Newsgroup: it.comp.sicurezza.varie
Titolo: ipchains e server ftp in passive mode

Ho un server ftp dietro un firewall ipchains, e finché i client
non usano il passive mode va tutt ok, perché ho aperto
il traffico in ingresso sulle porte 21 e 20.
Per il passive mode ho impostato il server per utilizzare le
porte 45000:50000 e ho aperto il traffico solo su quelle...
ma non c'è un modo meno rischioso?
Grazie a tutti.
--
Valerio Granato
http://www.musicoff.com
 - Music Online For Free
La Grande Comunità Online per Musicisti

 
C'e' stato thread su tale argomento non piu' di una settimana fa, si
intitolava "Ftp Server ed ftp Passivo".
Stammi bene,
b.

 intitolava "Ftp Server ed ftp Passivo".
Grazie mille, m'era sfuggito!


 ma non c'è un modo meno rischioso?
Puoi usare un proxy ftp da installare sul firewall, accettando i
rischi del caso. Oppure il proxy di cui sopra lo puoi mettere su
un'altra macchina con un ip pubblico e configuri il firewall per
accettare le connessioni sulla 21/tcp del server ftp solo quando
provengono dal proxy; in questo caso il client si connettera' al
proxy e non direttamente al server ftp. Oppure installi iptables
e ti godi anche le nuove ficiur.
Fabio

1024. :)
un mayhem ed i punti di vista :)
--
Cisco FAQ: 
http://mayhem.oltrelinux.com/icrc
HackLabVR: 
http://www.m2net.it.eu.org
SPP wsite: 
http://www.spippolatori.com
Remove ME to reply

| > > Ho un server ftp dietro un firewall ipchains, e finché i client
| > > non usano il passive mode va tutt ok, perché ho aperto
| > > il traffico in ingresso sulle porte 21 e 20.
| >                  ^^^^^^^^^^^^^^^^^^^^^^^^^^^^
| > Le connessioni sulla 20/tcp avvengono in uscita, non in entrata.
|
| secondo me invece sono in entrata. dalla 20/tcp ad una tua porta tcp
| > 1024. :)
Ho usato lo stesso sistema di riferimento che aveva usato lui (quello
del server) ;) E' vero, comunque: non era perfettamente chiaro. Rifo:
"l'inizio della connessione deve essere permesso in uscita dal server
con porta sorgente 20/tcp e porta destinazione >1024/tcp"
Va meglio? :)
Fabio

 con porta sorgente 20/tcp e porta destinazione >1024/tcp"
Eccomi (quello del server :-))))
Facendo un ftp da una macchina linux a quella con il firewall, senza
passive mode, ottengo un log così (sulla macchina con il server ftp):
Jul 31 12:24:07 nomeserver kernel: Packet log: input DENY eth0 PROTO=6
 ipsorgente:4237 ipdestinazione:20 L=60 S=0x00
 I=34248 F=0x4000 T=54 (#15)
Ecco perché ho detto che, per gli ftp non passivi, ho dovuto aprire
la porta 20 sulla chain input.


  I=34248 F=0x4000 T=54 (#15)
Questa riga di log e' riferita ad un pacchetto ack [1] cioe' una delle
risposte del client al server. Quando si parla di ingresso o uscita si
dovrebbe specificare sempre se si parla dell'inizio della connessione,
cioe' del SYN, o del proseguimento. Nel primo post avevi utilizzato il
termine traffico in modo generico e ho immaginato che tu avessi aperto
anche ai SYN in ingresso sulla porta 20/tcp, cosa che sarebbe bene non
fare. Infatti dopo hai fatto riferimento al range 45000-->50000 ed hai
usato ancora il termine "traffico", che in questo caso era riferito ai
SYN in ingresso, ovviamente, oltre che agli ACK. Da qui il qui pro quo
:)
Morale: i SYN dovrebbero passare solo nei versi strettamente necessari
allo stabilirsi delle connessioni. Se gia' non e' cosi'.
Fabio
[1] in realta' sara' un SYN+ACK

 allo stabilirsi delle connessioni. Se gia' non e' cosi'.
Effettivamente non è così, ma non dovendo proteggere il server
della NASA per ora mi sta bene.
Appena avrò tempo mi studierò la cosa e scriverò delle regole
più precise; intanto mi salvo il tuo messaggio a futura memoria. :-)
Grazie!
