LINUX.ORG.RU
Форум — Admin  

vsftp за NAT


0

0
Доброго времени суток! Никак не могу разобраться с vsftp. Стоит ftp за NAT, внутри локальной сети он работает нормально и в пасивном и в активном режими. Если же попробовать обратиться к нему из глобальной сети, то работать он хочет только в активном режими, а в пассивном не очень. В конфах прописаны дерективы работы в пассивн1м режими, но результат неизменно плачевен! Подскажите как можно заставить vsftp нормально работать через NAT?
anonymous
← Централизованное управление рабочими станциями в Linux-only сети.
freeradius+pptp - подключение с любой машины? → 
NAT какой? DNAT/SNAT? Как 21 порт прокинут ша шлюз? 

lsmod | fgrep conntrack (nf_conntrack_ftp/ip_conntrack_ftp)
lsmod | fgrep nat (nf_nat_ftp/ip_nat_ftp)
lsmod | fgrep capability (нужен для vsftpd)
iptables -t nat -L
iptables -L (на предмет политики для RELATED соединений)
mutronix ★★★★
()
Ответ на: комментарий от mutronix
Поправка

Модуль capability нужен на ftp-сервере с vsftpd, а не на гейте, т.ч. это лишнее.

mutronix ★★★★
()
Ответ на: комментарий от anonymous
> DNAT прокинуты 20 и 21 порты

20 порт нужен только для работы в активном режиме.

> Почему работает в активном режими, а впассивном не хочет?

Потому, что в активном режиме у тебя 20 порт уже проброшен на шлюз, а для пассивного режима нужно, что бы трассировщик iptables на шлюзе пропускал RELATED ftp соединения в локалку к ftp-серверу. Либо в правилах не предусмотрено правило ACCEPT для RELATED пакетов, либо iptables это правило игнорирует из-за того, что не загружены соответствующие модули.

mutronix ★★★★
()
Ответ на: комментарий от mutronix
Если на пальцах, то iptables (при наличии соответствующих модулей) распознает относящиеся (related) к уже установленным фтп соединениям запросы на соединения и транслирует их в локалку, если они нигде не попадают под REJECT/DROP. Тут смотреть надо на правила и на наличие модулей в ядре.
mutronix ★★★★
()
Ответ на: комментарий от mutronix
P.S: Если у тебя в цепочке filter указано Chain FORWARD (policy ACCEPT)

и например, дропаются все NEW,INVALID соединения на внешнем интерфейсе и больше ничего нет или просто пусто, то все RELATED-соединения автоматически попадают под ACCEPT и ничего дополнительно прописывать не нужно.

mutronix ★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Централизованное управление рабочими станциями в Linux-only сети.
Admin
freeradius+pptp - подключение с любой машины? →