Newsgroup: it.comp.os.linux.iniziare
Titolo: iptables & ftp

Salve,
ho un piccolo serverino che ha funzioni di gateway e firewall,
questo serverino è collegato in lan ad un altro pc, che faccio nattare
tranquillamente.
i device di rete sono suddivisi cosi:
eth0 = lan interna
eth1 = lan server-modem
ppp0 = connessione ad internet
Ora su questo pc volevo mettere un server ftp (pure-ftp);
ho impostato il firewall cosi:
# SEZIONE FORWARDING#
iptables -A FORWARD -s 192.168.10.2 -d 0/0 -j ACCEPT
iptables -A FORWARD -s 0/0 -d 
192.168.10.0/24
 -p tcp --syn -j ACCEPT
iptables -A FORWARD -s 0/0 -d 
192.168.10.0/24
 -j ACCEPT
iptables -t nat -A POSTROUTING -o ppp0 -s 
192.168.10.0/24
 -j MASQUERADE
#SEZIONE PORT-FORWARDING FTP#
iptables -t nat -A PREROUTING -p tcp -d 0/0 -i ppp0 --dport 21 -j DNAT 
   --to-destination 192.168.10.2
iptables -A FORWARD -p tcp -i ppp0 --dport 21 -d 192.168.10.2 -j ACCEPT
Sfortunatamente se cerco di connettermi da internet al server ftp non
ricevo risposta
Dove sbaglio?
luca

 ftp non ricevo risposta
Come cerchi di connetterti esattamente?
In ogni caso considera che molti ISP bloccano l'accesso in
entrata alle porte <1024.
-- 
Dario Basile

 entrata alle porte <1024.
provo a connettermi dando come host il dyndns
se avvio il server ftp sulla macchina firewall tutto funziona bene
ho problemi solo con il port forwarding dalla macchina firewall alla
macchina con ftpd

 entrata alle porte <1024.
Chi lo fa?  (Spero vivamente tu stia scherzando...)
-- 
Vuoi fare colpo su di lei con me?
Fai colpo su di lei con me! Fai colpo su di lei con me!
[Dr. Gonzo : Paura e delirio a Las Vegas]

 ho impostato il firewall cosi:
[]
Quello che ti manca e` il modulo ip_ftp_conntrack (non so se si chiami
_esattamente_ cosi`) e l'accettare connessioni RELATED in ingresso.
Praticamente dovrebbe bastare:
iptables -t nat -A PREROUTING -p tcp -i ppp0 --dport 21 -j DNAT \
	--to-destination 
192.168.10.2:21
iptables -A FORWARD -p tcp -i ppp0 -o eth0 -d 192.168.10.2 --dport 21 \
	-j ACCEPT
iptables -A FORWARD -i ppp0 -o eth0 -m state --state ESTABLISHED,RELATED \
	-j ACCEPT
HTH, ciao


 HTH, ciao
avevo provato una cosa simile ma non va..
ho provato a cambiare servizio, ho provato ssh ma è la stessa cosa.
quello che mi ha colpito è che ho usato lo stesso metodo x far funzionare
x mule correttamente (ha bisogno della porta 4662) ed è andato tutto
liscio..sara un problema di servizi o un problema di porte 'alte'?
luca

 Chi lo fa?  (Spero vivamente tu stia scherzando...)
Fastweb per esempio, a parte il fatto che comunque non ti da un ip
pubblico.
ciao
Lcua

 liscio..sara un problema di servizi o un problema di porte 'alte'?
Puo` essere ma secondo me il  punto non e` quello.  La parte di config
del firewall era fatta male, secondo me l'errore e` da ricercare li`.


 pubblico.
Fastweb non  lo conto nemmeno.  E  non e` pertinente  nel discorso che
era  venuto  fuori proprio  per  la mancanza  di  ip  pubblico che  tu
sottolinei.
Qualcuno sa di provider italiani  che bloccano in ingresso porte sotto
la  1024?   Avevo  sentito  forse  qualcosa  della  porta  25,  ma  mi
piacerebbe sapere di un qualche  caso reale di un qualche provider che
filtri qualche porta.
La cosa sarebbe molto interessante, IMHO.
Da quello  che ho potuto  notare finora l'adsl  di tin non  ha nessuna
porta bloccata  in input  (magari pero` potrebbe  bloccare la 23  e io
potrei non essermene mai accorto :-P)


 Chi lo fa?  (Spero vivamente tu stia scherzando...)
Tiscali, per esempio.
Motivo: aumentare la sicurezza senza ledere l'usabilita' della
connessione, visto che l'utente domestico medio non ha (o meglio
non sa di avere, se usa Windows) server attivi sulle connessioni
internet.
Spesso si sente di persone che hanno problemi a far funzionare il
proprio server di posta, ad esempio, e a tutto pensano meno che
ad un blocco da parte del provider.
- -- 
Dario Basile
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.3 (GNU/Linux)
iD8DBQFAUNsH7mRkrRsDl/8RAj8tAJ4iTSa6mmRnGAAQSD/yZBSOLn/6OgCeMc1t
m1pRR588uYC1C8TEkKLI2HQ=
=hAxn
-----END PGP SIGNATURE-----

 ad un blocco da parte del provider.
Ah, tiscali filtra la 25... buono a sapersi, grazie dell'info [*] :-)
[*]  Anche  se,  effettivamente,  un  server SMTP  ha  bisogno  di  un
indirizzo   statico   per    funzionare   tranquillamente,   e   molto
probabilmente il filtro in questione  viene messo solo su contratti di
fascia piu` bassa.
Se qualcuno ha altri esempi sono benvenuti.
