Newsgroup: it.comp.os.linux.sys
Titolo: Chi conosce Frox puo' darmi una mano?

Ho dei problemi con frox installato su un firewall.
Un cliente dietro tale firewall riesce tranquillamente a fare ftp se non 
passo per frox, ma se redirigo il trafffico della porta 21 su frox non mi 
funziona piu'
Il redirect avvine cosi' (uso shorewall come potete notare dai nomi delle 
chain):
-A lan_dnat -p tcp -m tcp --dport 21 -j REDIRECT --to-ports 2121
..
-A fw2net -p tcp -m tcp --dport 21 -j ACCEPT
-A lan2fw -p tcp -m tcp --dport 2121 -j ACCEPT
Frox e' correttaente bindato sulla porta 2121, se faccio netstat lo vedo.
In effetti la connessione ftp avviene, e anche il passaggio di user e 
password, ma se faccio per esempio un ls dopo essermi logato il cliente si 
ferma fino al timeout ed in /var/log/frox/frox-log vedo:
Thu Jul 14 11:34:40 2005 frox[12490]   S: 230 User davide_login logged in.
Thu Jul 14 11:34:44 2005 frox[12490]   Rewritten PORT command:
Thu Jul 14 11:34:44 2005 frox[12490]   C: PORT 10,10,10,2,166,48 <-- e' l'ip 
della scheda "red" del firewall
Thu Jul 14 11:34:44 2005 frox[12490]   S: 200 PORT command successful.
Thu Jul 14 11:34:44 2005 frox[12490]   C: NLST
Thu Jul 14 11:34:44 2005 frox[12490]   S: 150 Opening ASCII mode data 
connection for file list.
Thu Jul 14 11:34:44 2005 frox[12490]   Server has connected to proxy data 
line
Thu Jul 14 11:37:53 2005 frox[12490] Connection timed out when trying to 
connect to 192.168.0.2 <-- e' il client dal quale faccio ftp
Thu Jul 14 11:37:53 2005 frox[12490] Failed to contact client data port
Thu Jul 14 11:37:53 2005 frox[12490]   S: 226 Transfer complete.
I log del firewall non mi fanno pensare a problemi di firewalling anche 
perche' con le regole che ho postato sopra credo di essermi messo al riparo 
da questo genere di problema.
Cosa ne pensate?

 I log del firewall non mi fanno pensare a problemi di firewalling
Non e' vero mi sono sbagliato!
Ecco cosa trovo quando tento di effettuare una operazione in ftp:
Jul 14 12:22:51 firewall kernel: Shorewall:all2all:REJECT:IN=eth0 OUT= 
MAC=00:10:a7:12:35:3e:00:a0:a2:00:42:90:08:00 SRC=192.168.0.50 
DST=192.168.0.99 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=29152 DF PROTO=TCP 
SPT=2791 DPT=41455 WINDOW=5840 RES=0x00 SYN URGP=0
Ma mi chiedo... per quale motivo se non passo per frox questo  problema non 
ce l'ho? 

 non ce l'ho? 
Non ho letto questo log, ho letto male il post precedente, non uso
frox, non capisco perche' lo hai fatto ascoltare sulla 2121 invece
della 21 e sono di fretta... ma te la butto li' lo stesso: prova a
caricare il modulo ftp di conntrack e di nat passando il parametro
ports=21,2121. Ovviamente devi ACCEPTare il traffico RELATED.
Fabio

 ports=21,2121. Ovviamente devi ACCEPTare il traffico RELATED.
Frox e' unt Transparent ftp proxy, lui ascolta sulla 2121 e poi si collega 
attraverso la 21 sulla macchina di destinazione al posto tuo, nel mezzo fa 
caching, controllo antivirus etc....
Ovviamente il modulo ftp_conntrack e' correttamente caricato
Ciao. 

 Ovviamente il modulo ftp_conntrack e' correttamente caricato
Passandogli il parametro indicato da bio?
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 ports=21,2121
L'avevo messo come option in modules.conf ma per qualche arcano motivo non 
venivano passati, ora li ho messi proprio in /usr/share/shorewall/modules e 
funziona alla perfezione. Grazie 1000.
Comunque per la cronaca frox e' eccezionale... specialmente l'aggancio con 
clamav, ora riesco a proteggere la lan oltre che dal traffico html anche da 
quello ftp.

 SPT=2791 DPT=41455 WINDOW=5840 RES=0x00 SYN URGP=0
Questa riga di log e' relativa, in apparenza, ad una situazione
completamente diversa da quella del log di frox che hai postato
all'inizio. La prima era relativa a una sessione DATA attiva di
una macchina windows, molto probabilmente, mentre questa e' una
sessione DATA passiva aperta da linux. Be', l'OS e' irrilevante
ma il fatto che fosse attiva o passiva poteva essere differente
dal punto di vista... "diagnostico".
Il fatto che le cose funzionassero quando non ci stava di mezzo
frox era potenzialmente irrilevante, non soltanto perche' tutto
andava sulle porte tcp corrette ma anche perche', in quel caso,
le catene coinvolte erano quelle di FORWARD, mentre quando c'e'
frox di mezzo vengon coinvolte le catene di INPUT e OUTPUT, con
policy di filtraggio potenzialmente diverse.
Fabio