Cisco 1841 e FTP port open

[paletta]

Ciao, e grazie in anticipo a quanti vorranno aiutarmi.
Ho recuperato un CISCO 1841:

F5-Router#show inventory
NAME: "1841 chassis", DESCR: "1841 chassis, Hw Serial#: 85694017, Hw
Revision: 5.0"
PID: CISCO1841 , VID: V01 , SN: FCZ0942203E

NAME: "C1841 Motherboard with 2 Fast Ethernet", DESCR: "C1841
Motherboard with 2 Fast Ethernet"
PID: CISCO1841 , VID: 5.0, SN: FCZ0942203E

NAME: "WIC/HWIC 0", DESCR: "WAN Interface Card - ATM (With ADSL module)"
PID: WAN Interface Card - ATM (With ADSL module), VID: 2.3, SN:
4294967295

Cisco IOS Software, 1841 Software (C1841-SPSERVICESK9-M), Version
12.4(1a), RELEASE SOFTWARE (fc2)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2005 by Cisco Systems, Inc.
Compiled Fri 27-May-05 12:32 by hqluong

ROM: System Bootstrap, Version 12.3(8r)T8, RELEASE SOFTWARE (fc1)

Ho effettuato la configurazione cercando di imparare leggendo qua e la (tra cui anche il vs forum)....

ma se faccio un nmap sul router dall'esterno .. continuo a trovate la FTP port open !!.
anche se faccio ftp MIO_IP, la connessione avviene, ma non risulta (almeno sembra) presente nessun server ftp in risposta.

ho utilizzato il cmd NO IP FTP-SERVER ENABLE e regole ACL per bloccare in ingresso sulla dialer0 .. ma nulla ...
sta benedetta FTP rimane aperta ...



la mia CFG:

!
version 12.4
service nagle
no service pad
service tcp-keepalives-in
service tcp-keepalives-out
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
no service dhcp
!
hostname F5-Router
!
boot-start-marker
boot-end-marker
!
no logging console
no logging monitor
enable secret 5 pwd_di_Enable
!
no aaa new-model
!
resource policy
!
clock timezone Rome 1
mmi polling-interval 60
no mmi auto-configure
no mmi pvc
mmi snmp-timeout 180
ip subnet-zero
no ip source-route
ip cef
!
!
ip tcp selective-ack
ip tcp window-size 2144
ip tcp synwait-time 10
no ip dhcp use vrf connected
!
!
no ip bootp server
!
username admin secret 5 PWD_Omessa
!
!
!
!
interface FastEthernet0/0
ip address 192.168.0.2 255.255.255.0
ip nat inside
duplex auto
speed auto
no cdp enable
hold-queue 100 out
!
interface FastEthernet0/1
no ip address
shutdown
duplex auto
speed auto
!
interface ATM0/0/0
no ip address
no atm ilmi-keepalive
dsl operating-mode auto
pvc 8/35
encapsulation aal5mux ppp dialer
dialer pool-member 1
!
!
interface Dialer0
ip address negotiated
ip access-group inbound_ACL in
ip access-group outbound_ACL out
ip nat outside
encapsulation ppp
no ip route-cache cef
no ip route-cache
no ip mroute-cache
dialer pool 1
dialer-group 1
no cdp enable
ppp pap sent-username CICCICU password 0 SAOCAFFE
!
ip classless
no ip forward-protocol udp tftp
no ip forward-protocol udp netbios-ns
no ip forward-protocol udp netbios-dgm
ip route 0.0.0.0 0.0.0.0 Dialer0
!
!
no ip http server
no ip http secure-server
ip nat translation timeout 3600
ip nat translation tcp-timeout 3600
ip nat translation udp-timeout 1200
ip nat translation finrst-timeout 300
ip nat translation syn-timeout 120
ip nat translation dns-timeout 300
ip nat translation icmp-timeout 120
ip nat translation max-entries 4096
ip nat inside source list 1 interface Dialer0 overload
ip nat inside source static tcp 192.168.0.5 25 interface Dialer0 25
ip nat inside source static tcp 192.168.0.5 80 interface Dialer0 80
ip nat inside source static udp 192.168.0.5 80 interface Dialer0 80
ip nat inside source static tcp 192.168.0.5 110 interface Dialer0 110
ip nat inside source static tcp 192.168.0.5 143 interface Dialer0 143
ip nat inside source static tcp 192.168.0.5 443 interface Dialer0 443
ip nat inside source static udp 192.168.0.5 443 interface Dialer0 443
!
ip access-list extended inbound_ACL
deny ip any any eq 21 log
deny ip 10.0.0.0 0.255.255.255 any log
deny ip 172.16.0.0 0.15.255.255 any log
deny ip 192.168.0.0 0.0.255.255 any log
deny ip 127.0.0.0 0.255.255.255 any log
deny ip host 0.0.0.0 any log
permit icmp any host mio_IP echo-reply
permit icmp any host mio_IP time-exceeded
permit icmp any host mio_IP unreachable
permit icmp any host mio_IP administratively-prohibited
permit icmp any host mio_IP packet-too-big
permit icmp any host mio_IP traceroute
deny icmp any any log
permit tcp any host mio_IP eq smtp
permit tcp any host mio_IP eq pop3
permit tcp any host mio_IP eq 143
permit tcp any host mio_IP eq www
permit tcp any host mio_IP eq 443

