Dotaz: Pasivní FTP neprojde přes iptables

[Eršin]

Ahoj,

Já vím, že už se to mnohokrát řešilo. Vím, jak to funguje, a proto jsem v koncích. Potřebuju zprovoznit pasivní FTP na můj stroj. A iptables samozřejmě nepovolí datové spojení.

Kernel 2.6.24 (TuxOnIce, Gentoo) byl zkompilován s parametry:

CONFIG_NF_CONNTRACK_ENABLED=y
CONFIG_NF_CONNTRACK=y
# CONFIG_NF_CONNTRACK_MARK is not set
# CONFIG_NF_CONNTRACK_EVENTS is not set
# CONFIG_NF_CONNTRACK_AMANDA is not set
CONFIG_NF_CONNTRACK_FTP=y
# CONFIG_NF_CONNTRACK_SANE is not set
# CONFIG_NF_CONNTRACK_TFTP is not set
CONFIG_NETFILTER_XT_MATCH_CONNTRACK=y
CONFIG_NF_CONNTRACK_IPV4=y
# CONFIG_NF_CONNTRACK_PROC_COMPAT is not set
CONFIG_IP_NF_IPTABLES=y


A iptables samozřejmě obsahují tento řádek:

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Nemáte někdo nápad, proč datové pasivní FTP spojení přes firewall neprojde?

Díky moc...

Odpovědi

[chytracek]

modprobe ip_conntrack_ftp ?

[Ash]

Jaképa modprobe, však má CONFIG_NF_CONNTRACK_FTP=y

[Ash]

Jo pravda, on to bude asi jiný extra modul :) A za natem vyžaduje ten ip_nat_ftp.

[Ash]

Nevyžaduje, stačí to bez něj (alespoň mně :)

[artec]

modprobe ip_nat_ftp

modprobe ip_conntrack_ftp

Pak ti pujde aktivni i pasivni spojeni.... Pouze FTP, ne FTPs (FTP over SSL)

[tezkatlipoka]

vzheldem k tomu ze mu nejde ani pasivni FTP, tak mu nahrani modulu pro aktivni FTP urcite udela radost

[Eršin]

Páni.. díky za reakce.

modprobe mi samozřejmě nepomůže - nemám ty moduly, když je to v jádře. Spíš mě překvapuje modul ip_nat_ftp. Co přesně tenhle modul dělá? Která volba způsobí, že se zkompiluje? Stroj běží na veřejné IP, ale nepřijde mi to podstatné.

Myslíte si, že bych měl zakompilovat do kernelu i podporu pro NAT? Nechápu, proč by to s tím mělo souviset...

[Ash]

Já to zkoušel a ip_nat_ftp jsem nepotřeboval (ani ho nemám), stačilo modprobe ip_conntrack_ftp (neb mám moduly).

[Ash]

Jinak jste si jist, že to brzdí iptables? Bez iptables to jde? Nechybí jen třeba uvednený rozsah portů v *fptd.conf? (Asi hloupé otázky, ale nic jiného mne v souvislosti s iptables nenapadá, v iptables mi stačilo dát povolení příchozích RELATED a bylo).

[Eršin]

Brzdí to samozřejmě iptables - jakmile je vypnu, vše funguje.

Když zkusím připojení z telnetu, tak vše funguje dle očekávání - přihlásím se, pošlu PASV paket, na ten mi přijde odpověd, ale iptables neotevřou port pro ono datové spojení. Přitom server poslouchá - v netstat jde otevřený port vidět.

[Ash]

Práce toho conntrack modulu by měla jít také někde zkontrolovat, koukl bych se asi do /proc/net/nf_conntrack* neboo tak přibližně, jestli tam není něco vidět.

[Eršin]

Hm... diky za napad. Jsou zde dva soubory: nf_conntrack a nf_conntrack_expect, oba dva jsou prazde. Zrejme to signalizuje, ze a) neco nefunguje, nebo b) neni zapnute logovani. Zkusim zapnout logovani v kernelu.

