* [Comm] vopros pro iptables and FTP
@ 2002-09-24 2:11 Igor Moskalev
2002-09-24 4:52 ` Igor Homyakov
2002-09-24 6:08 ` Alex
0 siblings, 2 replies; 8+ messages in thread
From: Igor Moskalev @ 2002-09-24 2:11 UTC (permalink / raw)
To: community
Здравствуйте!
Конфигурил я тут iptables по умной книжке а там для разрешения работы
FTP приводятся нижеследующие правила:
# outgoing request
iptables -A OUTPUT -o $EXTERNAL_INTERFACE -p tcp \
-s $IPADDR --source-port $UNPRIVPORTS \
--destination-port 21 -j ACCEPT
iptables -A INPUT -i $EXTERNAL_INTERFACE -p tcp ! --syn \
--source-port 21 \
-d $IPADDR --destination-port $UNPRIVPORTS -j ACCEPT
# PORT mode data channel
iptables -A INPUT -i $EXTERNAL_INTERFACE -p tcp \
--source-port 20 \
-d $IPADDR --destination-port $UNPRIVPORTS -j ACCEPT
iptables -A OUTPUT -o $EXTERNAL_INTERFACE -p tcp ! --syn \
-s $IPADDR --source-port $UNPRIVPORTS \
--destination-port 20 -j ACCEPT
Где UNPRIVPORTS="1024:" (т.е. все, что выше 1024)
Так вот, при такой конфигурации соединение с ftp сайтами устанавливается
и они пускают по паролю или без него, НО на любую команду (например ls),
после довольно долгого ожидания приходит такой вот ответ:
Faled to establish connection.
Соответственно не работает и apt-get.
Опытным путем я нашел решение, но понять этого не могу. Решение
заключается в добавлении следующих правил:
iptables -A INPUT -i $EXTERNAL_INTERFACE -p tcp \
--source-port $UNPRIVPORTS \
-d $IPADDR --destination-port $UNPRIVPORTS -j ACCEPT
iptables -A OUTPUT -o $EXTERNAL_INTERFACE -p tcp \
-s $IPADDR --source-port $UNPRIVPORTS \
--destination-port $UNPRIVPORTS -j ACCEPT
Собственно, это часть правил для работы IRC (из книжки же).
Насколько я понимаю, получается, что для нормальной работы FTP
нужно разрешить связь на какой-то (какие-то) непривилегированный(е)
порт(ы).
Вопрос: какие именно порты и зачем???
Заранее большое спасибо за помощь.
С уважением,
Игорь Москалев.
^ permalink raw reply [flat|nested] 8+ messages in thread
* Re: [Comm] vopros pro iptables and FTP
2002-09-24 2:11 [Comm] vopros pro iptables and FTP Igor Moskalev
@ 2002-09-24 4:52 ` Igor Homyakov
2002-09-24 15:45 ` Igor Moskalev
2002-09-24 6:08 ` Alex
1 sibling, 1 reply; 8+ messages in thread
From: Igor Homyakov @ 2002-09-24 4:52 UTC (permalink / raw)
To: community
On Mon, Sep 23, 2002 at 09:11:52PM -0500, Igor Moskalev wrote:
> Здравствуйте!
> Конфигурил я тут iptables по умной книжке а там для разрешения работы
> FTP приводятся нижеследующие правила:
в вашей книжке описана работа с ipchains, с iptables всё гораздо проще.
почитайте замечательный учебник Оскара Андерсона:
http://www.netfilter.org/documentation/tutorials/blueflux/
ну и конечно "Read This *Fine* Manual" :
http://www.netfilter.org/documentation/index.html#HOWTO
--
Igor Homyakov
<homyakov at altlinux dot ru>
http://counter.li.org/cgi-bin/runscript/display-person.cgi?user=190141
^ permalink raw reply [flat|nested] 8+ messages in thread
* Re: [Comm] vopros pro iptables and FTP
2002-09-24 4:52 ` Igor Homyakov
@ 2002-09-24 15:45 ` Igor Moskalev
2002-09-25 10:29 ` Igor Homyakov
0 siblings, 1 reply; 8+ messages in thread
From: Igor Moskalev @ 2002-09-24 15:45 UTC (permalink / raw)
To: community
On Tue, 24 Sep 2002, Igor Homyakov wrote:
<skip>
>
> в вашей книжке описана работа с ipchains, с iptables всё
> гораздо проще.
