Нет доступа на FTP из инета Порт 21 открыт

Router твой? Как там что сделано?

Почитай о фтп-протоколе, ты явно не в теме.

Ещё 20ый.

Будет только активный режим.

на роутере все просто:
iptables -A FORWARD -p TCP -i eth0 -d $SERV --dport 21 -j ACCEPT

на этом же компе работает апач, все ОК. пропускает так:
iptables -A FORWARD -p TCP -i eth0 -d $SERV --dport 80 -j ACCEPT

что читать то? и так все ясно - надо отркрыть порт на фаерволе....
или что-то еще?

>iptables -A FORWARD -p TCP -i eth0 -d $SERV --dport 80 -j ACCEPT

этого мало. в таблице nat (iptables -t nat -L) должно быть правило вроде iptables -t nat -I PREROUTING ..... --dport 80 -j DNAT --to-destination $SERV

оно и обеспечивает собственно "проброску" портов. тебе надо сделать аналогичные пары правил для портов 20 и 21

непонятно написано, торчит ли машинка в тырнете, или туда просто dnat делаеться.

если торчит - то тебе нужен контракт модуль ftp, для установленных соединений.

если машинка с серым ip - то нужно нат настроить, простого форвард маловато будет. так как пакетики, например, с 10.6.7.6 не достигнут белых ip адресов.

>что читать то? и так все ясно - надо отркрыть порт на фаерволе.... или что-то еще?

Читать про протокол FTP, про пассивный и активный режим работы. Все вопросы отпадут.

iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

Это правило должно идти первым, а --state INVALID -j DROP -- вторым

Почему -- можно прочитать вот здесь: http://www.opennet.ru/docs/RUS/iptables/

Кроме того, нужно подключить модуль ядра ip_conntrack_ftp , и прочитать действительно как протокол устроен.

Да, все понятно - надо читать и настраивать....

Но прикол в том, что с домашнего компа я спокойно могу зайти на этот фтп как в пасивном режиме так и нет!

Если логически рассуждать, то на роутере все прописано правильно! и в фаерволе и в самом сервере фтп.
И те кто не может зайти на фтп должны смотреть свои настройки.

Как это понимать?

>. в таблице nat (iptables -t nat -L) должно быть правило вроде iptables -t nat -I PREROUTING ..... --dport 80 -j DNAT --to-destination $SERV

и без этого апач хорошо работает и из нета виден!

>непонятно написано, торчит ли машинка в тырнете, или туда просто dnat делаеться.

машина с белым адресом и видна в инете

>нужен контракт модуль ftp, для установленных соединений.

как проверить установлен модуль ftp или нет?

где скачать ip_conntrack_ftp ????

дааа.......
всего то надо было сделать /sbin/modprobe ip_conntrack_ftp

а вы тут порты не порты........