[Comm] vopros pro iptables and FTP

[Comm] vopros pro iptables and FTP

[Igor Moskalev]

Здравствуйте!

Конфигурил я тут iptables по умной книжке а там для разрешения работы
FTP приводятся нижеследующие правила:

    # outgoing request
    iptables -A OUTPUT -o $EXTERNAL_INTERFACE -p tcp  \
	     -s $IPADDR --source-port $UNPRIVPORTS \
	     --destination-port 21 -j ACCEPT

    iptables -A INPUT  -i $EXTERNAL_INTERFACE -p tcp ! --syn \
             --source-port 21 \
	     -d $IPADDR --destination-port $UNPRIVPORTS -j ACCEPT

    # PORT mode data channel
    iptables -A INPUT  -i $EXTERNAL_INTERFACE -p tcp  \
             --source-port 20 \
             -d $IPADDR --destination-port $UNPRIVPORTS -j ACCEPT

    iptables -A OUTPUT -o $EXTERNAL_INTERFACE -p tcp ! --syn \
             -s $IPADDR --source-port $UNPRIVPORTS \
             --destination-port 20 -j ACCEPT


Где UNPRIVPORTS="1024:" (т.е. все, что выше 1024)

Так вот, при такой конфигурации соединение с ftp сайтами устанавливается
и они пускают по паролю или без него, НО на любую команду (например ls),
после довольно долгого ожидания приходит такой вот ответ:

Faled to establish connection.

Соответственно не работает и apt-get.

Опытным путем я нашел решение, но понять этого не могу. Решение
заключается в добавлении следующих правил:

    iptables -A INPUT  -i $EXTERNAL_INTERFACE -p tcp  \
             --source-port $UNPRIVPORTS \
             -d $IPADDR --destination-port $UNPRIVPORTS -j ACCEPT

    iptables -A OUTPUT -o $EXTERNAL_INTERFACE -p tcp  \
             -s $IPADDR --source-port $UNPRIVPORTS \
             --destination-port $UNPRIVPORTS -j ACCEPT


Собственно, это часть правил для работы IRC (из книжки же).
Насколько я понимаю, получается, что для нормальной работы FTP
нужно разрешить связь на какой-то (какие-то) непривилегированный(е)
порт(ы).

Вопрос: какие именно порты и зачем???

Заранее большое спасибо за помощь.

С уважением,
Игорь Москалев.

Re: [Comm] vopros pro iptables and FTP

[Igor Homyakov]

On Mon, Sep 23, 2002 at 09:11:52PM -0500, Igor Moskalev wrote:
> Здравствуйте!

> Конфигурил я тут iptables по умной книжке а там для разрешения работы
> FTP приводятся нижеследующие правила:


в вашей книжке описана работа с ipchains, с iptables всё гораздо проще.
почитайте замечательный учебник Оскара Андерсона:
http://www.netfilter.org/documentation/tutorials/blueflux/

ну и конечно "Read This *Fine* Manual" :
http://www.netfilter.org/documentation/index.html#HOWTO
--
Igor Homyakov
<homyakov at altlinux dot ru>
http://counter.li.org/cgi-bin/runscript/display-person.cgi?user=190141

Re: [Comm] vopros pro iptables and FTP

[Igor Moskalev]

On Tue, 24 Sep 2002, Igor Homyakov wrote:

<skip>
>
> в вашей книжке описана работа с ipchains, с iptables всё
> гораздо проще.

Ничего подобного -- именно iptables, там на этом специально внимание
заостряется и примеры только для iptables.

> почитайте замечательный учебник Оскара Андерсона:
> http://www.netfilter.org/documentation/tutorials/blueflux/
>
> ну и конечно "Read This *Fine* Manual" :
> http://www.netfilter.org/documentation/index.html#HOWTO
> --
>

Спасибо за ссылки, обязательно прочту.

-- 
 С уважением,
 Игорь Москалев

 --------------------------------------------------------------------
 "Пусть я дурак, но позвольте мне убедиться в этом самому..." (c) Pp
 --------------------------------------------------------------------

Re: [Comm] vopros pro iptables and FTP

[Igor Homyakov]

On Tue, Sep 24, 2002 at 10:45:19AM -0500, Igor Moskalev wrote:
> On Tue, 24 Sep 2002, Igor Homyakov wrote:

> <skip>
> >
> > в вашей книжке описана работа с ipchains, с iptables всё
> > гораздо проще.

