11:13 a.m.
Hallo,
ich hab bei mir auf FC2 den vsftpd eingerichtet. Ich hab einen user angelegt, der jetzt
per ftp in sein Verzeichnis schreiben kann. Bisher klappte das auch. Jetzt hat der
anscheinend seinen ftp-client geändert und erhält folgende Fehlermeldung (isn
windows-client)
WINSOCK.DLL: WinSock 2.0
WS_FTP LE 5.08 2000.01.13, Copyright © 1992-2000 Ipswitch, Inc.
- -
connecting to x.x.x.x:21
Connected to x.x.x.x port 21
220 Welcome to FTP service.
USER yyyyyy
331 Please specify the password.
PASS (hidden)
230 Login successful.
PWD
257 "/"
SYST
215 UNIX Type: L8
Host type (S): UNIX (standard)
PASV
227 Entering Passive Mode (x,x,x,x,120,8)
connecting to x.x.x.x:30728
- -
connecting to x.x.x.x:30728
! Connection failed x.x.x.x - connection timed out
! connect: error 0
PORT 192,168,42,123,15,96
500 Illegal PORT command.
! Failed "port":
! Retrieve of folder listing failed (0)
In meinem Paketfilter gebe ich das bislang bei Bedarf so frei:
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 21 -m state --state NEW,ESTABLISHED,RELATED -j
ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 20 -m state --state NEW,ESTABLISHED,RELATED -j
ACCEPT
So wie ich das sehe versucht sich der Client jetzt auf port 30728 zu verbinden. Wie
erlaube ich jetzt diese Verbindung, ohne die hohen ports allgemein freizugeben? Reicht die
gleiche Zeile unter Verwendung von --dport 1045:65000 und dann --state
ESTABLISHED,RELATED
Michael
2:48 a.m.
Michael Kollender wrote:
Hallo,
Tag
In meinem Paketfilter gebe ich das bislang bei Bedarf so frei:
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 21 -m state --state NEW,ESTABLISHED,RELATED -j
ACCEPT
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 20 -m state --state NEW,ESTABLISHED,RELATED -j
ACCEPT
So wie ich das sehe versucht sich der Client jetzt auf port 30728 zu verbinden. Wie
erlaube ich jetzt diese Verbindung, ohne die hohen ports allgemein freizugeben? Reicht die
gleiche Zeile unter Verwendung von --dport 1045:65000 und dann --state
ESTABLISHED,RELATED
Michael
Es müsste auch schon ein:
$IPTABLES -A INPUT -i ppp0 -p tcp --dport 30728 -m state --state NEW,ESTABLISHED,RELATED
-j ACCEPT
langen, oder du machst ein Forward:
$IPTABLES -t nat -A PREROUTING -j DNAT -p tcp -s 0/0 --dport 30728 -i ppp0 --to-d
estination 127.0.0.1:21 #hab das ganze aus dem Kopf geschrieben, sollte aber #eigentlich
so stimmen
$IPTABLES -A FORWARD -j ACCEPT -m state --state NEW,ESTABLISHED,RELATED
wie gesagt, beim zweiten solltest du nochmal googlen, hab die genaue Synopsys nicht im
Kopf
--
I spent a minute looking at my own code by accident.
I was thinking "What the hell is this guy doing?"
Fingerprint: E3AD E36C 59F6 D9AF F0CC 73C8 FF57 6EB7 796C 9E44
4:49 a.m.
Hi,
On Tue, 28 Sep 2004, Michael Kollender wrote:
So wie ich das sehe versucht sich der Client jetzt auf port 30728 zu
verbinden. Wie erlaube ich jetzt diese Verbindung, ohne die hohen ports
allgemein freizugeben? Reicht die gleiche Zeile unter Verwendung von
--dport 1045:65000 und dann --state ESTABLISHED,RELATED
Tritt der Fehler ebenfalls auf, wenn Du das Kernelmodul ip_conntrack_ftp
geladen hast?
Dieses Modul "liest" den FTP Traffic mit und sperrt nach Bedarf genau den
ausverhandelten Highport für die jeweilige IP-Adresse frei. Dh. Du
müsstest eigentlich gar nichts an deinem Ruleset verändern.
Ich betreibe ebenfalls einen FTP-Server für Windowsclients (FC2, vsftpd,
nur passive FTP möglich) und da reicht eigentlich dieses geladene Modul
und folgend IPT Rule:
$iptables -A INPUT-ETH0 -s 0/0 -p tcp -d $MeineETH0 --dport 21 -j ACCEPT
hth,
lg Marcus
"To segfault is human, to bluescreen moronic."
7:31 a.m.
Marcus Toth iTA wrote:
Tritt der Fehler ebenfalls auf, wenn Du das Kernelmodul
ip_conntrack_ftp geladen hast?
insmod: can't read 'ip_conntrack_ftp': No such file or directory
Hm, wo finde ich das Modul. bzw wie gebe ich das an: /sbin/insmod ip_conntrack_ftp sollte
doch eiogentlich richtig sein oder?
Michael
8:38 a.m.
Am So, den 10.10.2004 schrieb Michael Kollender um 14:31:
insmod: can't read 'ip_conntrack_ftp': No such file or
directory
Hm, wo finde ich das Modul. bzw wie gebe ich das an: /sbin/insmod ip_conntrack_ftp
sollte
doch eiogentlich richtig sein oder?
Nein, ist es nicht; siehe "man insmod". Du solltest auch generell insmod
meiden und statt dessen modprobe verwenden. Warum? Weil modprobe
Modulabhängigkeiten berücksichtigt. Ferner, das ist aber nur eine
Syntaxfrage, musst du nicht den genauen Pfad zum Modul wissen.
insmod
/lib/modules/2.6.8-1.521/kernel/net/ipv4/netfilter/ip_conntrack_ftp.ko
wäre richtig, solltest du aber besser nicht benutzten. Oftmals laden
Module so nicht, weil sie noch andere vorher geladen benötigen. Darum
schert sich insmod aber nicht
modprobe ip_conntrack_ftp
Michael
Alexander
--
Alexander Dalloz | Enger, Germany | GPG key 1024D/ED695653 1999-07-13
Fedora GNU/Linux Core 2 (Tettnang) kernel 2.6.8-1.521smp
Serendipity 15:34:34 up 10 days, 18:00, load average: 0.69, 0.32, 0.15
7136
days inactive
7148
days old
de-users@lists.fedoraproject.org
5 comments
4 participants
participants (4)
-
Alexander Dalloz -
fedoraliste＠web.de -
Marcus Toth iTA -
Ronny Fauth