[Sysadmins] FTP ports

[Sysadmins] FTP ports

[Прончаков Артем Юрьевич]

Доброго времени суток!

Никак не могу настроить файрвол на работу с ftp протоколом. Открываю 21 порт - 
команды, 20 - данные. Но, при переходе в пассивный режим, не получает ответа! 
Какие еще порты нужно открыть?

Заранее благодарен!

Артем.

Re: [Sysadmins] FTP ports

[Marat Khayrullin]

Прончаков Артем Юрьевич пишет:
> Доброго времени суток!
> 
> Никак не могу настроить файрвол на работу с ftp протоколом. Открываю 21 порт - 
> команды, 20 - данные. Но, при переходе в пассивный режим, не получает ответа! 
> Какие еще порты нужно открыть?
> 
> Заранее благодарен!
> 
> Артем.
> 
> 
для шлюза: #modprobe ip_conntrack_ftp ip_nat_ftp
добавте в конец цепочек вывод в лог (-j LOG) и посмотрите в логах чего
еще не хватает.

Re: [Sysadmins] FTP ports

[Serge Polkovnikov]

п'ятниця 27 січень 2006 07:55, Прончаков Артем Юрьевич Ви написали:
> Доброго времени суток!
>
> Никак не могу настроить файрвол на работу с ftp протоколом. Открываю 21
> порт - команды, 20 - данные. Но, при переходе в пассивный режим, не
> получает ответа! Какие еще порты нужно открыть?
Если я не ошибаюсь, то обычно в пассивном режиме (с настройками по умолчанию),
для данных используется произвольный непривелигированный порт. О том какой 
именно, клиент и сервер договариваются по коммандному порту. 
Таким образом, для того чтобы иметь возможность разрешить фтп-трафик в 
пассивном режиме, нужно загрузить модуль  ip_conntrack_ftp, который позволит
"подслушать" ядру какой именно порт будет использоваться для передачи данных
и затем разрешить прием и передачу пакетов со _всех_ непривелегированных
портов на _все_ непривелегированные но для _установленных_ соединений.
С другой стороны - в настройках сервера, вроде можно, указать какой диапазон
портов можно будет для передачи данных.

>
> Заранее благодарен!
>
> Артем.

-- 
С уважением,
Сергей Полковников

Re: [Sysadmins] FTP ports

[Alexey I. Froloff]

[-- Attachment #1: Type: text/plain, Size: 309 bytes --]

* Прончаков Артем Юрьевич <maniakius@> [060127 08:57]:
> Какие еще порты нужно открыть?
-m state --state ESTABLISHED,RELATED

-- 
Regards, Alexey I. Froloff
AIF5-RIPN, AIF5-RIPE
-------------------------------------------
  Inform-Mobil, Ltd. System Administrator
       http://www.inform-mobil.ru/

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Sysadmins] FTP ports

[Прончаков Артем]

В сообщении от Пятница 27 Январь 2006 17:31 Alexey I. Froloff написал(a):
> -m state --state ESTABLISHED,RELATED
Не совсем понял что это и как это использовать. Вернее совсем не...

Подведем итог:
По умолчанию все порты закрыты. 
Открываю 21 порт.
Загружаю модули ip_conntrack_ftp и ip_nat_ftp. В /proc/modules такое:
>ip_nat_ftp 3024 0 (unused)
>iptable_nat 17752  2 [ipt_MASQUERADE ip_nat_ftp]
>ip_tables 12248 6 [ipt_MASQUERADE iptable_filter iptable_mangle iptable_nat]
>ip_conntrack_ftp 3856  1
>ip_conntrack  19944 1 [ipt_MASQUERADE ip_nat_ftp iptable_nat 
ip_conntrack_ftp]

   Пытаюсь соединиться с фтп сервером где-нибудь в инете, соединяется, 
аутертификация проходит, и при переходе в пассивный режим замолкаем на 
веки...
   Пробовал ставить -j LOG у правил файрвола, в голах ничего интересного нет, 
там просто пишется порт о котором договорились клиент с сервером.
   Причем не важно, с компа в сети через nat, или напрямую с роутера 
подключаться к фтп серверу, результат один и тот же. Так что врятли это из-за 
маскарадинга.

Пробовал даже разрешать sftp порт, это вроде защищенный ftp, если я ничего не 
путаю(так же как и https...)

Что еще можно тут придумать?
Уже надоело самому перекидывать файлы юзеров с одного здания на другое 
отключив перед этим файрвол, охота чтобы юзеры сами это делали... 
VPN сеть-сеть пока рано еще делать, трафик все-таки ограниченный.