Ничего подобного -- именно iptables, там на этом специально внимание
заостряется и примеры только для iptables.
> почитайте замечательный учебник Оскара Андерсона:
> http://www.netfilter.org/documentation/tutorials/blueflux/
>
> ну и конечно "Read This *Fine* Manual" :
> http://www.netfilter.org/documentation/index.html#HOWTO
> --
>
Спасибо за ссылки, обязательно прочту.
--
С уважением,
Игорь Москалев
--------------------------------------------------------------------
"Пусть я дурак, но позвольте мне убедиться в этом самому..." (c) Pp
--------------------------------------------------------------------
^ permalink raw reply [flat|nested] 8+ messages in thread
* Re: [Comm] vopros pro iptables and FTP
2002-09-24 15:45 ` Igor Moskalev
@ 2002-09-25 10:29 ` Igor Homyakov
2002-09-26 4:47 ` Igor Moskalev
0 siblings, 1 reply; 8+ messages in thread
From: Igor Homyakov @ 2002-09-25 10:29 UTC (permalink / raw)
To: community
On Tue, Sep 24, 2002 at 10:45:19AM -0500, Igor Moskalev wrote:
> On Tue, 24 Sep 2002, Igor Homyakov wrote:
> <skip>
> >
> > в вашей книжке описана работа с ipchains, с iptables всё
> > гораздо проще.
> Ничего подобного -- именно iptables, там на этом специально внимание
> заостряется и примеры только для iptables.
В таком случае книжка посредственная, её автор явно не
понимает разницы между iptables и ipchains.
--
Igor Homyakov
<homyakov at altlinux dot ru>
http://counter.li.org/cgi-bin/runscript/display-person.cgi?user=190141
^ permalink raw reply [flat|nested] 8+ messages in thread
* Re: [Comm] vopros pro iptables and FTP
2002-09-25 10:29 ` Igor Homyakov
@ 2002-09-26 4:47 ` Igor Moskalev
0 siblings, 0 replies; 8+ messages in thread
From: Igor Moskalev @ 2002-09-26 4:47 UTC (permalink / raw)
To: community
On Wed, 25 Sep 2002, Igor Homyakov wrote:
> On Tue, Sep 24, 2002 at 10:45:19AM -0500, Igor Moskalev
> wrote:
> > On Tue, 24 Sep 2002, Igor Homyakov wrote:
>
> > <skip>
> > >
> > > в вашей книжке описана работа с ipchains, с iptables
> всё
> > > гораздо проще.
>
> > Ничего подобного -- именно iptables, там на этом
> специально внимание
> > заостряется и примеры только для iptables.
>
> В таком случае книжка посредственная, её автор явно не
> понимает разницы между iptables и ipchains.
>
Книжка называется так: "Securing and optimizing Linux: The Ultimate
Solution", by Gerhard Mourani, 2001, Open Network Architecture Inc.
(www.openna.com).
Я очень сильно сомневаюсь, что автор не понимает разницы между ipchains
и iptables.
Если Вы лучше в этом разбираетесь, то не могли бы привести те самые
магические строчки, которые решат проблему?
--
С уважением,
Игорь Москалев
--------------------------------------------------------------------
"Пусть я дурак, но позвольте мне убедиться в этом самому..." (c) Pp
--------------------------------------------------------------------
^ permalink raw reply [flat|nested] 8+ messages in thread
* Re: [Comm] vopros pro iptables and FTP
2002-09-24 2:11 [Comm] vopros pro iptables and FTP Igor Moskalev
2002-09-24 4:52 ` Igor Homyakov
@ 2002-09-24 6:08 ` Alex
2002-09-24 16:06 ` Igor Moskalev
1 sibling, 1 reply; 8+ messages in thread
From: Alex @ 2002-09-24 6:08 UTC (permalink / raw)
To: Igor Moskalev
Tuesday, September 24, 2002, 6:11:52 AM, Igor Moskalev пишет:
IM> Конфигурил я тут iptables по умной книжке а там для разрешения работы
IM> FTP приводятся нижеследующие правила:
[...]