> Ничего подобного -- именно iptables, там на этом специально внимание
> заостряется и примеры только для iptables.

В таком случае книжка посредственная, её автор явно не
понимает разницы между iptables и ipchains.

--
Igor Homyakov
<homyakov at altlinux dot ru>
http://counter.li.org/cgi-bin/runscript/display-person.cgi?user=190141

Re: [Comm] vopros pro iptables and FTP

[Igor Moskalev]

On Wed, 25 Sep 2002, Igor Homyakov wrote:

> On Tue, Sep 24, 2002 at 10:45:19AM -0500, Igor Moskalev
> wrote:
> > On Tue, 24 Sep 2002, Igor Homyakov wrote:
>
> > <skip>
> > >
> > > в вашей книжке описана работа с ipchains, с iptables
> всё
> > > гораздо проще.
>
> > Ничего подобного -- именно iptables, там на этом
> специально внимание
> > заостряется и примеры только для iptables.
>
> В таком случае книжка посредственная, её автор явно не
> понимает разницы между iptables и ipchains.
>

Книжка называется так: "Securing and optimizing Linux: The Ultimate
Solution", by Gerhard Mourani, 2001, Open Network Architecture Inc.
(www.openna.com).

Я очень сильно сомневаюсь, что автор не понимает разницы между ipchains
и iptables.

Если Вы лучше в этом разбираетесь, то не могли бы привести те самые
магические строчки, которые решат проблему?

-- 
 С уважением,
 Игорь Москалев

 --------------------------------------------------------------------
 "Пусть я дурак, но позвольте мне убедиться в этом самому..." (c) Pp
 --------------------------------------------------------------------

Re: [Comm] vopros pro iptables and FTP

[Alex]

Tuesday, September 24, 2002, 6:11:52 AM, Igor Moskalev пишет:

IM> Конфигурил я тут iptables по умной книжке а там для разрешения работы
IM> FTP приводятся нижеследующие правила:

[...]

IM> Так вот, при такой конфигурации соединение с ftp сайтами устанавливается
IM> и они пускают по паролю или без него, НО на любую команду (например ls),
IM> после довольно долгого ожидания приходит такой вот ответ:
IM> Faled to establish connection.

[...]

IM> Насколько я понимаю, получается, что для нормальной работы FTP
IM> нужно разрешить связь на какой-то (какие-то) непривилегированный(е)
IM> порт(ы).

IM> Вопрос: какие именно порты и зачем???

В продвинутых протоколах используется одиночное сетевое соединение для
обмена данными (например HTTP по 80 порту).
FTP использует отдельный канал для КОМАНД (на 21 порту сервера) и отдельный
для ДАННЫХ (динамический).
Кроме того существуют еще и два режима организации канала данных -
пассивный (сервер и клиент соединяются по непривелигированным портам)
и активный (20 порт сервера --> непривелигированный порт клиента)
...
Короче говоря, для iptables есть спец модуль ip_conntrack_ftp, для
корректной работы с ftp


Alex

Re: [Comm] vopros pro iptables and FTP

[Igor Moskalev]

On Tue, 24 Sep 2002, Alex wrote:

> Короче говоря, для iptables есть спец модуль
> ip_conntrack_ftp, для
> корректной работы с ftp
>
Загрузка этого модуля не помогла... Будем копать.

-- 
 С уважением,
 Игорь Москалев

 --------------------------------------------------------------------
 "Пусть я дурак, но позвольте мне убедиться в этом самому..." (c) Pp
 --------------------------------------------------------------------

Re: [Comm] vopros pro iptables and FTP

[Dmitry Lebkov]

On Tue, 24 Sep 2002 11:06:43 -0500 (CDT)
Igor Moskalev <gnitarg@bellsouth.net> wrote:

> On Tue, 24 Sep 2002, Alex wrote:
> 
> > Короче говоря, для iptables есть спец модуль
> > ip_conntrack_ftp, для
> > корректной работы с ftp
> >
> Загрузка этого модуля не помогла... Будем копать.

Посмотри архив рассылки. Около недели назад был подобный вопрос.
Для нормальной работы ip_conntrack_* тебе нужно INPUT-правило
оперирующее с состояниями (пакета), т.е. обеспечивающее прием
RELATED и ESTABLISHED пакетов.

WBR, Dmitry Lebkov

ЗЫ. В доках к iptables есть описание всего этого.