[Comm] firewall and passive ftp

[Comm] firewall and passive ftp

[Andriy Dobrovol's'kii]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Hi,
Подскажите как аккуратно открыть доступ к закачке на vsftpd.
Открывать всё, как-то не хочется. А открытие доступа к 21, 20 портам
и исхода от них как-то не помогает. Оно же потом перескакивает на
порты выше 1024 с обоих концов и на этом связь обрывается... :(
Или открытие всего верхнего диапазона портов -- единственный метод?
- --
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************************************************************
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (GNU/Linux)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org

iD8DBQFCiLwMYy1tb7+AynYRAoMEAJsHZwnElAEV+PxXgYusLeu3zlW5YQCfSz/j
it74hwjMKJQvqRkxQV6lo4U=
=nAXB
-----END PGP SIGNATURE-----

Re: [Comm] firewall and passive ftp

[Pavel Usischev]

Andriy Dobrovol's'kii пишет:
> Подскажите как аккуратно открыть доступ к закачке на vsftpd.
> Открывать всё, как-то не хочется. А открытие доступа к 21, 20 портам
> и исхода от них как-то не помогает. Оно же потом перескакивает на
> порты выше 1024 с обоих концов и на этом связь обрывается... :(
> Или открытие всего верхнего диапазона портов -- единственный метод?

Должно помогать разрешение пакетов с -m state --state 
ESTABLISHED,RELATED. Возможно, тут хватит даже просто ESTABLISHED (хотя 
если ситуация не какая-то хитрая, я бы добавил и RELATED). Плюс понадобится:

modprobe ip_conntrack_ftp
echo ip_conntrack_ftp >> /etc/sysconfig/iptables_modules

P.S. Тема для http://lists.osdn.org.ua/wws/arc/isp-list ?

-- 
С уважением,
Павел Усищев

Re: [Comm] firewall and passive ftp

[Andriy Dobrovol's'kii]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Pavel Usischev wrote:
| Andriy Dobrovol's'kii пишет:
|
|> Подскажите как аккуратно открыть доступ к закачке на vsftpd.
|> Открывать всё, как-то не хочется. А открытие доступа к 21, 20 портам
|> и исхода от них как-то не помогает. Оно же потом перескакивает на
|> порты выше 1024 с обоих концов и на этом связь обрывается... :(
|> Или открытие всего верхнего диапазона портов -- единственный метод?
|
|
| Должно помогать разрешение пакетов с -m state --state
| ESTABLISHED,RELATED. Возможно, тут хватит даже просто ESTABLISHED
(хотя
| если ситуация не какая-то хитрая, я бы добавил и RELATED). Плюс
| понадобится:
|
Ну, без этих правил вообще врядли работать получится при политике
DROP. А при ACCEPT вопрос будет стоять диаметрально
противоположно... :-) Ес-но эти правила (на разрешение прохождения
пакетов для уже установленных соединений) есть.
| modprobe ip_conntrack_ftp
| echo ip_conntrack_ftp >> /etc/sysconfig/iptables_modules
|
Это тоже есть и не только оно.
| P.S. Тема для http://lists.osdn.org.ua/wws/arc/isp-list ?
|
Ммм... Не знаю. Я спрашиваю с точки зрения и владельца сервера и
потребителя услуги. Да и излишне "расползаться по углам" тоже не
очень уж хорошо.
Пока "прицельно" открыл доступ к верхним портам. Всё забегало. Но...
Уж очень это широкий доступ, как по мне. НО, возможно я впадаю в
паранойю... :-)
- --
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************************************************************
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (GNU/Linux)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org

iD8DBQFCiZpyYy1tb7+AynYRArgUAJ9z9wXZQc/UdfVlNyQPg+85h/+T5gCglh+7
oAQh4m6T37qDU/h8OUqlP0g=
=ysNx
-----END PGP SIGNATURE-----