tipos de Proxies FTP

Proxy SOCKS

Un proxy SOCKS (Socket Secure) es un proxy de propósito general que opera en la Capa 5 (Capa de Sesión) del modelo OSI. Reenvía las conexiones TCP del cliente al servidor de destino. Aunque SOCKS puede actuar como proxy para la conexión de control FTP, no es consciente de la aplicación y no puede interpretar los comandos FTP. Esto significa que no puede manejar directamente las asignaciones dinámicas de puertos para las conexiones de datos en los modos FTP activo o pasivo.

• SOCKS5 para FTP: Un proxy SOCKS5 puede facilitar la conexión de control inicial. Para la conexión de datos, el cliente FTP debe configurarse explícitamente para usar el proxy SOCKS para ambas conexiones de control y de datos, y el proxy SOCKS debe permitir las conexiones salientes necesarias. Los proxies SOCKS5 a menudo funcionan mejor con el modo FTP pasivo si el cliente puede configurarse para tunelizar ambas conexiones a través de SOCKS.

Pasarela a Nivel de Aplicación (ALG) / Proxy FTP Dedicado

Una pasarela a nivel de aplicación (ALG) o un proxy FTP dedicado es consciente del protocolo. Entiende los matices del protocolo FTP, incluidos los comandos PORT y PASV. Esto le permite reescribir dinámicamente las direcciones IP y los números de puerto en el canal de control FTP para gestionar eficazmente la configuración de la conexión de datos. Los firewalls a menudo incorporan ALGs FTP para permitir que el tráfico FTP los atraviese sin una compleja redirección manual de puertos.

Proxy FTP Transparente

Un proxy FTP transparente intercepta el tráfico FTP sin requerir que el cliente esté configurado explícitamente para usar un proxy. Esto se logra típicamente enrutando el tráfico de red a través del servidor proxy, a menudo utilizando reglas de firewall (por ejemplo, redirigiendo el tráfico del puerto 21 al proxy). El cliente cree que se está conectando directamente al servidor FTP. El proxy luego realiza la misma intercepción y reescritura de comandos que un proxy FTP dedicado.

Beneficios de Usar un Proxy FTP

• Atravesar Firewalls: Permite que los clientes FTP detrás de firewalls o dispositivos NAT se conecten a servidores FTP externos, y viceversa, mediando la negociación de la conexión de datos.
• Seguridad:
  • Anonimato: Oculta la dirección IP real del cliente al servidor FTP.
  • Control de Acceso: Gestión centralizada de quién puede acceder a qué servidores o recursos FTP.
  • Inspección de Contenido: Algunos proxies avanzados pueden inspeccionar los archivos transferidos en busca de malware o violaciones de políticas (aunque menos común para proxies FTP básicos).
• Atravesar Traducción de Direcciones de Red (NAT): Resuelve problemas donde los comandos FTP contienen direcciones IP privadas no enrutables.
• Registro y Auditoría: Registro centralizado de todas las sesiones FTP, incluidos los comandos emitidos y los archivos transferidos, para auditoría de seguridad y cumplimiento.
• Caché: Algunos proxies pueden almacenar en caché archivos a los que se accede con frecuencia, mejorando el rendimiento para solicitudes posteriores (menos común para proxies FTP tradicionales, pero posible).

Desafíos y Consideraciones

• Sobrecarga de Rendimiento: El proxy introduce un salto adicional y una capa de procesamiento, lo que potencialmente aumenta la latencia y reduce el rendimiento en comparación con una conexión directa.
• Complejidad de Configuración: Configurar y mantener un proxy FTP, especialmente para topologías de red complejas, puede ser intrincado.
• Problemas de Compatibilidad: Clientes o servidores FTP no estándar, o aquellos que utilizan rangos de puertos no estándar, pueden encontrar problemas si el ALG del proxy no es lo suficientemente robusto.
• FTPS (FTP sobre SSL/TLS):
  • FTPS Explícito: La conexión de control comienza de forma insegura y luego se actualiza a TLS utilizando AUTH TLS o AUTH SSL. La conexión de datos también está cifrada. Un proxy FTP o ALG necesita entender y terminar la sesión TLS (actuando como un Man-in-the-Middle) para inspeccionar y reescribir comandos. Esto requiere que el proxy tenga el certificado del servidor o emita el suyo propio, en el que los clientes deben confiar.
  • FTPS Implícito: Toda la sesión FTP (control y datos) está cifrada desde el principio, típicamente en el puerto 990. Un proxy FTP no puede inspeccionar o modificar los comandos del canal de control porque están cifrados. En este escenario, el proxy actúa como un simple túnel TCP, perdiendo su inteligencia a nivel de aplicación. A menudo, se utiliza un proxy SOCKS o un simple reenvío de puertos para FTPS implícito.
• Consumo de Recursos: Los proxies FTP dedicados pueden consumir importantes recursos de CPU y memoria, especialmente con un alto volumen de conexiones concurrentes o transferencias de archivos grandes.

Ejemplos de Configuración del Lado del Cliente

La mayoría de los clientes FTP admiten la configuración de proxy. Esto típicamente implica especificar la dirección IP y el puerto del servidor proxy.

Uso de Variables de Entorno (para clientes de línea de comandos como ftp o wget):

export ftp_proxy="http://proxy.example.com:8080"
export FTP_PROXY="http://proxy.example.com:8080"
# Para proxy SOCKS
export all_proxy="socks5://proxy.example.com:1080"

Configuración Específica del Cliente (conceptual):

• FileZilla (Cliente GUI): Editar > Opciones > Conexión > Proxy FTP. Aquí puede seleccionar el tipo de proxy (SOCKS5, HTTP 1.1, Personalizado).
• lftp (Cliente de línea de comandos):
  set ftp:proxy-host proxy.example.com set ftp:proxy-port 8080

Configuración del Servidor Proxy (Conceptual)

Los proxies FTP dedicados o los firewalls con capacidades ALG FTP manejan automáticamente las especificidades del protocolo. Para proxies de propósito general como Squid, podrían requerirse configuraciones específicas, aunque Squid actúa principalmente como un proxy HTTP/HTTPS y tiene capacidades ALG FTP directas limitadas más allá del tunelado básico.

Ejemplo de un ALG FTP en un firewall (sintaxis conceptual):

firewall {
    rule 1 {
        action accept
        source any
        destination any
        service ftp
        application-gateway ftp
    }
}

Esta regla instruye al firewall para aplicar su pasarela a nivel de aplicación FTP incorporada a todo el tráfico FTP, permitiéndole inspeccionar y reescribir comandos para la negociación de la conexión de datos.

Comparación: Proxy SOCKS vs. Proxy FTP Dedicado