Dotaz: Po restartu je zrušené: ipt_nat_ftp ip_conntrack_ftp

[jirka]

Na počítači mám naistalovaný firewall. Pravidla jsem uložil pomocí:

/sbin/service iptables save

Po restartu počítače se mi opět automaticky načtou pravidla, takže firewall chodí v pořádku. Bohužel přestane chodit FTP (klient). Musím jej ručně nahodit:

modprobe ip_conntrack_ftp 
modprobe ip_nat_ftp

Pak FTP běží, ale opět do příštího restartu. Po hledání na internetu jsem zjistil, že tento problém je častý a pomůže (na jádře 2.6.x) ruční editace souboru /etc/modprobe.conf kde se přidá řádek:

alias ip_conntrack ip_conntrack_ftp ip_nat_ftp

to jsem udělal, ale opět po restartu tyto moduly nejsou zavedeny a musím je zavést ručně. Protože už nevím co mám dělat prosil bych o radu. Mám Mandriva 2006.

Odpovědi

[kmarty]

Pokud mne pamet neklame tak prave tyhle moduly (ip_conntrack_* a ip_nat_*) je nutne zavest rucne, respektive zapsat do souboru /etc/modules ktery pouziva modutils a/nebo module-init-tools pro nacteni modulu pri startu.

Modul ip_conntrack neni to same jako ip_conntrack_ftp,ip_conntrack_irc, ip_conntrack_tftp (a dalsi). To same iptable_nat neni to same jako ip_nat_ftp, ip_nat_irc, ip_nat_tftp (a dalsi).

[jirka]

... respektive zapsat do souboru /etc/modules ktery pouziva ...

Pomocí Google jsem vyhledal, že se má zaspat do moduly /etc/modules.conf

above ip_conntrack ip_conntrack_ftp ip_nat_ftp

což jsem si myslel, že to má být pro starší jádro, nicméně jsem to zkusil. Bohužel Mandriva po restartu už nenajela (pořád intenzivně pracovala s diskem), což se mi nezdálo a po třech minutách jsem ji restartoval do záchranýho módu a změny jsem v mc vrátil. Takže ani to nefunguje.

No nešlo by to udělat nějak tak, že bych zeditoval nejakej soubor, kterej se spouští při startu, aby se to udělalo samo? Našel jsem kdysi, že soubor /etc/rc.d/rc5.d/S03iptables se spouští při startu, ale jeho editací jsem to nějak pokazil, tak teď se toho bojím. Spíš bych chtěl něco pro laika, aby to bylo hodně jednoduchý a nic jsem nezkazil. Je možné, že bych vytvořil soubor /etc/rc.d/rc5.d/S08moje který by obsahoval

modprobe ip_conntrack
modprobe ip_conntrack_ftp

a fungovalo by to? Mate mě, že je tam spousta těch souborů (stejných) s různými čísly. Dočetl jsem se, že S je start a K je konec a číslo by mělo být pořadí (08 je volná). Takže dedukuju, že právě to co jsem napsal by mělo chodit, ale radši se zeptám, jestli v tom není nějakej podraz.

[jirka]

po restartu vypíše lsmod:

ipt_mac                 2400  1
ipt_ipp2p               8800  1
ipt_REJECT              5344  1
ipt_LOG                 7392  11
ipt_limit               2784  9
ipt_state               2304  28
iptable_filter          3072  1
iptable_nat            21524  1
ip_conntrack           42504  2 ipt_state,iptable_nat
ipt_TOS                 2816  12
iptable_mangle          3008  1
ip_tables              22656  10 ipt_mac,ipt_ipp2p,ipt_REJECT,ipt_LOG,
  ipt_limit,ipt_state,iptable_filter,iptable_nat,ipt_TOS,iptable_mangle

a ipt_nat_ftp,ip_conntrack_ftp tam chybí. Ostatní tam jsou zavedeny. Není mi jasné proč některé moduly tam jsou zavedeny a některé ne.

[jirka]

Po ručním zavedení vypíše lsmod:

ipt_mac                 2400  1
ipt_ipp2p               8800  1
ipt_REJECT              5344  1
ipt_LOG                 7392  11
ipt_limit               2784  9
ipt_state               2304  28
iptable_filter          3072  1
iptable_nat            21524  2 ip_nat_ftp
ip_conntrack           42504  4 ip_nat_ftp,ip_conntrack_ftp,ipt_state,iptable_nat
ipt_TOS                 2816  12
iptable_mangle          3008  1
ip_tables              22656  10 ipt_mac,ipt_ipp2p,ipt_REJECT,ipt_LOG,
  ipt_limit,ipt_state,iptable_filter,iptable_nat,ipt_TOS,iptable_mangle

[jirka]

Tak jsem zeditoval soubor

/etc/rc.d/init.d/iptables

že jsem do sekvence

start(){...}

vložil příkaz

/sbin/modprobe ip_nat_ftp

nevím jestli je to správně, ale moduly se zavedou, jak jsem chtěl.

[bbman]

Stává se mi totéž, nepodařilo se mi to vyřešit editací rc.local ani /etc/modules.conf nebo /etc/modprobe.conf, pomohlo jedině přidat  řádky do /etc/init.d/iptables do sekce start