Administrace komentářů

Zdravím,
předem bych chtěl říci, že jsem hledal všude možně (i zde - viz. podobný problém), našel spoustu "řešení", ale svůj problém jsem nevyřešil..

Situace:

"Internet" <---> router (forwardující porty 13000-14000) <---> server

Používám proftp a v configu mám (mimo jiné)

Port                            13021

MasqueradeAddress               6.7.8.9
PassivePorts                    13900 13949

(kde 6.7.8.9 je vnější IP routeru).

Vše fungovalo v pořádku až do chvíle, kdy jsem se rozhodl server trochu zabezpečit (včetně port knockingu) a nastavil netfilter do přibližně následující podoby:

# iptables -L -n
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  127.0.0.0/8          127.0.0.0/8         
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
ANTIFLOOD  all  --  0.0.0.0/0            0.0.0.0/0           
FTP_KNOCK  tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:13021 
FTP_KNOCK  tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpts:13900:13949 
SSH_KNOCK  tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:13022 

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain ANTIFLOOD (1 references)
target     prot opt source               destination         
DROP       all  --  0.0.0.0/0            0.0.0.0/0           recent: UPDATE seconds: 1 name: icmp_ping side: source 
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           icmp type 8 recent: SET name: icmp_ping side: source 
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0           tcp flags:!0x17/0x02 state NEW 

Chain FTP_KNOCK (2 references)
target     prot opt source               destination         
ACCEPT     all  --  1.2.3.4              0.0.0.0/0           

Chain SSH_KNOCK (1 references)
target     prot opt source               destination         

(kde 1.2.3.4 je adresa FTP klienta) a 5. řádek v INPUT je jen pro test (v praxi by neměl být potřeba, pokud bude connection jako RELATED).

Dle rad Google a zdejších diskuzí jsem jsem zkoušel všemožně rožnit ip_conntrack_ftp / nf_conntrack_ftp, poté i s optionem ports=13021 u modprobe, nic nepomohlo.

# cat .config |grep FTP
CONFIG_NF_CONNTRACK_FTP=m
CONFIG_NF_CONNTRACK_TFTP=m
CONFIG_NF_NAT_FTP=m
CONFIG_NF_NAT_TFTP=m

# modprobe ip_nat_ftp
FATAL: Module ip_nat_ftp not found.

# ls /lib/modules/2.6.24-gentoo-r2/kernel/net/netfilter/ |grep ftp
nf_conntrack_ftp.ko
nf_conntrack_tftp.ko

FTP klient:

$ ftp -v 6.7.8.9 13021
Connected to dns-name-for-6.7.8.9.
220 ProFTPD 1.3.1rc2 Server (ProFTPD testftp) [6.7.8.9]
Name (6.7.8.9:user): user
331 Password required for user
Password:
230 User user logged in
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> passive
Passive mode on.
ftp> ls
227 Entering Passive Mode (1,2,3,4,54,159).
ftp: connect: Connection timed out
ftp> 

/proc/net/nf_conntrack:
ipv4 2 tcp 6 109 SYN_SENT src=192.168.1.1 dst=1.2.3.4 sport=57680 dport=113 packets=3 bytes=180 [UNREPLIED] src=1.2.3.4 dst=192.168.1.1 sport=113 dport=57680 packets=0 bytes=0 mark=0 use=1
(kde 192.168.1.1 je síťovka samotného routeru).

Doopravdy nevím, na co jsem zapomněl, je ip_nat_ftp tím kritickým bodem a měl bych zkusit jiné jádro? Anebo proč vlastně ip_conntrack_ftp nehodí spojení do RELATED stavu? Je jen pro aktivní FTP? Není problém právě na routeru? (ip_conntrack_ftp asi netuší, že se klient připojuje na 6.7.8.9 a ne na 192.168.1.1)

(pokud někdo víte o nějakém zdejším zapadlém threadu, kde je tohle již vyřešeno, prosím o link, při hledání "pasivní ftp" jsem toho moc užitečného nenašel)

Děkuji.