Passives FTP durch iptables-FW erlauben

[maui]

Servus Forum!

Habe da ein klitzekleines Problemchen mit meinem iptables-FW Skript.
Irgendwie scheint passives FTP (aktiv funzt aber auch nicht, selbes Problem) nicht so ganz zu funktionieren wie ich mir das vorstelle. Ein connect auf den Server funktioniert, spätestens beim Dateilisting bleibts dann hängen (ich vermute mal das er da beginnt auf den UNPRIV Ports herumzuhüpfen)

Code: Select all

    # TCP Dienste die auf dem Rechner laufen
    TCP_SERVICES_IN="20 21 22 25 53 80 110 143 993 995 443"
    # UDP Dienste die auf dem Rechner laufen
    UDP_SERVICES_IN=""
    # erlaubte ICMP Typen zum Rechner
    ICMP_IN="8"

    # TCP Dienste die der Rechner im Internet nutzt
    TCP_SERVICES_OUT="21 22 25 53 80 110 443"
    # UDP Dienste die das Gateway im Internet nutzt
    UDP_SERVICES_OUT="53"

Code: Select all

    # aktives FTP
    iptables -A INPUT  -i $EXTERN  -p tcp --sport 20 -m state --state ESTABLISHED,RELATED  -j ACCEPT
    iptables -A OUTPUT -o $EXTERN  -p tcp --dport 20 -m state --state ESTABLISHED                  -j ACCEPT

    # passives FTP
    iptables -A INPUT   -i $EXTERN  -p tcp --sport 1024: --dport 1024: -m state --state ESTABLISHED,RELATED -j ACCEPT
    iptables -A OUTPUT  -o $EXTERN  -p tcp --sport 1024: --dport 1024: -m state --state ESTABLISHED -j ACCEPT

Kann mir hier jemand einen Wink mit dem Zaunpfahl geben wich ich FTP von aussen nach innen nun ermöglichen kann? Das Modul conntrack_ftp hab ich auf jeden Fall schonmal geladen.

Grüße,

Maui

[rootmaster]

Kann mir hier jemand einen Wink mit dem Zaunpfahl geben wich ich FTP von aussen nach innen nun ermöglichen kann? Das Modul conntrack_ftp hab ich auf jeden Fall schonmal geladen.

ftp verstanden ?

aktiv:

C:>1024 -> S:21 (new)
C:>1024 "port"(>1024) -> S:21 (established)
S:20 -> C:port (related)

passiv:

C:>1024 -> S:21 (new)
C:>1024 "pasv" -> S:21 (established)
S:21 "port(>1024) -> C:>1024 (established)
C:>1024 -> S:port (related)

die mit "related" gekennzeichneten connections sind die datenverbindungen.

"back to the roots"