Нужен совет по ftp-серверу

сделать редирект с внешнего ip роутера на 192.168.0.2, и запретить обращение к ftp изнутри (только для шлюза), а к ftp шлюза запретить вход с внешних адресов (чтоб не ломали)

Так весь ftp-трафик будет идти через шлюз.

У vsftpd например есть возможность управлять командой PASV, 
т.е. можно подставить в неё адрес 192.168.0.х вместо 10.10.5.х

man vsftpd.conf 
pasv_address
   Use  this  option  to  override  the IP address that vsftpd will
   advertise in response to the PASV command. Provide a numeric  IP
   address.
   Default:  (none  -  the  address is taken from the incoming con-
              nected socket)

А вот что вы будете делать с ACTIVE mode? Запретить на сервере?
man vsftpd.conf
 port_enable
     Set to NO if you want to disallow the PORT method of obtaining a
     data connection.
     Default: YES
----------------------------------------------------------------------
Другой вариант использовать ftp-server, который может авторизовать
клиента через радиус. (сам так никогда не делал)

ИМХО: Для разделения cmd-канала и data-канала использование PASV/PORT наиболее правильное (единственное ?) решение.

> У vsftpd например есть возможность управлять командой PASV,

Что-то я попробовал, пока не очень получается..

> Другой вариант использовать ftp-server, который может авторизовать клиента через радиус. (сам так никогда не делал)

Я такого ftp просто не нашел, с поддержкой радиуса

В vsftpd.conf:

listen_address=10.10.5.2

pasv_address=192.168.0.2

port_enable=NO

коннектюсь, USER, PASS, PASV нормально проходит, но порт не открывает все равно.

А это сделал?

 pasv_promiscuous
     Set  to  YES if you want to disable the PASV security check that
     ensures the data connection originates from the same IP  address
     as the control connection.  Only enable if you know what you are
     doing! The only legitimate use for  this  is  in  some  form  of
     secure  tunnelling scheme, or perhaps to facilitate FXP support.
      Default: NO

> А это сделал?

Сделал, то же самое. Он в команде PASV отдает правильно адрес, а порт для data-connection открывает совсем на другом ip (на том, на котором control-connection)

>Он в команде PASV отдает правильно адрес, а порт для data-connection открывает совсем на другом ip (на том, на котором control-connection)

Да действительно.

Это уже через Ж.
На компе с vsftpd:

iptables -I PREROUTING -t nat -p tcp -d 192.168.0.2 -j DNAT --to-destination 10.10.5.2

> iptables -I PREROUTING -t nat -p tcp -d 192.168.0.2 -j DNAT --to-destination 10.10.5.2

А что это даст? Мне нужно пускать только тех юзеров, у которых есть инет, а это просто DNAT.

iptables -I PREROUTING -t nat -p tcp -d 192.168.0.2 ! --dport 21 -j DNAT --to-destination 10.10.5.2

vsftpd в PASV отдает адрес 192.168.0.2, хотя при этом ждет соединение на 10.5.5.2
клиент будет конектится на 192.168.0.2 (из PASV), DNAT перекинет на 10.10.5.2

! --dport 21 -- чтобы не коннектились напрямую

Хм, действительно, это выход, спасибо. Только мне кажется vsftpd сам должен открывать порт на 192.168.0.2.

Я тоже так думаю. Надо бы в его исходниках посмотреть, чего он упрямится, а может есть у него какие опции компиляции связанные с этим, хотя я не нашел.

vsftpd через PAM работает, так что вперед
---------------------------------------------------------
$ apt-cache search pam radius
libpam-radius-auth - The PAM RADIUS authentication module
---------------------------------------------------------
auth required /lib/security/pam_radius_auth.so
account required /lib/security/pam_permit.so
session required /lib/security/pam_radius_auth.so

работает через PAM http://www.freeradius.org/pam_radius_auth/