[Ash]

No tak to je problém. S logováním to řeklbych nesouvisí, pokud vám funguje connection tracking tak se v souborech ip_conntrack resp. nf_conntrack objevují informace o daných spojeních, a podle nich se pak mohou řídit další spojení (a zjistit si jestli náhodou nejsou RELATED či ESTABLISHED). Jak vidno vám to nefunguje, takže nemůže fungovat ani rozpoznávání related/established spojení. Víceméně to ale jen potvrzuje že vám opravdu nefunguje connection tracking :/ Žel mne napadají jen samé hloupé otázky jako jestli nebootujete do nějakého jiného kernelu a podobně :/ jinak mne nenapadá co tomu chybí.

[Ash]

Také by byla možnost (opět lamerská) zkompilovat conntrack jako modul a zkusit to modulárně. Ne že bych čekal zázrak, ale jeden nikdy neví.

[Eršin]

Diky za ten link na connection tracking. Opravdu zrejme jedina sance, ktera mi zbyva, je zkompilovat conntrack jako modul a zkusit, jestli to bude fungovat. Zkusim jeste zapnout v kernelu CONFIG_NETFILTER_NETLINK_LOG=y.

[stativ]

Já bych to určitě zkusil. Věci co používám neustále mám v jádře natvrdo zakompilované s výjimkou modulů pro iptables což znamená, že jsem pro to musel nejspíš mít dobrý důvod. Už si nepamatuju jaký, ale taky mi něco nefungovalo.

[Eršin]

Ha! Tady doslo ke zmene! V souboru /proc/net/nf_conntrack se nahle objevilo nekolik radku zhruba tehle podoby:

ipv4 2 tcp 6 431912 ESTABLISHED src=my.beauty.ip.addr dst=86.49.93.28 sport=46541 dport=6667 packets=118 bytes=7137 src=86.49.93.28 dst=and.a.gain.ip sport=6667 dport=46541 packets=114 bytes=13148 [ASSURED] use=1

U vsech radku je napsano ESTABLISHED, jen u dvou je TIME_WAIT. Ja jsem si rikal, ze ESTABLISHED mi asi funguje, kdyz muzu vesele brouzdat po webu... Jinak bootuju spravny kernel.

[Ash]

Když se přihlásíte na svůj ftp server (přes vnější veřejnou ip) tak by tam mělo být vidět ESTABLISHED spojení na port 21, podle toho by iptables měly poznat že spojení na port 20 které jde ze serveru, je related ke spojení které je s tím serverem už established. Dobrý nápad je to logování zahozených paketů, osobně mám iptables nastavené tak, že se explicitně povolí rozličné služby, co nepovolí některý z filtrů a je tedy "neočekávané" se zaloguje a zahodí. Postupně na co jsem zapomněl, toho jsem si v logu všimnul a služby přidal. Předpokládám, že to máte nějak podobně, možná si tam přidejte nějaké konkrétní logovací pravidla, třeba že za to INPUT ... RELATED, ESTABLISHED -j ACCEPT si dejte pravidlo které nějak pozná a zaloguje to vaše spojení kterým to testujete (oba porty jsou větší než 1024, případně cílový je v rozmezí nastaveném v ftpd.conf, nebo třeba podle srcip), ať máte jistotu že to datové spojení došlo až tam a nebylo povoleno tím vaším pravidlem pro povolení ESTABLISHED,RELATED.

[Ash]

Oprava, "spojení na port 20 které jde ze serveru", eh, řešíme pasivní spojení že, čili opravuji na "spojení které jde z klienta nejspíš z portu>1024 na server na nejspíš port>1024 v rozsahu uvedeném v ftpd.conf" :)

[Eršin]

Diky... Ano, ESTABLISHED spojeni na port 21 v souboru nf_conntrack je. Prikazove spojeni funguje naprosto bez problemu.

Zapnout logovani je urcite dobry napad - pokud pridam pravidlo, ktere zaloguje a zahodi vsechny spojeni na port >1024. Ted mam samozrejme vsechno zahazovane implicitnim pravidlem. Nevite nekdo, jak toto logovani zapnout?

