Fedora linux forum

evg · #1 2010-09-27 13:26:46

добрый день. Есть машина с 13 федорой и 2 сет.картами eth0- lan 192.168.10.0/24 и eth1 wan 89.28.205.*-статический белый адрес.На ней поднят iptables. Задача как открыть пассивный так и активный ftp для локальный сети что бы народ мог шарится по внешним ftp серверам?
Эти модули подгрузил
IPTABLES_MODULES="ip_conntrack"
IPTABLES_MODULES="ip_conntrack_ftp"
IPTABLES_MODULES="ip_nat_ftp"
IPTABLES_MODULES_UNLOAD="no"

Mak_s · #2 2010-09-27 14:35:40

А NAT вообще настроен? Или нужно сначала шлюз поднять?
Вообще пассивный ftp работает через NAT без дополнительных настроек, а вот с активным универсального решения нет (но я не уверен, что сейчас вообще где-то используется только активный ftp. Так что пассивного должно хватить всем).

evg · #3 2010-09-27 16:29:09

NAT есть
*nat
-A POSTROUTING -o eth1 -s 192.168.10.0/24 -j SNAT --to 89.28.205.*
и есть вроде бы правильные на мой взгляд правила для активного фтп
-A FORWARD -p tcp -s 192.168.10.0/24 --dport 21 -j ACCEPT
-A FORWARD -p tcp -d 192.168.10.0/24 --sport 21 -m state --state ESTABLISHED,RELATED -j ACCEPT
-A FORWARD -p tcp -s 192.168.10.0/24 --dport 20 -j ACCEPT
-A FORWARD -p tcp -d 192.168.10.0/24 --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
но вот как написать правила для открытия портов вище 1024: не знаю

Mak_s · #4 2010-09-27 17:44:38

Дело в том, что для активного ftp правил FORWARD недостаточно. При установке такого соединения клиент начинает слушать на определенном порту, который он сообщает серверу. Но сервер ведь будет пытаться открыть этот порт по адресу шлюза, а не клиента. То есть получается, что для каждого отдельного соединения, нужно еще отдельное правило PREROUTING, причем на заранее неизвестном порту и на заранее неизвестный внутренний адрес. Поэтому настроить активный ftp за NAT-ом возможно только в отдельных частных случаях (и даже в этих случаях я бы не советовал этого делать из соображений безопасности).

evg · #5 2010-09-27 17:59:52

Хорошо тогда как мне его отрыть? Скажем так что-бы я мог с любой виндовой машины в сети открыть cmd набрать ftp, open dlink.ru и попасть на сервер.

Mak_s · #6 2010-09-27 19:01:35

А сейчас разве не получается? Тогда вывод ошибок в студию.

evg · #7 2010-09-28 09:09:17

Вот такое если работают вот эти 2 правила
-A FORWARD -p tcp -s 192.168.10.0/24 --dport 21 -j ACCEPT
-A FORWARD -p tcp -d 192.168.10.0/24 --sport 21 -m state --state ESTABLISHED,RELATED -j ACCEPT
-A FORWARD -p tcp -s 192.168.10.0/24 --dport 20 -j ACCEPT
-A FORWARD -p tcp -d 192.168.10.0/24 --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
что пишется в cmd вот

C:\Documents and Settings\Administrator>ftp
ftp> open dlink.ru
ftp: connect :Connection timed out

а если эти 2 правила отключить получается вот такое

ftp> open dlink.ru.
ftp: connect :Host is unreachable

Mak_s · #8 2010-09-28 14:02:58

А кроме ftp через нат что-то работает?
Брандмауэр Windows не блокирует?

evg · #9 2010-09-28 18:36:11

DNS,HTTP,NTP даже качать с клиента могу там фильмы, музыку но только по http. Брандмауэр выключен

Mak_s · #10 2010-09-28 20:12:03

-A FORWARD -p tcp -d 192.168.10.0/24 --sport 1024:65535 -m state --state ESTABLISHED,RELATED -j ACCEPT
наверное это нужно добавить

evg · #11 2010-09-29 10:10:02

не не помогло. Так же и осталось!Обрисую настройку машины 2 сетив. eth0-lan eth1-wan

