Newsgroup: it.comp.os.linux.sys
Titolo: FTP e shorewall

Credo che shorewall filtri le mie connessioni FTP in uscita, solo che
non ne sono sicuro.
se eseguo 
# iptables -L|grep ftp
ottengo
ACCEPT   tcp  --  anywhere    anywhere   tcp dpt:ftp 
ACCEPT   tcp  --  anywhere    anywhere   tcp dpt:ftp 
ACCEPT   tcp  --  anywhere    anywhere   tcp dpt:ftp 
le tre righe dovrebbero riferirsi alle tre possibilità:
$FW  <->  loc
$FW  <->  net
loc  <->  $FW
insomma, non sembra esserci nessun impedimento
ora però succede questo:
se uso un programma come ftp per collegarmi a, chessò, 
art.gnome.org
riesco a muovermi dentro il sito senza problemi, se invece uso altri
programmi come mc o ncftp invece nisba, questi si bloccano e non danno
più segni di vita.
Suggerimenti?
Grazie.
-- 
                     Dona i tuoi cicli di clock alla ricerca!
 
http://boinc.berkeley.edu/
                          --------------------
 Ognuno di noi e' un genio.  Solo che certe persone sono troppo stupide
 per capirlo.

 programmi come mc o ncftp invece nisba, questi si bloccano e non danno
Con il client nella modalità attiva la NAT riceve la connessione, ma non
avendo mappato il pacchetto nella sua tabella di stato, lo butta via
ed il tuo client non riceve niente. (fa 'data connection' ed il tuo
client sceglie una porta casuale dove ricevere che va a farsi friggere)
La modlità passiva questo problema dovrebbe risolverlo e da quello che
dici sembra che mc e ncftp usino di default la modalità attiva.
Quindi impostali in passiva.

 Quindi impostali in passiva.
farò questo tentativo, grazie.
Ma non è possibile impostare shorewall in modo che supporti il
traffico ftp anche per i client in modalità attiva?
-- 
                     Dona i tuoi cicli di clock alla ricerca!
 
http://boinc.berkeley.edu/
                          --------------------
               "Jean Jacques Dormi'  Jean Jacques Russo'"
               		-- Riccardo Cassini

 Quindi impostali in passiva.
ho fatto, pare che non sia questo il motivo.
-- 
                     Dona i tuoi cicli di clock alla ricerca!
 
http://boinc.berkeley.edu/
                          --------------------
 Pensa che quand'ero piccolo ero talmente povero che anche l'arcobaleno
 lo vedevo in bianco e nero.
 		-- Silvio Orlando

 ho fatto, pare che non sia questo il motivo.
però ho la conferma che è shorewall la fonte del problema.
disattivandolo tutto funziona correttamente.
Ah. cosa importante che prima ho dimenticato, è il fw la macchina
sulla quale opero.
-- 
                     Dona i tuoi cicli di clock alla ricerca!
 
http://boinc.berkeley.edu/
                          --------------------
   Disapprovo energicamente la violenza, quando e' commessa su di me.
   		-- Robert A. Heinlein, "La via della gloria"

 traffico ftp anche per i client in modalità attiva?
Google firewall + ftp + shorewall/iptables ?

 disattivandolo tutto funziona correttamente.
Carica i mdouli helper, tipo ip_conntrack_ftp
Io, con un problema simile al tuo, ho risolto.



Mah, sembrerebbero già presenti:
,----[ lsmod|grep conntrack_ftp ]
| nf_conntrack_ftp       12728  1 nf_nat_ftp
| nf_conntrack           71440  29 ipt_MASQUERADE,ipt_CLUSTERIP,nf_nat_tftp,nf_nat_snmp_basic,nf_nat_sip,nf_nat_pptp,nf_nat_irc,nf_nat_h323,nf_nat_ftp,nf_nat_amanda,nf_conntrack_amanda,nf_conntrack_tftp,nf_conntrack_sip,nf_conntrack_proto_sctp,nf_conntrack_pptp,nf_conntrack_proto_gre,nf_conntrack_netlink,nf_conntrack_netbios_ns,nf_conntrack_irc,nf_conntrack_h323,nf_conntrack_ftp,xt_helper,xt_conntrack,xt_CONNMARK,xt_connmark,xt_state,iptable_nat,nf_nat,nf_conntrack_ipv4
`----
eppure con alcuni client non riesco a collegarmi sui server ftp
-- 
                     Dona i tuoi cicli di clock alla ricerca!
 
http://boinc.berkeley.edu/
                          --------------------
                      DEPILARE - Togliere le pile.

 ho fatto, pare che non sia questo il motivo.
Io utilizzo proFTP come server. Nel suo file di configurazione c'e' una 
direttiva per selezionare le porte passive (metti tu l'intervallo che 
vuoi. Qui come esempio ti ho messo 44444:44455)
# In some cases you have to specify passive ports range to by-pass
# firewall limitations. Ephemeral ports can be used for that, but
# feel free to use a more narrow range.
PassivePorts 44444 44455
poi ho aperto questo intervallo in iptables (non uso shorewall, ma 
dovrebbe essere lo stesso)
-A INPUT -p tcp -m tcp --dport 44444:44455 --syn -j ACCEPT
Questo mi ha risolto i problemi di ftp.
Ciao, Mauro

 writes:

ma che c'entra il server locale? sono io che non riesco a collegarmi
ai server ftp (pubblici o privati che siano) su internet. Immagino che
il traffico in uscita sulla porta 21 sia filtrato, ma non riesco a
capire perché.
-- 
                     Dona i tuoi cicli di clock alla ricerca!
 
http://boinc.berkeley.edu/
                          --------------------
                          Patente:
                          	Colui che patisce.