Jump to content
Калькуляторы

Allow ftp, drop other iptables

Доброго времени всем.

 

Озадачился следующим моментом. Нужно запретить пользователям соединения наружу по всем портам, кроме 1-1024, но при этом чтобы работал активный и пассивный режим фтп. Как этого можно достич?

Share this post


Link to post
Share on other sites

Для трафика от сервера это делается так:

 

modprobe nf_conntrack_ftp

iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -j DROP

 

т.е. нужно загрузить соответствующий helper и использовать фичу RELATED.

Для транзитного трафика делается аналогичное, но зависит от того, используется NAT или нет (если что, то модуль называется nf_nat_ftp)

Share this post


Link to post
Share on other sites

Спасибо. Решил хелпером ftp, но по-моему достаточно nf_conntrack_ftp подгрузить, даже в случае с НАТ.

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
Sign in to follow this