Dotaz: FTPS (ProFTPd, CentOS 5.2) - problém s iptables

[happymaster23_]

Zdravím,

 

mám takový problém s FTPS (jedná se o CentOS 5.2 s ProFTPd). Samotný démon je nastaven dobře, když jsem zkusil iptables vypnout, spojení se povedlo bezproblému. Proto se chci zeptat, jaká pravidla jsou potřeba přidat iptables, popřípadě upravit konfiguraci ProFTPd, aby to fungovalo.

Poslední, na co server odpoví je příkaz PASV, další LIST už je bez odpovědi.

 

Děkuji za odpovědi

Odpovědi

[Pavel Stárek]

V souboru /etc/sysconfig/iptables-config je řádek:

IPTABLES_MODULES=""

zkus do něj dát (nebo přidat pokud v něm už něco je):

IPTABLES_MODULES="ip_conntrack_ftp ip_nat_ftp"

ulož ho a potom napiš service iptables restart a zkus se připojit k tomu ProFTPd a možná to bude chodit.

[.]

funguji tyhle moduly, kdyz je pouzito ftps????

[happymaster23]

Zdravím,

 

jdu to vyzkoušet. Ovšem taky jsem už kdesi četl, že tyhle moduly jsou u FTPS nanic...

[artec]

To zalezi na tom, jestli je pouzito implicitni nebo explicitni sifrovani. Pokud je pouzito implicitni sifrovani, tak se ani jeden modul neuplatni. Pokud explicitni, tak se uplatni jenom ip_nat_ftp, po predani auth ssl/tls se ale uz ip_conntrack_ftp nedostane ke slovu. Spis to vypada, ze tazatel blokoval porty pro datovy prenos. Chtelo by to napsat vice info.

[happymaster23]

Děkuji za odpověď,

iptables jsou nastavené naprosto jednoduchým způsobem - veškerá příchozí komunikace je zakázána a v tom jsou výjimky (POP3, POP3S, HTTP, HTTPS, atd...). Jaké info máte namysli? Zkoušel jsem povolit jak ftps-data:tcp tak ftpsdata:tcp tak i ftpdata:tcp a ftp-data:tcp...

[artec]

Pokud neblokujete odchozi spojeni ze serveru, tak se zkuste spojit v aktivnim rezimu. Pokud se vam podari navazat ridici spojeni (z prvniho prispevku usuzuji, ze ano), tak by se melo navazat i datove spojeni smerem ze serveru ven.  Pokud vam toto bude fungovat, tak bych az potom resil povolovani prichoziho spojeni pro pasivni resim.

[happymaster23]

A je to explicitní šifrování...

[j3nda]

ahoj,

muzes sem postnout anebo zaslat (j3nda@fv.cz) konfigurack proftpd? (pokud neni tajny j3.

[.]

soude podle ty 23 budes asi navstevnik z nyxu, ne?

[happymaster23]

Vůbec nevím o co se jedná, Google říkal něco o nyx.cz, ale o tom slyším prvně...