IM> Так вот, при такой конфигурации соединение с ftp сайтами устанавливается
IM> и они пускают по паролю или без него, НО на любую команду (например ls),
IM> после довольно долгого ожидания приходит такой вот ответ:
IM> Faled to establish connection.
[...]
IM> Насколько я понимаю, получается, что для нормальной работы FTP
IM> нужно разрешить связь на какой-то (какие-то) непривилегированный(е)
IM> порт(ы).
IM> Вопрос: какие именно порты и зачем???
В продвинутых протоколах используется одиночное сетевое соединение для
обмена данными (например HTTP по 80 порту).
FTP использует отдельный канал для КОМАНД (на 21 порту сервера) и отдельный
для ДАННЫХ (динамический).
Кроме того существуют еще и два режима организации канала данных -
пассивный (сервер и клиент соединяются по непривелигированным портам)
и активный (20 порт сервера --> непривелигированный порт клиента)
...
Короче говоря, для iptables есть спец модуль ip_conntrack_ftp, для
корректной работы с ftp
Alex
^ permalink raw reply [flat|nested] 8+ messages in thread
* Re: [Comm] vopros pro iptables and FTP
2002-09-24 6:08 ` Alex
@ 2002-09-24 16:06 ` Igor Moskalev
2002-09-25 11:59 ` Dmitry Lebkov
0 siblings, 1 reply; 8+ messages in thread
From: Igor Moskalev @ 2002-09-24 16:06 UTC (permalink / raw)
To: Igor Moskalev
On Tue, 24 Sep 2002, Alex wrote:
> Короче говоря, для iptables есть спец модуль
> ip_conntrack_ftp, для
> корректной работы с ftp
>
Загрузка этого модуля не помогла... Будем копать.
--
С уважением,
Игорь Москалев
--------------------------------------------------------------------
"Пусть я дурак, но позвольте мне убедиться в этом самому..." (c) Pp
--------------------------------------------------------------------
^ permalink raw reply [flat|nested] 8+ messages in thread
* Re: [Comm] vopros pro iptables and FTP
2002-09-24 16:06 ` Igor Moskalev
@ 2002-09-25 11:59 ` Dmitry Lebkov
0 siblings, 0 replies; 8+ messages in thread
From: Dmitry Lebkov @ 2002-09-25 11:59 UTC (permalink / raw)
To: community
On Tue, 24 Sep 2002 11:06:43 -0500 (CDT)
Igor Moskalev <gnitarg@bellsouth.net> wrote:
> On Tue, 24 Sep 2002, Alex wrote:
>
> > Короче говоря, для iptables есть спец модуль
> > ip_conntrack_ftp, для
> > корректной работы с ftp
> >
> Загрузка этого модуля не помогла... Будем копать.
Посмотри архив рассылки. Около недели назад был подобный вопрос.
Для нормальной работы ip_conntrack_* тебе нужно INPUT-правило
оперирующее с состояниями (пакета), т.е. обеспечивающее прием
RELATED и ESTABLISHED пакетов.
WBR, Dmitry Lebkov
ЗЫ. В доках к iptables есть описание всего этого.
^ permalink raw reply [flat|nested] 8+ messages in thread
end of thread, other threads:[~2002-09-26 4:47 UTC | newest]
Thread overview: 8+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2002-09-24 2:11 [Comm] vopros pro iptables and FTP Igor Moskalev
2002-09-24 4:52 ` Igor Homyakov
2002-09-24 15:45 ` Igor Moskalev
2002-09-25 10:29 ` Igor Homyakov
2002-09-26 4:47 ` Igor Moskalev
2002-09-24 6:08 ` Alex
2002-09-24 16:06 ` Igor Moskalev
2002-09-25 11:59 ` Dmitry Lebkov
ALT Linux Community general discussions
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/community/0 community/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 community community/ http://lore.altlinux.org/community \
mandrake-russian@linuxteam.iplabs.ru community@lists.altlinux.org community@lists.altlinux.ru community@lists.altlinux.com
public-inbox-index community
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.community
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git