LINUX.ORG.RU
Форум — Admin  

Как подружить vsftpd с iptables


0

0

Поставил ФТП сервер (CentOS 5.4) под управлением Vsftpd, при выключенном iptables пашет, стоит запустить iptables, ФТП становится недоступным.
В конфиге iptables:
# Firewall configuration written by system-config-securitylevel
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
COMMIT

← Проброс диапазона портов на всю подсеть.
[gentoo] ccache + distcc (pump mode) →

1. Меняешь местами строчки
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
(интересно, что курил автор?)

В /etc/sysconfig/iptables-config правишь IPTABLES_MODULES примерно так:
IPTABLES_MODULES="ip_conntrack_ftp"

nnz ★★★★
()

Добавлю. в output тоже надо добавить если нет
-A RH-Firewall-1-OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
т.к. ftp работает в двух режимах - активном и пассивном

tux2002 ★
()
Ответ на: комментарий от tux2002

>-A RH-Firewall-1-OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Не понял, в чем прикол. Лично я в предложенном списке такой цепочки вообще не вижу. Вся фильтрация исходящих ограничивается :OUTPUT ACCEPT

nnz ★★★★
()

отметить нужное в system-config-securitylevel-tui

dGhost ★★★
()

ну во-первых поставить чтоб разрешение конектов на 21 порт тсп было раньше реджекта:

-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT

а во-вторых убедиться, чтоб в ядре были модули для коннтрака фтп (ну т.е. чтоб --state RELATED срабатывало на фтп трафик.

azure ★★
()

>:INPUT ACCEPT [0:0]
>:FORWARD ACCEPT [0:0]
крайне идиотский и бесполезный конфиг

xydo ★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Проброс диапазона портов на всю подсеть.
Admin
[gentoo] ccache + distcc (pump mode) →