EC2間でのFTPアップロード時のセキュリティグループの設定について

困っていること

VPC内に、アプリサーバ(10.11.0.1) と FTPサーバ (10.11.1.1)のEC2を立て、アプリサーバからFTPアップロード（パッシブモード）したいのですが、接続できず困っています。

FTPサーバはvsftpを使用しています。

やってみたこと

FTPサーバ側のセキュリティグループのインバウンドに、アプリサーバのEIPを許可するとアップロードできました。
ローカルIP（10.11.0.1/32）を指定すると、アップロードできませんでした。

疑問に思っていること

ルートテーブルの送信先に10.11.0.0/16 はターゲットが local になっているため、インターネットへ出ずに接続すると思っていたので、上記のセキュリティグループには、アプリサーバのローカルIP（10.11.1.1/32）かアプリサーバのセキュリティグループ名を指定すれば、アップロードできると思っていました。

知りたいこと

EIPを許可するとアップロードが成功する事から、一度インターネットに出てアップロードされているのでしょうか？
もし、そうだとすると、これをローカル内で完結するには何か方法はあるのでしょうか？

ご教示のほど、よろしくお願いします。

追加で分かったこと！

FTPサーバのセキュリティグループのインバウンドには、アプリサーバのEIPだけでなく、アプリサーバのセキュリティグループの両方の設定が必要でアプリサーバのEIPだけではアップロードに失敗しました。

行動規範の内容に同意します

回答4件

ベストアンサー

vsftpd.conf の pasv_address に EIP を設定しているのではないでしょうか？
コントロールポート(TCP 21 番ポート)はローカルIP に接続(アプリサーバのセキュリティグループで許可)した後、データポートは EIP に接続(アプリサーバの EIP で許可)しているように思います。

投稿2020/10/02 01:20

TaichiYanagiya

総合スコア12173

nata-de-Gollira

2020/10/02 04:03

気づくの遅かったです。そのとおりでした！やはり、パッシブモードではローカルからのアクセスであってもEIPでの接続しかできないという事でよろしいでしょうか？（外部からのアクセスもあるのでEIPは必要です）

TaichiYanagiya

2020/10/02 06:19

> パッシブモードではローカルからのアクセスであってもEIPでの接続しかできないという事でよろしいでしょうか？そのようです。 IPアドレスを追加して(ENI だと大げさなので、セカンダリIP でも)、ローカル用にもう一つ vsftpd を起動する、または、SCP/SFTP を使う方法が考えられます。

nata-de-Gollira

2020/10/02 06:22

ありがとうございます。助かりました。何よりすっきりしました。

行動規範の内容に同意します

要はEIPを振ってるEC2を踏み台サーバーにして、もう一つのEC2に接続したいということですよね。
ネットワークの問題かFTPの問題か切り分けるために、SSHかICMPをもう一つのEC2で許可して接続を確認するのはどうでしょうか？
あと、SSHで繋がるようならSCPを使うのも一つの解かも知れません。

投稿2020/09/30 11:02

mike2mike4

総合スコア935

nata-de-Gollira

2020/10/01 05:28

回答遅くなり、恐縮です。すいません。。。踏み台ではないです。同一VPC内のEC2同士でのファイルのやりとりをFTPで行いたいのです。詳細を説明すると、オンプレの古いシステムをAWSへ移行しようとしており、アプリサーバはPHPのプログラムからFTPアップロードを実行しております。（この時アップロード先はFTPのローカルアドレスを指定しています）今回はソースコードの変更はなしという前提のため、SCPに変更することもできません。ちなみに、アプリサーバ→FTPサーバへはSSHでは通信できました。（FTPサーバのセキュリティグループにアプリサーバのローカルIPのアクセスを許可して）

mike2mike4

2020/10/01 11:23

検索するとなぜか皆さんポートを6000番で設定しているようです。そこはどうなってますでしょうか？あと、こちらの切り分け方も参考になるかと。 https://webinlet.com/2017/aws-ec2-vsftpd-%E3%81%A7%E3%83%8F%E3%83%9E%E3%82%8B

nata-de-Gollira

2020/10/02 03:58 編集

アドバイスありがとうございます。 vsftp設定で pasv_address に EIPを設定しているのですが、 PASVモードなので、アプリサーバからは最初のFTPサーバへの通信はローカルで通信するが、 pasv_address（EIP）が返ってくるため、FTPアップロードする時は、EIPのアドレスで通信されているそのため、1回目と2回目で通信しているIPが違うのではないか？という自己結論になりました。 vsftp設定でローカルからのアクセスの場合と外部からのアクセスで、返すpasv_address を変える事ができれば問題なさそうなのですが、できなさそうですねー https://dev.classmethod.jp/articles/to-be-aware-of-when-settingup-ftpserver-with-aws/ これを見るとFTPサーバに複数のIP持たせればできそうではありますが。

行動規範の内容に同意します

あれ？　コメントするつもりが回答してしまいました。これ、取り消す訳にはいかないのでごめんなさい

投稿2020/09/30 11:04

mike2mike4

総合スコア935