From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Message-ID: <42899A73.4090409@iop.kiev.ua> Date: Tue, 17 May 2005 10:17:07 +0300 From: "Andriy Dobrovol's'kii" User-Agent: Mozilla/5.0 (X11; U; Linux i686; uk-UA; rv:1.7.7) Gecko/20050426 X-Accept-Language: uk, ru, en-us MIME-Version: 1.0 To: community@altlinux.ru Subject: Re: [Comm] firewall and passive ftp References: <4288BC0E.50908@iop.kiev.ua> <428928F5.1080708@gmail.com> In-Reply-To: <428928F5.1080708@gmail.com> Content-Type: text/plain; charset=KOI8-R; format=flowed Content-Transfer-Encoding: 8bit X-Virus-Scanned: ClamAV 0.83/881/Mon May 16 21:13:31 2005 on rmaile.iop.kiev.ua X-Virus-Status: Clean X-BeenThere: community@altlinux.ru X-Mailman-Version: 2.1.5 Precedence: list Reply-To: community@altlinux.ru List-Id: Mailing list for ALT Linux users List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Tue, 17 May 2005 07:19:26 -0000 Archived-At: List-Archive: List-Post: -----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Pavel Usischev wrote: | Andriy Dobrovol's'kii пишет: | |> Подскажите как аккуратно открыть доступ к закачке на vsftpd. |> Открывать всё, как-то не хочется. А открытие доступа к 21, 20 портам |> и исхода от них как-то не помогает. Оно же потом перескакивает на |> порты выше 1024 с обоих концов и на этом связь обрывается... :( |> Или открытие всего верхнего диапазона портов -- единственный метод? | | | Должно помогать разрешение пакетов с -m state --state | ESTABLISHED,RELATED. Возможно, тут хватит даже просто ESTABLISHED (хотя | если ситуация не какая-то хитрая, я бы добавил и RELATED). Плюс | понадобится: | Ну, без этих правил вообще врядли работать получится при политике DROP. А при ACCEPT вопрос будет стоять диаметрально противоположно... :-) Ес-но эти правила (на разрешение прохождения пакетов для уже установленных соединений) есть. | modprobe ip_conntrack_ftp | echo ip_conntrack_ftp >> /etc/sysconfig/iptables_modules | Это тоже есть и не только оно. | P.S. Тема для http://lists.osdn.org.ua/wws/arc/isp-list ? | Ммм... Не знаю. Я спрашиваю с точки зрения и владельца сервера и потребителя услуги. Да и излишне "расползаться по углам" тоже не очень уж хорошо. Пока "прицельно" открыл доступ к верхним портам. Всё забегало. Но... Уж очень это широкий доступ, как по мне. НО, возможно я впадаю в паранойю... :-) - -- Rgrds, Andriy ********************************************************************* email: dobr at iop dot kiev dot ua Kyiv, Ukraine Phone: (380-44) 525-7824 Department of Gas Electronics Fax: (380-44) 525-2329 Institute of Physics of NASU ********************************************************************* -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.4.1 (GNU/Linux) Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org iD8DBQFCiZpyYy1tb7+AynYRArgUAJ9z9wXZQc/UdfVlNyQPg+85h/+T5gCglh+7 oAQh4m6T37qDU/h8OUqlP0g= =ysNx -----END PGP SIGNATURE-----