Newsgroup: it.comp.os.linux.sys
Titolo: Problemi di Firewall e FTP

Ciao a tutti!
Su un Server che fa anche da NAT non mi e' possibile usare l'FTP attivo
(non passivo).
Qualcuno sa dirmi come posso modificare il Firewall per permettere questa
modalita'?
Purtroppo un programma che DEVE funzionare li non sa usare altro che l'FTP
attivo...
Grazie
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 porte 'canoniche' di FTP (20/21).
Magari potrà essere il client che ha un firewall che blocca la porta in 
ingresso dati dal server.
-- 
Fa freddo nello scriptorium, il pollice mi duole. Lascio questa 
scrittura, non so per chi, non so più intorno a che cosa...
U. Eco

 modalita'?
Descrivi meglio chi si connette a chi e quale è il firewall che dà fastidio.
Normalmente, comunque, affinchè l'attivo funzioni, in iptables è 
sufficiente che sia permesso il traffico con stato RELATED e che siano 
caricati i moduli
ip_conntrack_ftp
ip_nat_ftp

 ip_nat_ftp
Son caricati e il traffico RELATED e' permesso con la regola:
/sbin/iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
Ho dimenticato qualcosa?


 Ho dimenticato qualcosa?
Riesci a loggarlo?
Altrimenti, hai lo stesso problema mio....

Alessandro ha scritto:


Oddio, non mi sono mai posto il problema di loggare il traffico di un
Gateway...
Non saprei neanche da che parte cominciare. Come si dovrebbe fare?
Ciao


 
Permetti il traffico in ingresso dall'IP del server FTP.


 Permetti il traffico in ingresso dall'IP del server FTP.
Non dovrebbe essere necessario se il modulo di conntrack funzionasse a
modino...
Ci pensa lui a dargli l'accesso. Se tu lo apri manualmente, a che ti
serve il conntrack?

 Permetti il traffico in ingresso dall'IP del server FTP.
Beh, lo faccio gia' implicitamente, non mettendo un DROP sulla scheda tap0
(VPN) sul quale passa il traffico.
Non va bene cosi'?


 Non saprei neanche da che parte cominciare. Come si dovrebbe fare?
Invece di -j ACCEPT metti
-j LOG --log-prefix "ESTABLISHED: "
e dimmi se ti logga qualcosa.

Alessandro ha scritto:



Dovrebbe farlo su syslog?
Non vedo niente...


 Non vedo niente...
Si syslog.
Allora non ti funziona il conntrack...siamo in due.
prova a loggare per qualche secondo la input:
iptables -A INPUT -j LOG --log-prefix "INPUT: "
se questa ti logga, ed il conntrack no, allora sei sulla mia stessa
barca. (leggi il mio post)
Però assicurati di aver messo la LOG prima di altri jump (REJECT,
DROP, ACCEPT) altrimenti non ti arriverà mai fin li....

 DROP, ACCEPT) altrimenti non ti arriverà mai fin li....
Dillo prima! :)
L'avevo messo DOPO l'accept. L'ho spostato subito prima e logga
perfettamente...
Una domanda che potrebbe essere stupida o essere illuminante: non e' che
lo sbaglio e' nel Server FTP e non nel Gateway?
L'IP del Server FTP e' un IP "Cluster", ovvero che si puo' spostare tra
due Servers. Non e' che magari la risposta arriva da un IP che il Gateway
non si aspetta e quindi la scarta?
Se si, come posso fare per farla accettare?


 perfettamente...
Be, ti ricordo che sei su .sys......

 Se si, come posso fare per farla accettare?
Ecco, la mia intuizione era esatta...
E adesso mi ricordo che quell'FTP l'ho messo su un po' traballante, in
quanto e' un Servizio che viaggia via xinetd e su xinetd non posso
mettergli l'IP giusto in quanto, sul Server che non ha quell'IP andrebbe
in palla, quindi gli ho fatto una ridirezione via NAT.
Mi sa che e' quello che non funziona...
Ora faccio un'analisi del problema, poi eventualmente mi rifaccio vivo!
Grazie comunque!


 Non va bene cosi'?
In tal caso, o il problema di firewall sta dall'altra parte del tunnel, 
oppure non è un problema di filtraggio ma di FTP.