Proxy FTP

Um proxy FTP permite a transferência de arquivos através de um servidor proxy, atuando como intermediário entre um cliente FTP e um servidor FTP e viabilizando tanto a conexão de controle quanto a de dados, principalmente através de fronteiras de rede como firewalls ou dispositivos de Network Address Translation (NAT).

Entendendo os modos de conexão FTP

O File Transfer Protocol (FTP) usa duas conexões distintas em cada sessão:
1. Conexão de controle: Uma conexão persistente estabelecida na porta TCP 21 (padrão) para enviar comandos (por exemplo, USER, PASS, LIST, GET, PUT) e receber respostas.
2. Conexão de dados: Uma conexão temporária usada para a transferência efetiva dos dados dos arquivos ou das listagens de diretórios. A forma como essa conexão é estabelecida varia conforme o modo FTP.

FTP em modo ativo

No modo ativo, o cliente FTP inicia a conexão de controle com o servidor. Quando uma transferência de dados é solicitada, o cliente envia um comando PORT ao servidor, indicando um endereço IP e um número de porta nos quais ficará escutando pela conexão de dados. O servidor FTP então inicia a conexão de dados de volta para o IP e a porta indicados pelo cliente, a partir de sua própria porta TCP 20 (padrão).

Problemas do modo ativo:
O modo ativo costuma falhar através de firewalls porque o servidor tenta iniciar uma conexão de volta para o cliente. Se o cliente estiver atrás de um firewall que bloqueia conexões de entrada não solicitadas, a conexão de dados não pode ser estabelecida.

Client (Port X) --------> Server (Port 21) [Control Connection]
Client (Port Y) <-------- Server (Port 20) [Data Connection - Blocked by Firewall]

FTP em modo passivo

No modo passivo, o cliente FTP inicia tanto a conexão de controle quanto a de dados. Depois de estabelecer a conexão de controle, o cliente envia um comando PASV ao servidor. O servidor responde com um endereço IP e um número de porta nos quais ficará escutando pela conexão de dados. O cliente então inicia a conexão de dados para o IP e a porta indicados pelo servidor.

Vantagens do modo passivo:
O modo passivo costuma ser mais amigável a firewalls, porque o cliente inicia todas as conexões, o que simplifica as regras de firewall.

Client (Port X) --------> Server (Port 21) [Control Connection]
Client (Port Y) --------> Server (Port Z)  [Data Connection]

Como funciona um proxy FTP

Um servidor proxy FTP funciona interceptando o tráfego FTP e gerenciando as complexidades das conexões de controle e de dados em nome do cliente. Isso é essencial em ambientes com políticas rígidas de firewall, com NAT, ou para implementar segurança e registro de logs.

O proxy atua como um gateway de nível de aplicação (ALG), compreendendo os comandos e respostas do protocolo FTP.

1. O cliente conecta ao proxy: O cliente FTP é configurado para se conectar ao servidor proxy FTP em vez de conectar diretamente ao servidor FTP.
2. O proxy conecta ao servidor FTP: O proxy estabelece uma conexão de controle com o servidor FTP real em nome do cliente.
3. Interceptação e modificação de comandos:
   • Modo ativo (comando PORT): Quando o cliente envia um comando PORT, ele informa seu próprio IP e porta. O proxy intercepta isso, substitui o IP e a porta do cliente pelo seu próprio IP e por uma porta disponível, e encaminha o comando PORT modificado ao servidor FTP. O proxy então escuta na porta indicada. Quando o servidor FTP inicia a conexão de dados com o proxy, este a recebe e encaminha os dados ao cliente.
   • Modo passivo (comando PASV): Quando o cliente envia um comando PASV, o servidor FTP responde com seu IP e porta para a conexão de dados. O proxy intercepta essa resposta, substitui o IP e a porta do servidor pelo seu próprio IP público e por uma porta disponível, e encaminha a resposta modificada ao cliente. O cliente então inicia a conexão de dados com o proxy, que por sua vez estabelece uma conexão de dados com o servidor FTP e retransmite os dados.

Esse processo garante que os detalhes da rede interna (IPs dos clientes, portas efêmeras) não sejam expostos externamente, e que as regras de firewall precisem apenas permitir conexões de/para o proxy.

Tipos de proxies FTP

Proxy SOCKS

Um proxy SOCKS (Socket Secure) é um proxy de uso geral que opera na camada 5 (camada de sessão) do modelo OSI. Ele encaminha conexões TCP do cliente para o servidor de destino. Embora o SOCKS possa intermediar a conexão de controle FTP, ele não conhece a aplicação e não consegue interpretar comandos FTP. Isso significa que ele não consegue lidar diretamente com a alocação dinâmica de portas para as conexões de dados, nem no modo ativo nem no passivo.

• SOCKS5 para FTP: Um proxy SOCKS5 pode viabilizar a conexão de controle inicial. Para a conexão de dados, o cliente FTP precisa ser explicitamente configurado para usar o proxy SOCKS tanto para a conexão de controle quanto para a de dados, e o proxy SOCKS precisa permitir as conexões de saída necessárias. Proxies SOCKS5 costumam funcionar melhor com FTP em modo passivo, se o cliente puder ser configurado para tunelar ambas as conexões pelo SOCKS.

