Allow ftp, drop other

[heap]

Доброго времени всем.

 

Озадачился следующим моментом. Нужно запретить пользователям соединения наружу по всем портам, кроме 1-1024, но при этом чтобы работал активный и пассивный режим фтп. Как этого можно достич?

[s.lobanov]

Для трафика от сервера это делается так:

 

modprobe nf_conntrack_ftp

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -j DROP

 

т.е. нужно загрузить соответствующий helper и использовать фичу RELATED.

Для транзитного трафика делается аналогичное, но зависит от того, используется NAT или нет (если что, то модуль называется nf_nat_ftp)

[heap]

Спасибо. Решил хелпером ftp, но по-моему достаточно nf_conntrack_ftp подгрузить, даже в случае с НАТ.