Newsgroup: it.comp.os.linux.sys
Titolo: LAN dietro FW/IPchains: FTP attivo o passivo?

Salve a tutti
ho un problema e sto cercando di documentarmi
a tal proposito, ma ho delle lacune e vorrei
chiarirmi bene le idee. Ecco i fatti.
+---+  +---+
!   !  !   ! PC W98 con FTP client
+---+  +---+ sulla LAN classe A (10.0.x.x)
  !      !
  !      !                 LAN
!-+------+--------+---------------------!
                  !
                  !
               +--+--+
               !     ! Firewall Linux
               !     ! 
               +--+--+
                  !
                  !
              /...+...\     +---+
             /         \    !   ! Server
            ! internet  +---+   ! FTP
             \         /    !   ! 
              \......./     +---+
Questi PC con Windows 98 ed FTP client,
hanno come default gateway TCP/IP il firewall.
Se si cerca di fare FTP su un server esterno,
le regole del firewall consentono solo una
connessione di tipo "FTP passivo" poiche'
IPCHAINS (giustamente) maschera l'indirizzo
LAN del PC con il suo indirizzo pubblico
e il PC non puo' decidere su quale porta
far passare i dati, per cui deve lasciare
decidere al server su quale porta fare passare
i dati (che se ho ben capito deve stare tra
la 1024 e la 65535).
Se si fa FTP da uno di questi PC sulla LAN
verso un server FTP che supporta il passive
transfer (PASV) tutto funziona bene, mentre
se si fa FTP su un server che non supporta
l'FTP passivo, si pianta tutto.
Ovviamente faciendo FTP dal firewall non ci
sono problemi, passive transfer supportato
o no dal server.
E se il server non supporta il modo passivo?
Dai pacchetti che passano ho notato che i
problemi saltano fuori nel momento che il
client invia il comando PORT.
* Il firewall manda un comando PORT contenente
  il suo indirizzo pubblico (ad es. 195.x.x.x)
  e questo viene accettato dal server FTP.
* Il PC sulla LAN manda un comando PORT conte-
  nente il suo indirizzo sulla LAN (ad.esempio
  10.0.x.x) e questo viene RESPINTO dal
  server FTP.
Scusate se vi ho fatto una "capa tanta"....
ciao
riccardo

   !      !                 LAN
scusate ho sbagliato!!! la LAN 10.0.x.x
e' in classe C
ancora grazie e ciao a tutti
riccardo

 e' in classe C
Veramente le reti 10.0.0.0 - 10.255.255.255 sono di classe A mentre
192.168.0.0 - 192.168.255.255 sono di classe C.
-- 
|Pierluigi De Rosa (
tho...@durin.khazad-dum.net
)|
|     E' nato il Cosenza Linux User Group	|
|   mail -s help 
cslug-...@lists.linux.it
	|
|      IRC: #cslug - 
irc.openprojects.net
	|

 192.168.0.0 - 192.168.255.255 sono di classe C.
allora avevo scritto bene all'inizio.
comunque anche aprendo completamente il firewall
con
ipchains -P input   ACCEPT
ipchains -P output  ACCEPT
ipchains -P forward MASQ
non riesco a fare funzionare l'FTP client sulla
LAN verso il server FTP esterno che non supporta
il passive transfert.
ciao
riccardo

 Salve a tutti
la butto li
modprobe ip_masq_ftp
ciao

 ciao

connessione di tipo "FTP passivo" poiche'
Ma hai installato il moduletto apposito per l'ftp?
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

 il passive transfert.
modprobe ip_masq_ftp
... e la vita ti sorride :-)
-- \
Nicola Cassolato

 
Veramente 10.0.x.x e` in classe b (netmask 255.255.0.0)
mentre 192.168.0.0 ->192.168.255.255 e` (anch'essa) una classe b, avendo
netmask 255.255.0.0
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Povero Carlo.. E` l' unico a cui hanno rifilato 
	una Camilla scaduta senza neanche il coccio del
	Mulino Bianco!!!

netmask 255.255.0.0
Per chiarire le idee...
le classi vanno da A ad E, ma le ultime due sono riservate, per cui a
noi interessano solo A, B e C. Come si fa a vedere se un ip appartiene
ad una classe ? NON dal netmask ! Ma dal primo BYTE, per cui per gli
IP il cui primo BYTE e' inferiore o uguale a 126 (es. 125.1.1.2) siamo
in presenza di una classe A con netmask 255.0.0.0, tra 127 e 191
classe B (netmask 255.255.0.0)  e infine tra 192 e 223 classe C
(netmask 255.255.255.0). Ora ci si confonde spesso per l'indirizzo
riservato 192.168.0.0, il netmask e' sempre 255.255.255.0 e non 
255.255.0.0 come erroneamente ipotizzato. Naturalmente si possono
avere ip privati di questo tipo: 
192.168.1.0/24
 o 
192.168.13.0/24
, ma
sempre con una netmask 255.255.255.0.
Ripreso dal Net-3-HOWTO:
 -----------------------------------------------------------
 |   RESERVED PRIVATE NETWORK ALLOCATIONS            |
  -----------------------------------------------------------
 | Network | Netmask       | Network Addresses             |
 | Class     |                         |
-----------------------------------------------------------
 |    A    | 255.0.0.0     | 10.0.0.0    10.255.255.255  |
 |    B    | 255.255.0.0   | 172.16.0.0  - 172.31.255.255  |
 |    C    | 255.255.255.0 | 192.168.0.0 - 192.168.255.255 |
   -----------------------------------------------------------
Ciao
Logan.

 vedere se un ip appartiene ad una classe ? NON dal netmask ! Ma dal
A dire il vero le classi non si usano piu` e spesso le ho trovate
deprecate in vari documenti, quindi direi che non ha piu` senso parlare
di classi, ma solo di IP e netmask.
Nulla vieta infatti di usare una 
192.168.0.0/16
 per avere 65534 host, o
di usare una 
10.0.0.0/24
 per averne 254.
Bye.
-- 
Signature under rework - Shuriken

di usare una 
10.0.0.0/24
 per averne 254.
Non mi  trovi d'accordo. quello che  fai tu, e' una  segmentazione della
rete, che  e' palesemente un'altra  cosa. Si  puo' fare, ma  devi sapere
_cosa_ stai  facendo (non parlo del  tuo caso, e' un  discorso generale)
pena poi un mare di tempo perso in trouble solving tra indirizzi che non
*routano* come ci si aspetterebbe che facessero.
L'interpretazione di Logan  non solo e' corretta  e attestata dall'HOWTO
ma anche dalle RFC sul tcp/ip.
My opinion :-)
-- 
The primary purpose of the DATA statement is to give names to constants;
instead of referring to pi as 3.141592653589793 at every appearance,
the variable PI can be given that value with a DATA statement and
used instead of the longer form of the constant.  This also
simplifies modifying the program, should the value of pi change.
			-- FORTRAN manual for Xerox computers
Maurizio - Tannoiser
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it