Newsgroup: it.comp.os.linux.sys
Titolo: ftp passivo

salve a tutti,
dovrò configurare il servizio FTP su iptables...
Mi stò documentando sul protocollo FTP, ho letto questo: 
http://slacksite.com/other/ftp.html
Mi sembra di avere capito le problematiche riguardo all'ftp attivo, in 
quanto il server si dovrebbe collegare al client (magari dietro 
firewall) dopo aver ricevuto un comando PORT da parte del client. Di 
conseguenza, bisognerebbe aprire tutte le porte del firewall > 1024 (un 
po' impensabile) per far arrivare i dati al client.
la soluzione sarebbe appunto l'FTP passivo.
Quello che non mi torna è:
In step 1, the client contacts the server on the command port and issues 
the PASV command. The server then replies in step 2 with PORT 2024, 
telling the client which port it is listening to for the data 
connection. In step 3 the client then initiates the data connection from 
its data port to the specified server data port. Finally, the server 
sends back an ACK in step 4 to the client's data port.
Nello step 2, quando il server effettua un PORT verso il client, il 
pacchetto che viene inviato quale porta destinataria ha?
Non mi torna il fatto che anche in questo caso, il firewall deve far 
passare questo comando PORT che ha una porta destinataria giusto? Che 
quindi dovrà essere aperta giusto? ..Quale porta viene utilizzata?
Qualcuno può illuminarmi su ciò? Altrimenti non riesco a capire quanto 
il passive mode risolve i problemi in presenza di firewall!
Grazie

 il passive mode risolve i problemi in presenza di firewall!
so che iptables ha il modulo ftp proprio per gestire le peculiarità di questo protocollo.
potresti iniziare a guardare la sua documentazione

 potresti iniziare a guardare la sua documentazione
conntrack ftp

 il passive mode risolve i problemi in presenza di firewall!
Li risolve quando il firewall protegge il client, non quando protegge
il server.
In ogni caso, gli helper per gestire il connection tracking e il nat
di ftp consentono a iptables di gestire comodamente la questione ftp
utilizzando gli stati delle connessioni.
Fabio
[1] ok, si puo' restringere l'intervallo di porte ma il principio e' 
    questo.

 conntrack ftp
Ho visto il modulo in questione, sia ip_conntrack_ftp che ip_nat_ftp.
La mia domanda è un'altra.
situazione:
CLIENT ----------(FIREWALL GENERICO) ============ INTERNET ============= 
(FIREWALL IPTABLES) ---------- (FTP SERVER)
<testo>
In step 1, the client contacts the server on the command port and issues 
the PASV command. The server then replies in step 2 with PORT 2024, 
telling the client which port it is listening to for the data 
connection. In step 3 the client then initiates the data connection from 
its data port to the specified server data port. Finally, the server 
sends back an ACK in step 4 to the client's data port.
</testo>
da: 
http://slacksite.com/other/ftp.html
1) Nello step 2, quando l'ftp server effettua un PORT verso il client, 
il pacchetto che viene inviato quale porta destinataria ha?
Risposta?
2) Non mi torna il fatto che anche in questo caso, il firewall deve far 
passare questo comando PORT che ha una porta destinataria giusto? Che 
quindi dovrà essere aperta giusto? ..Quale porta viene utilizzata?
Riposta?
Saluti

bio ha scritto:
[CUT]
Chiarissimo, grazie.
Slauti

 quindi dovrà essere aperta giusto? ..Quale porta viene utilizzata?
Le porte che verranno utilizzate sono indicate proprio nel pacchetto
che contiene il comando PORT.