Dotaz: Nefunkcni stahovani pres ftp kvuli FireWallu

[Vaškic]

Zdravim, predelavam FireWall a obavam se, ze mne uz z toho hrabe proto se omlouvam jestli ma tento problem banalni reseni.
Problem je, ze najednou nejak nejde stahovat z odkazu v prohlizeci ftp.neco.neco.... proste pres ftpko, zaroven nefunguje automaticka aktualizace Avastu apod... Zajimavy ale je, ze klasicky pristup na ftp server pomoci nejakyho klienta funguje bez problemu.
Vzhledem k tomu, ze to funguje kdyz vypnu FireWall tak ho z tohoto problemu podezdrivam.
Moje pravidla na FW pro ftp:
...
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
...
iptables -A FORWARD -o eth0 -p tcp --dport 20 -j ACCEPT
iptables -A FORWARD -o eth0 -p tcp --dport 21 -j ACCEPT

nevite please nahodu nekdo co je jeste potreba udelat aby to fungovalo?

Odpovědi

[Petr Šobáň]

To máte odchozí provoz a příchozí na tom FORWARD máte udělán jak ?

Dále aktivní - pasivní režim ?

[Vaškic]

no FORWARD je nastavenej na DROP a pro vraceni paketu mam
iptables -A FORWARD -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

[Petr Šobáň]

No a jak máte řešený ten druhý směr k těm druhým PC tj asi eth1 ?

Ať se koukám jak se koukám takže tu řešíte pouze eth0 tj co server posílá a přijímá z internetu, ale co přijímá a odesílá do místní lan o tom tu není nic, prostě paket musí s toho PC nějak přijít na ten server do FORWARDu a server ho přepošle dále a když něco přijme tak to taky musí předat do místní sítě lan tj asi eth1 a když to máte zakázané tak to těžko projde.

Takže ve forwardu povolit i navázané spojení na eth1 a na porty na eth1 aby to prošlo do lan.

Cili PC neco pošle a ve FORWARDu to musí ten server přijmout asi z eth1 jaké tam máte pravidla?

[......]

nebylo by po načtení těch modulů lepší toto?
iptables -A FORWARD -i eth1 -o eth0 -s xxx.xxx.xxx.xxx/xx -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -m state --state ESTABLISHED,RELATED -j ACCEPT
Odchozí provoz přece není třeba kontrolovat, (teda pokud nechcete z nějakého důvodu uživatele nějak omezovat) a tak je lepší povolit ven vše.

[Vaškic]

Vim, ze by to byla moznost, ale mne by spis zajimalo cim to je, ze to nechodi.

[iji]

ftp: aktivni X pasivni rezim?

[Vaškic]

no ja mam za to, ze tou konfiguraci v uvodu aktivni...

[Tomáš]

Zkuste pasivní...

[Michal Čihař]

Řešíš tam nějak druhý směr? Nebo jen ty co odchází na eth0? Pokud ne, tak problém bude asi v tom....

[Vaškic]

A muzu se zeptat jak to resit? Ja mam povoleny smerem dovnitr jenom to na co odesel pozadavek zevnitr. Pro ftpko je potreba toto udelat nejak jinak?

[Michal Čihař]

Pokud to není pasivní režim, tak se druhé spojení navazuje opačně...

Jinak to co ti tady psali ostatní, tam ten dryhý směr je

[Vaškic]

Ja jsem to prave predpokladal, ale divny je, ze to nechodi ikdyz ma povoleny porty 20 a 21. Nevim prave jestli nahodou neni potreba pro to ftpko povolit jeste nektery. kdyz povolim odchot paketu z vnitrni site na vsech portech tak to funguje. Predpokladam proto, ze to chce zrejmne jeste nektery port, ale nevim jak zjistit ktery.

[Michal Čihař]

Jak jsem psal před chvíli ... při aktivním režimu se datové spojení navazuje opačně, tj. od serveru ke klientovi.