Jen se bojim, ze v pripadnem logu uvidim presne to, co se da cekat - iptables zakazaly spojeni, protoze jim nedoslo, ze se jedna o RELATED spojeni, ale mysli si, ze je NEW.

Vsiml jsem si ale, ze v iptables existuji krome match state (RELATED, ESTABLISHED) jeste match conntrack (RELATED, ESTABLISHED). Nevite nekdo, jaky je mezi nimi rozdil? Pro jistotu uvedu cely radek iptables:

iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

[Ash]

Věci ohledně ftp mám nastavené takto:

# ftpd chain
-N S_FTP
-F S_FTP
-A S_FTP -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT
# ftpd (passive)
-A S_FTP -p tcp -m state --state ESTABLISHED,RELATED -m multiport --dports 49152:49162 -j ACCEPT

-------------

# ftpd
-A INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j S_FTP
# ftpd (passive, data)
#-A INPUT -p tcp -m state --state NEW -m multiport -m multiport --sports 1024: --dports 49152:49162 -j S_FTP
-A INPUT -p tcp -m state --state ESTABLISHED,RELATED -m multiport --dports 49152:49162 -j S_FTP

# ftp (pasive, data)
-A INPUT -p tcp -m state --state ESTABLISHED -m tcp --sport 1024: --dport 1024: -j ACCEPT

-----------------

# ftpd (active, data)
-A OUTPUT -p tcp -m state --state ESTABLISHED,RELATED -m tcp --sport 20 --dport 1024: -j ACCEPT

# ftp
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT
# ftp (active, data)
-A OUTPUT -p tcp -m state --state ESTABLISHED,RELATED -m tcp --dport 20 -j ACCEPT
# ftp (passive, data)
-A OUTPUT -p tcp -m state --state ESTABLISHED,RELATED --sport 1024: --dport 1024: -j ACCEPT

-----------------

#ftpd jsou pravidla týkající se serveru, #ftp týkající se klienta. Filtruji i output, ale to se dá vyhodit.

Pokud chcete nějakou informaci lognout, tak před to pravidlo napíšete dané pravidlo ještě jednou, pričemž místo

 -j ACCEPT_OR_SO

dáte

-j LOG -m limit --limit 1/minute --limit-burst 1 --log-level debug --log-prefix "iptables: ftp: wtf "

a následovat bude to pravidlo. Pozor, délka textu prefixu je omezená (asi 16 znaků nebo tak nějak, už nevím).

Pokud si pak dáte tail -f /var/log/messages tak se vám objeví informace že nějaký paket dorazil v iptables až "tam" (jen jeden paket za minutu, ale to lze změnit), případně pokud je těch logů více, tak se vám objeví v pořadí v jakém paket lezl...

To zakomentované pravidlo (tedy NEW místo RELATED/ESTABLISHED) mi tuším fungovalo právě pro pasivní spojení ještě než jsem tam dal právě conntracking.

[Ash]

Ten S_FTP chain se jeví nadbytečněj, protože porty a tak jsou i dole, no já tam měl omezení počtu spojení ale to jsem vymazal aby to nemátlo :) Mohl jsem ho už smazat celý -- místé -j S_FTP dát -j ACCEPT a S_FTP chain dát celkově pryč. Ale podstatné je stejně to logování samozř. a to tam je.

[Ash]

Na konci všeho mám

# LOG

-A INPUT -m limit --limit 5/minute --limit-burst 5 -j LOG --log-level debug --log-prefix "iptables: undefined input: "
-A FORWARD -m limit --limit 5/minute --limit-burst 5 -j LOG --log-level debug --log-prefix "iptables: undefined forward: "
-A OUTPUT -m limit --limit 5/minute --limit-burst 5 -j LOG --log-level debug --log-prefix "iptables: undefined output: "

# input
#-A INPUT -j REJECT --reject-with icmp-port-unreachable
#-A INPUT -j DROP

# output
-A OUTPUT -j ACCEPT
#-A OUTPUT -j DROP

Přičemž neznámý output explicitně povoluji, neznámý input po lognutí neřeším, protože mám na začátku default policy jako DROP...