permit udp host 193.204.114.232 eq ntp host mio_IP
permit udp host 193.204.114.233 eq ntp host mio_IP
evaluate reflexive_ACL
deny ip any any log
ip access-list extended outbound_ACL
permit ip any any reflect reflexive_ACL
!
logging 192.168.0.5
access-list 1 permit 192.168.0.0 0.0.0.255
dialer-list 1 protocol ip permit
no cdp run
!
!
control-plane
!
!
banner motd
*************************
*** This is My_Router ***
*************************
!
login local
stopbits 1
line aux 0
line vty 0 4
login local
!
scheduler max-task-time 5000
ntp clock-period 17178727
ntp server 193.204.114.232
ntp server 193.204.114.233
end

[paletta]

Ho contattato CISCO perchè leggendo qua http://www.cisco.com/en/US/products/pro ... 99d0.shtml

avevo capito potesse essere un bug dello IOS .. e che (anche senza contratto di assistenza etc etc) fosse possibile ottenere un firmware aggiornato ..
mi hanno appena risposto picche !!

Mah ... mi sembra una politica un pò stranuccia di supporto ai propri dispositivi ... certo sono il leader e fanno un pò quello che vogliono .. , ma .... bah ..

nessuno di voi ha mai incontrato il problema dell'FTP che ho sul mio CISCO 1841? e se si ha risolto solamente con l'upgrade dello IOS?

Come posso ottenere (legalmente) un aggiornamento del mio IOS?

[paolomat75]

Beh puoi chiedere al tuo venditore se te la fornisce.
Esiste un contratto che non costa tanto che dovrebbe poterti far aggiornare il firmware e avere assistenza.
Mi pare che si chiami Smart qualcosa.
Io ho provato a farmelo fare, ma pare che non sia vantaggioso per i partner e io non ho trovato nessuno.

Spero che sei fortunato

[paletta]

ma quindi risulta anche a te che sia un BUG dello IOS ? la porta FTP open intendo..

[paletta]

mi è venuta una ideuzza ...
ma se io natto sull'interfaccia esterna un falso FTP interno... (falso nel senso che non esiste l'host ..) che succede ...?

almeno per non far rispondere sulla FTP il CISCO...

[paolomat75]

ma quindi risulta anche a te che sia un BUG dello IOS ? la porta FTP open intendo..

Questo non lo so ma hai una release vecchia. Io avevo altri problemi di sicurezza su un 1721.