ftp_get / ftp_connect - passiv active modus Firewall Probleme

[twisterchen]

Hallo zusammen

Ich stehe vor einem Problem wobei Ihr mir vielleicht helfen könnt.

Wir haben ein Script mit dem mann von einem Ftp Server eine Datei runterlädt

$saved_file = "banned_".$_GET['id'].".cfg";

$qrys = db("SELECT * FROM ".$db['server']."
WHERE id = '".$_GET['id']."'");
$gets = mysql_fetch_array($qrys);

//-> Zum FTP connecten
$connect = ftp_connect($gets['ftp_host']);
$login_result = ftp_login($connect, $gets['ftp_login'], de($gets['ftp_pwd']));
# $test_g = ftp_pasv($connect, TRUE);
//-> Verzeichnis wechseln und banned.cfg downloaden
$chdir = ftp_chdir($connect,$gets['bl_path']);
$download = ftp_get($connect, $saved_file, $gets['bl_file'], FTP_BINARY);
ftp_quit($connect);

Jetzt ist es so das für die Firewall Port 21 und 20 freigebenen sind
Aber soviel ich weis wird im Activ modus bestimmte ports verwendet
die nicht freigegeben sind und der Datei download funktioniert nicht.
Wenn ich mit

$test_g = ftp_pasv($connect, TRUE);

den Passiv Modus einschalte funktioniert alles Super

Jetzt meine Frage damit das ganze auch ohne Pasive Modus funktioniert denn ich will ja nicht alle Ports offen haben.

Welche Ports brauch ich den damit das ganze im Activ Modus funktioniert oder was muss ich da machen damit das ohne dem
$test_g = ftp_pasv($connect, TRUE);
auch funktioniert

Vielleicht hab ich da auch grad nur einen denkfehler drin und Ihr könnt mir da auf die Sprünge helfen. :?:

Gruss

Gerhard

[rootsvr]

Les dir mal bei google nen Artikel über aktive passives ftp durch.

Du brauchst imho das ip_conntrack_ftp modul für iptables (so hiess es imho damals) dann sollte es auch aktiv gehen. Aber google hat Anleitungen!

[twisterchen]

Hallo und danke für den hinweis mit ip_conntrack_ftp

Habe mir da mal einiges durchgelesen was Google da so auspuckt.

Resultat:
Bin mir aber jetzt nicht sicher welches Kernel Modul das richtige ist für mein Problem:
ip_conntrack_ftp
oder
ip_nat_ftp

Nachdem ich gelesen habe das das ein module ist das ich in den Kernel laden muss bin ich etwas vorsichtig da ich da noch nicht so bewandert bin.

Actives FTP
Eine besseren Ansatz besteht in der Verbindungsverfolgung. Dazu muß das Modul ip_conntrack_ftp eingebunden werden. Es durchsucht das PORT Kommando nach der Port-Nummer, mit der sich der Server verbinden wird. Damit kann eine Beziehung zwischen ftp und ftp-data hergestellt werden (RELATED). Die folgenden Regeln sind also vollkommen ausreichend:

root@linux # iptables -A INPUT -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
root@linux # iptables -A OUTPUT -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT

Vielleicht könnte mir jemand sagen wie ich feststellen kann welche Module eventuel schon geladen sind und mir einfach nur die Filterregeln fehlen.

Nicht dass ich mir da was kaputt mache.

Gruss
Gerhard und Danke schonmal

[twisterchen]

Hallo

also hab das problem gelöst

einfach

modprobe ip_conntrack_ftp

fertig
jetzt funktioniert alles

wenns jemand wissen will für andere zum entladen des modules

rmmod ip_conntrack_ftp


Danke nochmal für den Hinweis ip_conntrack_ftp

Gruss

Gerhard