FTP and firewall on linux box. Какие порты надо открыть для работы с FTP?

для фтп сервера, работающем в passive mode этих двух портов достаточно если у тебя фтп работает в active mode, читай доки в этом направлении

$IPTABLES -A OUTPUT -p udp --dport 53 -j ACCEPT

> для фтп сервера, работающем в passive mode этих двух портов достаточно
Наоборот, достаточно для работы в active режиме (при условии, что в OUTPUT нет запретов).
Более подробно смотреть здесь:
http://slacksite.com/other/ftp.html
(где-то аналогично было даже на русском)

> $IPTABLES -A OUTPUT -p udp --dport 53 -j ACCEPT

совсем забыл сказать, что output в accept установлен. Только причем тут 53/udp, этоо же для dns надо?

> Наоборот, достаточно для работы в active режиме (при условии, что в OUTPUT нет запретов). Более подробно смотреть здесь: http://slacksite.com/other/ftp.html (где-то аналогично было даже на русском)

Так и понял, после того, как на opennet-e ответ про PassivePorts получил. По ссылке http://slacksite.com/other/ftp-appendix1.html именно про это и написано. Мне почемуто не помогало, когда я в конфиге прописывал

PassivePorts 49152 65534 сразу после опции Port.

И, соответственоо, открывал эти порты iptables-ом

$IPTABLES -A INPUT -p tcp --dport 49152:65534 -j ACCEPT

буду рыть на предмет PassivePorts... Может где еще что откопаю.

> $IPTABLES -A INPUT -p tcp --dport 49152:65534 -j ACCEPT

Лучше так:
# modprobe ip_conntrack_ftp
# iptables -A INPUT --match state --state RELATED,ESTABLISHED -j ACCEPT

заработало!!! че сделал, сам не пойму. все также дописал в конфиг PassivePorts и сделал ACCEPT на эти порты

> Лучше так:
# modprobe ip_conntrack_ftp
# iptables -A INPUT --match state --state RELATED,ESTABLISHED -j ACCEPT

а ip_conntrack_ftp что делает? там еще такойже для нат есть. стоит его подгружать или нет? У меня просто этот proftpd за шлюзом в инет стоит. на нем:
$IPTABLES -t nat -A PREROUTING -s $SOURCE -d $MY_IP -p tcp --dport 20:21 -j DNAT --to-destination $FTP_LOCAL_IP
$IPTABLES -t nat -A PREROUTING -s $SOURCE -d $MY_IP -p tcp --dport 49152:65534 -j DNAT --to-destination $FTP_LOCAL_IP

> а ip_conntrack_ftp что делает?

Позволяет использовать --state RELATED. =)

Всем спасибо! Думаю, тему можно считать закрытой.