Re: [OBORONA-SPAM] [gentoo-user-ru] iptables + ftp

[Alex Efros]

Hi!



On Wed, Oct 19, 2005 at 12:38:42AM +0300, Kanogin A.A. wrote:

> Стоит такой вопросик:
> есть шлюз на ип 195.122.x.x прописаны правила для ната.
> на шлюзе два сетевых интерфейса:
> eth0 195.122.x.x
> eth1 192.168.0.254
>
> вопрос, какое правило нужно прописать, чтобы внутренний клиент -
> 192.168.0.1 мог ходить через этот шлюз по ftp не в пассивном режиме,
> т.е. разрешать устанавливаемые ftp соединения коннектиться на другие
> порты?
>
> правила ната:
> iptables -A FORWARD -s 192.168.0.0/24 -j ACCEPT
> iptables -A FORWARD -d 192.168.0.0/24 -j ACCEPT
> iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o eth0 -j MASQUERADE


Никак нельзя. Либо нат, либо активный ftp. Подумай сам, при активном ftp

клиент (192.168.0.1) открывает у себя на машине какой-то порт и сообщает его

серверу. Сервер пытается коннектиться на этот порт, но не на машину клиента,

а на твой роутер, из-за ната. Как ты в этой ситуации можешь гарантировать что

на твоём роутере в этот момент выбранный клиентом порт свободен и ты можешь

его прозрачно завернуть на клиентскую машину?



По большому счёту, чтобы это работало твой роутер должен отследить передачу

порта клиентом серверу и на лету ИЗМЕНИТЬ в передаваемой ftp-команде номер

этого порта на тот, который в этот момент свободен на роутере плюс добавить

информацию о связи этих портов на клиенте и роутере в нат. Я не знаю

файрволов, которые такое умеют делать... хотя, может что-нить из коллекции

patch-o-matic такое и может.



Вопрос только чем тебе пассивный ftp настолько мешает, чтобы в такие дебри

забираться? Если уж категорично нужен активный ftp на клиенте - может

какая-нить прокся поможет или выдай этому клиенту реальный IP, и без нат.



-- 

			WBR, Alex.

-- 

gentoo-user-ru@g.o mailing list