Gateway de nível de aplicação (ALG) / proxy FTP dedicado

Um gateway de nível de aplicação (ALG) ou proxy FTP dedicado conhece o protocolo. Ele entende as particularidades do FTP, incluindo os comandos PORT e PASV. Isso permite reescrever dinamicamente endereços IP e números de porta no canal de controle FTP para gerenciar com eficácia o estabelecimento da conexão de dados. Firewalls frequentemente incorporam ALGs de FTP para permitir que o tráfego FTP os atravesse sem encaminhamento manual e complexo de portas.

Proxy FTP transparente

Um proxy FTP transparente intercepta o tráfego FTP sem exigir que o cliente seja explicitamente configurado para usar um proxy. Isso normalmente é alcançado roteando o tráfego de rede através do servidor proxy, muitas vezes com regras de firewall (por exemplo, redirecionando o tráfego da porta 21 para o proxy). O cliente acredita estar se conectando diretamente ao servidor FTP. O proxy então realiza a mesma interceptação e reescrita de comandos de um proxy FTP dedicado.

Benefícios de usar um proxy FTP

• Travessia de firewall: Permite que clientes FTP atrás de firewalls ou dispositivos NAT se conectem a servidores FTP externos, e vice-versa, mediando a negociação da conexão de dados.
• Segurança:
  • Anonimato: Oculta o endereço IP real do cliente do servidor FTP.
  • Controle de acesso: Gerenciamento centralizado de quem pode acessar quais servidores ou recursos FTP.
  • Inspeção de conteúdo: Alguns proxies avançados conseguem inspecionar os arquivos transferidos em busca de malware ou violações de política (embora isso seja menos comum em proxies FTP básicos).
• Travessia de NAT (Network Address Translation): Resolve problemas em que os comandos FTP contêm endereços IP privados não roteáveis.
• Logs e auditoria: Registro centralizado de todas as sessões FTP, incluindo comandos emitidos e arquivos transferidos, para auditoria de segurança e conformidade.
• Cache: Alguns proxies podem armazenar em cache arquivos acessados com frequência, melhorando o desempenho das solicitações seguintes (menos comum em proxies FTP tradicionais, mas possível).

Desafios e considerações

• Sobrecarga de desempenho: O proxy introduz um salto e uma camada de processamento adicionais, podendo aumentar a latência e reduzir a taxa de transferência em comparação com uma conexão direta.
• Complexidade de configuração: Instalar e manter um proxy FTP, especialmente em topologias de rede complexas, pode ser trabalhoso.
• Problemas de compatibilidade: Clientes ou servidores FTP fora do padrão, ou que usem faixas de portas não padronizadas, podem enfrentar problemas se o ALG do proxy não for robusto o suficiente.
• FTPS (FTP sobre SSL/TLS):
  • FTPS explícito: A conexão de controle começa sem criptografia e depois é elevada a TLS com AUTH TLS ou AUTH SSL. A conexão de dados também é criptografada. Um proxy FTP ou ALG precisa entender e terminar a sessão TLS (atuando como Man-in-the-Middle) para inspecionar e reescrever comandos. Isso exige que o proxy tenha o certificado do servidor ou emita o seu próprio, no qual os clientes devem confiar.
  • FTPS implícito: Toda a sessão FTP (controle e dados) é criptografada desde o início, normalmente na porta 990. Um proxy FTP não consegue inspecionar nem modificar os comandos do canal de controle, pois eles estão criptografados. Nesse cenário, o proxy atua como um simples túnel TCP, perdendo sua inteligência de nível de aplicação. Muitas vezes se usa um proxy SOCKS ou um simples encaminhamento de porta para FTPS implícito.
• Consumo de recursos: Proxies FTP dedicados podem consumir CPU e memória de forma significativa, especialmente com grande volume de conexões simultâneas ou transferências de arquivos grandes.

Exemplos de configuração no lado do cliente

A maioria dos clientes FTP suporta configuração de proxy. Isso normalmente envolve informar o endereço IP e a porta do servidor proxy.

Usando variáveis de ambiente (para clientes de linha de comando como ftp ou wget):

export ftp_proxy="http://proxy.example.com:8080"
export FTP_PROXY="http://proxy.example.com:8080"
# Para proxy SOCKS
export all_proxy="socks5://proxy.example.com:1080"

Configurações específicas de clientes (conceitual):

• FileZilla (cliente gráfico): Edit > Settings > Connection > FTP Proxy. Ali você pode escolher o tipo de proxy (SOCKS5, HTTP 1.1, Custom).
• lftp (cliente de linha de comando):
  set ftp:proxy-host proxy.example.com set ftp:proxy-port 8080

Configuração do servidor proxy (conceitual)

Proxies FTP dedicados ou firewalls com recursos de ALG de FTP tratam automaticamente as especificidades do protocolo. Para proxies de uso geral como o Squid, podem ser necessárias configurações específicas, embora o Squid atue principalmente como proxy HTTP/HTTPS e tenha capacidades diretas de ALG de FTP limitadas, além do tunelamento básico.

Exemplo de um ALG de FTP em um firewall (sintaxe conceitual):

firewall {
    rule 1 {
        action accept
        source any
        destination any
        service ftp
        application-gateway ftp
    }
}

Essa regra instrui o firewall a aplicar seu gateway de nível de aplicação FTP embutido a todo o tráfego FTP, permitindo que ele inspecione e reescreva comandos para a negociação da conexão de dados.

Comparação: proxy SOCKS vs. proxy FTP dedicado