LINUX.ORG.RU
Форум — General  

вопрос по iptables


0

0

kuzpc:/home/kuz# iptables -L
Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
ACCEPT tcp -- anywhere anywhere tcp dpt:www
ACCEPT tcp -- anywhere anywhere tcp dpt:ftp
ACCEPT tcp -- anywhere anywhere tcp dpt:ftp-data

kuz@kuzpc:~$ nmap localhost

(The 1660 ports scanned but not shown below are in state: filtered)
PORT STATE SERVICE
20/tcp closed ftp-data
21/tcp open ftp
80/tcp open http

Почему ftp-data closed ?

★

Ответ на: комментарий от anonymous

А как решается проблема с directory listing-ом?
Сейчас, если iptables фильтруют, то:

kuz@kuzpc:~$ ftp 192.168.1.100
Connected to 192.168.1.100.
Name (192.168.1.100:kuz): anonymous
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
200 PORT command successful. Consider using PASV.

kuz ★
() автор топика

Неудивительно.

$IPTABLES -A INPUT -p tcp --dport 20 -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 21 -j ACCEPT
$IPTABLES -A INPUT -p udp --dport 20 -j ACCEPT
$IPTABLES -A INPUT -p udp --dport 21 -j ACCEPT

$IPTABLES -A INPUT -p tcp --sport 20 -j ACCEPT
$IPTABLES -A INPUT -p tcp --sport 21 -j ACCEPT
$IPTABLES -A INPUT -p udp --sport 20 -j ACCEPT
$IPTABLES -A INPUT -p udp --sport 21 -j ACCEPT

$IPTABLES -A OUTPUT -j ACCEPT

jackill ★★★★★
()
Ответ на: комментарий от kuz

Подскажите новичку , небольшая перестановка последней команды наверх изменит общий кусок ?
$IPTABLES -A OUTPUT -j ACCEPT

$IPTABLES -A INPUT -p tcp --dport 20 -j ACCEPT
$IPTABLES -A INPUT -p tcp --dport 21 -j ACCEPT
$IPTABLES -A INPUT -p udp --dport 20 -j ACCEPT
$IPTABLES -A INPUT -p udp --dport 21 -j ACCEPT

$IPTABLES -A INPUT -p tcp --sport 20 -j ACCEPT
$IPTABLES -A INPUT -p tcp --sport 21 -j ACCEPT
$IPTABLES -A INPUT -p udp --sport 20 -j ACCEPT
$IPTABLES -A INPUT -p udp --sport 21 -j ACCEPT

anonymous
()
Ответ на: комментарий от jackill

Да кто так ФТПёй рулит. Надо использовать трассировку соединений, UDP не упёрся никаким боком к ФТП.

anonymous
()
Ответ на: комментарий от anonymous

Ответ новичку - нет.
Ответ последнему анонимусу: а можно как-нибудь поподробнее или link на документацию.

kuz ★
() автор топика
Ответ на: комментарий от kuz

На самом деле не все это нужно. Для нормальной работы достаточно:

-A INPUT -p tcp --dport 21 -j ACCEPT
-A INPUT -p tcp --sport 20 -j ACCEPT

И все.
А если использовать passive, то те порты, которые используются, нужно откарыть и с --dport и с --sport.
Например для 1500-1505:
-A INPUT -p tcp --sport 1500 -j ACCEPT
-A INPUT -p tcp --sport 1501 -j ACCEPT
-A INPUT -p tcp --sport 1502 -j ACCEPT
-A INPUT -p tcp --sport 1503 -j ACCEPT
-A INPUT -p tcp --sport 1504 -j ACCEPT
-A INPUT -p tcp --sport 1505 -j ACCEPT
-A INPUT -p tcp --dport 1500 -j ACCEPT
-A INPUT -p tcp --dport 1501 -j ACCEPT
-A INPUT -p tcp --dport 1502 -j ACCEPT
-A INPUT -p tcp --dport 1503 -j ACCEPT
-A INPUT -p tcp --dport 1504 -j ACCEPT
-A INPUT -p tcp --dport 1505 -j ACCEPT

А udp вообще не нужно.

kuz ★
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
General