Отредактированно evg (2010-09-29 10:13:37)

Mak_s · #12 2010-09-30 00:16:59

Поигрался на своем шлюзе. Заработало при следующем наборе (айпишники и интерфейсы адаптированы):

Код:

. . .
-A FORWARD -s 192.168.10.0/24 -p tcp -m multiport --dports 20:21 -j ACCEPT
-A FORWARD -d 192.168.10.0/24 -m state --state RELATED,ESTABLISHED -j ACCEPT
. . .
*nat
. . .
-A POSTROUTING -o eth1 -j MASQUERADE
. . .

evg · #13 2010-09-30 10:38:32

Теперь новый прикол вылез при перезагрузке/выключение не загружается модуль
modprobe ip_conntrack
FATAL: Module ip_conntrack not found.
делаю ip_conntrack_ftp. ftp работает перезагрузил/выключил опять такое.
modprobe ip_conntrack
FATAL: Module ip_conntrack not found.

Хотя вот весь iptables-config

# Load additional iptables modules (nat helpers)
# Default: -none-
# Space separated list of nat helpers (e.g. 'ip_nat_ftp ip_nat_irc'), which
# are loaded after the firewall rules are applied. Options for the helpers are
# stored in /etc/modprobe.conf.
IPTABLES_MODULES=""

# Unload modules on restart and stop
# Value: yes|no, default: yes
# This option has to be 'yes' to get to a sane state for a firewall
# restart or stop. Only set to 'no' if there are problems unloading netfilter
# modules.
IPTABLES_MODULES_UNLOAD="yes"

# Save current firewall rules on stop.
# Value: yes|no, default: no
# Saves all firewall rules to /etc/sysconfig/iptables if firewall gets stopped
# (e.g. on system shutdown).
IPTABLES_SAVE_ON_STOP="no"

# Save current firewall rules on restart.
# Value: yes|no, default: no
# Saves all firewall rules to /etc/sysconfig/iptables if firewall gets
# restarted.
IPTABLES_SAVE_ON_RESTART="no"

# Save (and restore) rule and chain counter.
# Value: yes|no, default: no
# Save counters for rules and chains to /etc/sysconfig/iptables if
# 'service iptables save' is called or on stop or restart if SAVE_ON_STOP or
# SAVE_ON_RESTART is enabled.
IPTABLES_SAVE_COUNTER="no"

# Numeric status output
# Value: yes|no, default: yes
# Print IP addresses and port numbers in numeric format in the status output.
IPTABLES_STATUS_NUMERIC="yes"

# Verbose status output
# Value: yes|no, default: yes
# Print info about the number of packets and bytes plus the "input-" and
# "outputdevice" in the status output.
IPTABLES_STATUS_VERBOSE="no"

# Status output with numbered lines
# Value: yes|no, default: yes
# Print a counter/number for every rule in the status output.
IPTABLES_STATUS_LINENUMBERS="yes"
#
# ftp over NAT
#IPTABLES_MODULES="ip_conntrack"
IPTABLES_MODULES="ip_conntrack_ftp"
IPTABLES_MODULES="ip_nat_ftp"
IPTABLES_MODULES="ip_nat_pptp"
IPTABLES_MODULES="ip_conntrack_pptp"
#

Отредактированно evg (2010-09-30 10:43:07)

Mak_s · #14 2010-09-30 21:32:44

Насколько я помню, этот модуль еще с десятки начали вкомпиливать непосредственно в ядро, так что загружать его отдельно не нужно (да и не получится, потому что нет его уже).

evg · #15 2010-10-01 08:53:46

Тобеж надо подгрузить вот эти:
IPTABLES_MODULES="ip_conntrack_ftp"
IPTABLES_MODULES="ip_nat_ftp" эти 2 опять при перезагрузке не загружаются автоматом!

IPTABLES_MODULES="ip_nat_pptp"
IPTABLES_MODULES="ip_conntrack_pptp"
И можете объяснить значение вот этого параметра это понять его никак не могу:
# Unload modules on restart and stop
# Value: yes|no, default: yes
# This option has to be 'yes' to get to a sane state for a firewall
# restart or stop. Only set to 'no' if there are problems unloading netfilter
# modules.
IPTABLES_MODULES_UNLOAD="yes"

в разных manual`ах по разному написано то ставить no то yes Хотя комментарий к нему понятен но...

