iptables + ftp passive

[int1k]

Дома есть локалка на 4 машины. 1 из них - сервер. На сервере присутствует proftpd. Когда прописал настройки iptables фтп работать грубо говоря перестал.

(Нажмите, чтобы показать/скрыть)

Статус:   Соединяюсь с 192.168.1.101:21...
Статус:   Соединение установлено, ожидание приглашения...
Ответ:   220 ProFTPD 1.3.1 Server (Debian) [192.168.1.101]
Команда:   USER mike
Ответ:   331 Password required for mike
Команда:   PASS ********
Ответ:   230 User mike logged in
Команда:   OPTS UTF8 ON
Ответ:   200 UTF8 set to on
Статус:   Соединение установлено
Статус:   Получение списка каталогов...
Команда:   PWD
Ответ:   257 "/" is the current directory
Команда:   TYPE I
Ответ:   200 Type set to I
Команда:   PASV
Ответ:   227 Entering Passive Mode (192,168,1,101,190,112).
Команда:   LIST
Ошибка:   Превышено время ожидания соединения
Ошибка:   Не могу получить список каталогов!

А вот собсна мои настройки iptables:

(Нажмите, чтобы показать/скрыть)

nitrogenium:~# cat .iptables
#!/bin/bash

# Местонахождение iptables
IPTABLES=/sbin/iptables

# Сбрасываем все правила
$IPTABLES -F
$IPTABLES -t nat -F

# Дропим INPUT и FORWARD. OUTPUT дропить не надо, иначе не будет выхода наружу
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -P FORWARD DROP

# Пишем разрешающие правила
$IPTABLES -A INPUT -i lo -j ACCEPT
#$IPTABLES -A OUTPUT -i lo -j ACCEPT

# Это для ответов (уже установленного соединения)
$IPTABLES -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

# Разрешим входящие udp и icmp
#$IPTABLES -A INPUT -p udp -j ACCEPT
$IPTABLES -A INPUT -p icmp -s 192.168.1.102 -j ACCEPT

# ТЕПЕРЬ ОСТАЛОСЬ ОТКРЫТЬ НУЖНЫЕ TCP ПОРТЫ
# Обращения извне к НАШЕЙ машине, а не наоборот.

# Правила для FTP-сервера (21 порт и tcp соединение)
$IPTABLES -A INPUT -i eth0 -p tcp -m multiport --port 21 -j ACCEPT

# Правила для SSH-соединений (22 порт и tcp/udp соединение)
$IPTABLES -A INPUT -i eth0 -p tcp -m multiport --port 22 -s 192.168.1.102 -j ACCEPT

# Правила для NameServer (35 порт и tcp/udp соединение)
#$IPTABLES -A INPUT -i eth0 -p tcp -m multiport --port 35 -j ACCEPT
#$IPTABLES -A INPUT -i eth0 -p udp -m multiport --port 35 -j ACCEPT

# Правила для Apache-cервера (80 порт и tcp соединение)
$IPTABLES -A INPUT -i eth0 -p tcp -m multiport --port 80 -j ACCEPT
$IPTABLES -A INPUT -i eth0 -p tcp -m multiport --port 443 -j ACCEPT

# Правила для MySQL-cервера (3306 порт и tcp соединение)
$IPTABLES -A INPUT -i eth0 -p tcp -m multiport --port 3306 -s 192.168.1.102 -j ACCEPT

Пользователь решил продолжить мысль 31 Августа 2009, 13:06:09:Открыл 20 порт + пассивы. Все заработало.

[uoan]

Открыл 20 порт + пассивы. Все заработало.

Такой же трабл, но что значит "Открыл пассивы"
Пользователь решил продолжить мысль 16 Сентября 2009, 15:28:35:Порыв еще немного...
Конечно лучше присобачить для iptables специальный модуль для ftp, но я до этого еще не дорос, поэтому просто в proftpd (или в vsftpd, у кого что) задаем min и max порты для пассивного режима (к примеру 45000 и 50000), а в iptables делаем разрешение на промежуток этих портов.

[kobaltd]

башка не варит
cat /etc/proftpd/proftpd.conf
iptabels-save
lsmod

Реальные ip замашь и в студию