[svaca]

jeste potrebujes :

modprobe capability

[svaca]

a samozrejme:

iptables -A INPUT -i ${WAN} -p tcp --dport 21 -j ACCEPT

[Eršin]

Jak jsem psal, problem je s DATOVYM spojenim. Prikazove spojeni samozrejme projde, takze port 21(respektive jiny) je otevreny a FTP server se se mnou bavi. Prihlasim se, poslu mu prikaz PASV, on mi posle port, ale na ten uz se nepripojim, protoze iptables jej blokuji.

[Miška]

Kdyz sem si nastavoval svoje ftp, rek sem ftp serveru, ktery rozsah portu ma pouzivat a ty pak explicitne povolil na firewallu...

[Ash]

-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT je obecnější než třeba -A INPUT -m state --state RELATED,ESTABLISHED -m multiport --sports 1024: --dports 65500:65535 -j ACCEPT a než otevření portů bez vazby na conntrack je přecejen lepší ten conntrack rozchodit, on se hodí i pro další nastavení v iptables...

[pavlix]

Prikazove spojeni samozrejme projde

Neviděl bych to jako samozřejmost. Zvlášť pokud se někde vyskytuje NAT.

Pokud nejde conntrack (nebo je conntrack tabulka prázdná), nebude celkem logicky fungovat nic, co na conntracku závisí. Ještě se docela hodí nechat iptables pakety nejen zahazovat ale i logovat, tím se přijde na další případné probémy (a případné hyby v iptables).

Ještě je dobré vidět výstup z firewall skriptu s příkazama iptables, jestli některý neselhal. Případně použít přepínač -L.

[Eršin]

NAT se nade mnou nevyskytuje, dokonce mam verejnou IP.

Prikazove spojeni zkratka projde - ve firewallu je povoleny port 21, a kdyby neproslo, tak uz bych se sel asi obesit...

Prave me zarazilo, jaktoze mi funguje detekce ESTABLISHED spojeni (muzu brouzdat po webu), kdyz soubor /proc/net/nf_conntrack byl prazdny. Podival jsem se tam znovu, a, jak uz jsem psal drive, ted je v nem nekolik ESTABLISHED spojeni.

Netusite, kde bych mohl zapnout logovani paketu v iptables? Porad premyslim jeste nad volbou CONFIG_NETFILTER_NETLINK_LOG v kernelu, kterou mam zatim vypnutou.

iptables -L vypisou presne ta pravidla, ktera bych cekal - tedy povoleny port 21 a RELATED i ESTABLISHED spojeni.

[pavlix]

Ty máš vždycky veřejnou IP na serveru i u klienta?

[pavlix]

O logování už tu někdo psal.... prostě než něco zahodíš, tak to loguješ.

[Eršin]

Vzhledem k tomu, ze mam v kernelu temer vsechno, nemam ani tento modul. Co by presne mel delat? Ktera volba jej vyrobi, abych mohl zkontrolovat, jestli jej mam v kernelu? Diky...

[Begleiter]

Jenom taková poznámka. Kdysi jsem kompiloval jádro a dal nějakou "věc" přímo do jádra a ona překvapivě nefungovala. Jako modul fungovala v pohodě. Přeju hodně štěstí.

[Ash]

Ano něco podobného se mi už také stalo (i když možná to bylo obráceně:) ...

[Eršin]

Tak, problém je snad vyřešen.

Samozřejmě byl problém v conntrack - nevěděl jsem, co musím do kernelu zakompilovat, aby fungoval. Jedná se primárně o moduly nf(ip)_conntrack_ftp a nf_nat_ftp. Protože modul nf_conntrack_ftp sleduje spojení implicitně jen na portu 21, je nutné jej zkompilovat jako modul a do /etc/modules.conf(či snad jako parametr jádra) mu předat jako parametr port, na kterém FTP server běží.

Modul nf_nat_ftp asi potřeba není.

Díky všem za reakce.

[pavlix]

Aha....

Ale fuj :).

Tak hodně štěstí a rychlou cestu ke zbavení se FTP.