Newsgroup: it.comp.os.linux.sys
Titolo: FTP

Le seguenti sono le righe di codice che dovrebbero permettere l'accesoo 
ftp al server web....
$IPTABLES -A FORWARD -p TCP -i $ETH_EXT -o $ETH_DMZ -d $HTTP_DMZ --sport 
$PORT_FTP -m state --state NEW -j LOG --log-level info --log-prefix 
"CONNESSIONE FTP"
$IPTABLES -A FORWARD -p TCP -i $ETH_EXT -o $ETH_DMZ -d $HTTP_DMZ --dport 
$PORT_FTP -j ACCEPT
$IPTABLES -A FORWARD -p TCP -i $ETH_DMZ -o $ETH_EXT -s $HTTP_DMZ --sport 
$PORT_FTP --dport $UP_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
# Stateful inspection per FTP
# FTP attivo
$IPTABLES -A FORWARD -p TCP -i $ETH_DMZ -o $ETH_EXT -s $HTTP_DMZ --sport 
20 --dport $UP_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -p TCP -i $ETH_EXT -o $ETH_DMZ -d $HTTP_DMZ --dport 
20 -m state --state ESTABLISHED -j ACCEPT
# FTP passivo
$IPTABLES -A FORWARD -p TCP -i $ETH_EXT -o $ETH_DMZ -d $HTTP_DMZ --sport 
$UP_PORTS --dport $UP_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -p TCP -i $ETH_DMZ -o $ETH_EXT -s $HTTP_DMZ --sport 
$UP_PORTS --dport $UP_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
e quello che ottengo quando provo a connettermi è questo:
[root@local root]# ftp 194.168.1.13
Connected to 194.168.1.13 (194.168.1.13).
220- Jgaa's Fan Club FTP Service WAR-FTPD 1.67-05 Ready
220 Please enter your user name.
Name (194.168.1.13:root): anonymous
331 User name okay. Give your full Email address as password.
Password:
230 User logged in, proceed.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
227 Entering Passive Mode (194,168,1,13,6,64)
receive aborted
waiting for remote to finish abort
Non riesco proprio a capire dove sia l'errore e cos'è che mi sfugge!!!!
Dai log risulta che la regola
$IPTABLES -A FORWARD -p TCP -i $ETH_EXT -o $ETH_DMZ -d $HTTP_DMZ --sport 
$UP_PORTS --dport $UP_PORTS -m state --state ESTABLISHED,RELATED -j ACCEPT
non viene eseguita!!!
In teoria dopo che mi sono connesso il modulo ip_conntrack_ftp non 
dovrebbe riconoscere tutto il resto di "dialogo"
  come established, related??????oppure questo discorso vale solo per le 
connessioni in unput???
RINGRAZIO PER LE SPIEGAZIONI

 RINGRAZIO PER LE SPIEGAZIONI
premetto che non ho letto bene, cmq, prova ad aggiungere
iptables -t nat -A PREROUTING -p tcp -i $ETH_EXT --dport $PORT_FTP -j DNAT 
--to-destination $HTTP_DMZ:$PORT_FTP 
poi se hai già lo SNAT o il MASQYERADE attivo la connessione uscente 
assumerà l'indirizzo ip pubblico, altrimenti aggiungi pure quello.
cya
Banana
P.S. se ho detto una stronzata, non vogliatemi male, sono particolarmente 
distratto oggi :-)
-- 
spammers e scassaballe in /dev/null
per contatti privati sostituire spam con banana
see ya!

 [root@local root]# ftp 194.168.1.13
Sei sicuro di non aver sbagliato IP?
194.168.1.13 corrisponde a un 
ntl.com
Magari volevi mettere 192.168...
Il mio consiglio comunque e` di studiare un po' iptables piuttosto che
prendere script preconfezionati su Internet senza adattarli alle proprie
esigenze e senza capire cosa fanno.
Bye.

Veramente son tutte regole scritte da me.....poi se tu ci vedi qualcosa 
che non va xche non mi correggi?????grazie!!!!!
Anyway la situazione della rete è questa
lan------firewall----router----internet
             |
             |
	   dmz
e nella dmz ci sta il web server.
L'indirizzo IP è giusto...il fatto è che per il momento sto provando il 
tutto in modo da essere operativo solo quando saro sicuro che funzioni 
tutto alla perfezione....Non vorrei bloccare tutta la rete....
Ti diro di piu: se accedo con ftp con internet explorer funziona!!!!
RINGRAZIO DI NUOVO

 non viene eseguita!!!
Sottolineo che tutto quel che segue e' IMHO.
Non vorrei dire una cagata... ma non ti sembra strano che 
--sport sia uguale a --dport in una connessione TCP?
In altre parole: $UP_PORTS cosa contiene?
Prova a fare questo esperimento: in coda alla FORWARD (o cmq prima di un
DROP generalizzato) metti un qualcosa del tipo
# iptables -A FORWARD -p tcp -i $ETH_EXT ... blah blah ... -j LOG
--log-prefix "forward"
cosi' in /var/log/messages controlli cosa non e' stato accettato in
FORWARD
(stessa cosa vale per le altre catene, con le opportune modifiche)
Poi come gia' detto TCP andrebbe scritto in minuscolo...
ma non ho mai provato in maiuscolo. 
^__^
-- 
gen. Trimack -- IAFo #196 -- Linux Registered User #274161
"We are the kings of the nordic twilight 
 We are the lords of ice and snow
 For the glory we will fight 
 For the peace we will ride
 For the skies we'll reign together"