Отредактированно evg (2010-10-01 10:18:13)

Mak_s · #16 2010-10-01 16:31:35

evg написал:
Тобеж надо подгрузить вот эти:
IPTABLES_MODULES="ip_conntrack_ftp"
IPTABLES_MODULES="ip_nat_ftp" эти 2 опять при перезагрузке не загружаются автоматом!

IPTABLES_MODULES="ip_nat_pptp"
IPTABLES_MODULES="ip_conntrack_pptp"

Честно говоря, я вообще не вижу необходимости в этих модулях (кстати, их современные названия начинаются с nf_ (nf_conntrack_ftp и т.д.). Алиасы на ip_ оставлены только для совместимости и в будущем могут перестать работать).

И можете объяснить значение вот этого параметра это понять его никак не могу:
# Unload modules on restart and stop
# Value: yes|no, default: yes
# This option has to be 'yes' to get to a sane state for a firewall
# restart or stop. Only set to 'no' if there are problems unloading netfilter
# modules.
IPTABLES_MODULES_UNLOAD="yes"

в разных manual`ах по разному написано то ставить no то yes Хотя комментарий к нему понятен но...

Даже не знаю, что тут можно добавить. Я никогда не менял этот параметр, и не знаю, зачем это может кому-то понадобиться, за исключением случая, указанного в комментарии, т.е. когда у модулей проблемы с выгрузкой.

evg · #17 2010-10-01 20:24:37

Хорошо если я уберу эти 4 модуля с iptables-config как мне их добавить в автозапуск? А то когда я эти два IPTABLES_MODULES="ip_conntrack_ftp"
IPTABLES_MODULES="ip_nat_ftp" убираю и перегружу ptables перестает ходить ftp
И у вас есть что-то почитать про iptables только посвежее, а то у меня есть вот токае-Iptables Tutorial 1.1.19 скинте на e-mail в профиле. Спасибо

Mak_s · #18 2010-10-02 01:56:44

evg написал:
как мне их добавить в автозапуск?

Да наверное так же, как и любую другу команду. Добавить в /etc/rc.local (по идее должно хватить одной команды, второй модуль должен загрузиться, как зависимость):

Код:

/sbin/modprobe nf_nat_ftp

И у вас есть что-то почитать про iptables только посвежее, а то у меня есть вот токае-Iptables Tutorial 1.1.19 скинте на e-mail в профиле. Спасибо

В этом, к сожалению, помочь не могу. Мне пока хватало гугла и man iptables, так что никаких специальных доков даже не искал.

Fedora linux forum

#1 2010-09-27 13:26:46

Iptables и ftp!

#2 2010-09-27 14:35:40

Re: Iptables и ftp!

#3 2010-09-27 16:29:09

Re: Iptables и ftp!

#4 2010-09-27 17:44:38

Re: Iptables и ftp!

#5 2010-09-27 17:59:52

Re: Iptables и ftp!

#6 2010-09-27 19:01:35

Re: Iptables и ftp!

#7 2010-09-28 09:09:17

Re: Iptables и ftp!

#8 2010-09-28 14:02:58

Re: Iptables и ftp!

#9 2010-09-28 18:36:11

Re: Iptables и ftp!

#10 2010-09-28 20:12:03

Re: Iptables и ftp!

#11 2010-09-29 10:10:02

Re: Iptables и ftp!

#12 2010-09-30 00:16:59

Re: Iptables и ftp!

Код:

#13 2010-09-30 10:38:32

Re: Iptables и ftp!

#14 2010-09-30 21:32:44

Re: Iptables и ftp!

#15 2010-10-01 08:53:46

Re: Iptables и ftp!

#16 2010-10-01 16:31:35

Re: Iptables и ftp!

evg написал:

#17 2010-10-01 20:24:37

Re: Iptables и ftp!

#18 2010-10-02 01:56:44

Re: Iptables и ftp!

evg написал:

Код: