Форум русскоязычного сообщества Ubuntu


Следите за новостями русскоязычного сообщества Ubuntu в Twitter-ленте @ubuntu_ru_loco

Автор Тема: IPtables: не работает proftpd в пассивном режиме  (Прочитано 7677 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн Yazov

  • Автор темы
  • Новичок
  • *
  • Сообщений: 13
    • Просмотр профиля
    • Язов
Доброго времени суток!
Такая проблема у меня - установлен iptables и proftpd, в котором прописаны пассивные порты. В iptables есть такие правила:
iptables -P INPUT DROP
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -p tcp -m tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
iptables -I INPUT -m conntrack --ctstate NEW,INVALID -p tcp --tcp-flags SYN,ACK SYN,ACK -j REJECT -$
iptables -I INPUT -m conntrack --ctstate NEW -p tcp ! --syn -j DROP
iptables -I INPUT -p icmp -f -j DROP
iptables -A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p udp -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp -m tcp --dport 65000:65100 -j ACCEPT
.....
Подключение проходит, пользователь логинится на сервере по FTP, но список файлов получить не может и по истечению таймаута рвется соединение. При отключенном iptables все работает. При активном режиме подключение стабильно, файлы видны, все работает. Однако мне нужно, чтобы ftp работал и в пассивном режиме тоже. Подскажите, что не так у меня с iptables?
Безусловно порты пассивного соединения совпадают.

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 28334
    • Просмотр профиля
Показывайте iptables-save
А то в ваших скриптах чёрт ногу сломит.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Yazov

  • Автор темы
  • Новичок
  • *
  • Сообщений: 13
    • Просмотр профиля
    • Язов
Ну вот как то так:
(Нажмите, чтобы показать/скрыть)

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 28334
    • Просмотр профиля
Ну, сами не видите, что у вас каша-мала?...

Особенно приколо правило на OUTPUT. Как вы свою систему любите - не передать.

1. Определитесь уже, у вас -m state или -m conntrack
2. modprobe nf_conntrack_ftp
3.
(Нажмите, чтобы показать/скрыть)
Вообще такое ощущение, что вы откуда-то скопировали правила, не имея понятия, что каждое из них значит.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Yazov

  • Автор темы
  • Новичок
  • *
  • Сообщений: 13
    • Просмотр профиля
    • Язов
Большое спасибо! Получилось следующее у меня:
(Нажмите, чтобы показать/скрыть)
То, что было выше - от части не мое. Там действительно есть бредовые вещи.
Добавил modprobe nf_conntrack_ftp - заработало. Спасибо большое!
« Последнее редактирование: 12 Мая 2013, 15:18:10 от Yazov »

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 28334
    • Просмотр профиля
Не обратил сразу внимания

-A INPUT -p udp -m udp --sport 53 -j ACCEPT
здесь есть смысл добавить --dport 53, либо вообще убрать это правило, если ваша машина не является DNS-сервером зоны в интернете.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Yazov

  • Автор темы
  • Новичок
  • *
  • Сообщений: 13
    • Просмотр профиля
    • Язов
Вообще то является  :)

 

Страница сгенерирована за 0.056 секунд. Запросов: 26.