Hola a todos.
Bueno como ya es costumbre aquí postenado cada vez que cae un meteorito

, pero bueno que le vamos a hacer el trabajo y las clases de inglés me consumen tanto que cuando llego a mi casa solo quiero dormir, pero bueno no los voy a aburrir con mi vida, ahorita quiero compartir con ustedes un problema que todos nos topamos cuando colocamos un firewall con
IPTABLES con politicas de
DROP y queremos darle la pasada al
FTP. Seguro que las reglas que ponemos como cualquier otra de forward no funciona y nos preguntamos "¿aja que paso?" pero es normal ya que el FTP tiene 2 formas distintas de comportarse una es el
activo y otra el
pasivo la diferencia es que en una el servidor decide el puerto a usar y la otra es el cliente pero si quieren saber un poco mas lean esta liga:
http://www.dabax.net/node/16
o bien busquen el oraculo (osea google).
Bien esto lo he puesto en mi firewall publicado
aquí
¿cómo hice funcionar esto en mi firewall?
bueno solo he agregado estas líneas en la parte de FORWARD:
# FTP Activo
$IPTABLES -A FORWARD -i $LAN -o $INTERNET -p tcp --dport 20 -j ACCEPT # Port
$IPTABLES -A FORWARD -i $LAN -o $INTERNET -p udp --dport 20 -j ACCEPT # Port
$IPTABLES -A FORWARD -i $LAN -o $INTERNET -p tcp --dport 21 -j ACCEPT # Control
$IPTABLES -A FORWARD -i $LAN -o $INTERNET -p udp --dport 21 -j ACCEPT # Control
# Complemento para FTP Pasivo
$IPTABLES -A FORWARD -p tcp -s $CLASS --sport 1024:65535 -d $UNIVERSE --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
$IPTABLES -A FORWARD -p tcp -s $UNIVERSE --sport 21 -d $CLASS --dport 1024:65535 -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A FORWARD -p tcp -s $CLASS --sport 1024:65535 -d $UNIVERSE --dport 1024:65535 -m state --state RELATED,ESTABLISHED -j ACCEPT
$IPTABLES -A FORWARD -p tcp -s $UNIVERSE --sport 1024:65535 -d $CLASS --dport 1024:65535 -m state --state RELATED,ESTABLISHED -j ACCEPT
y la documentación menciona que se deben cargar algunos módulos:
ip_conntrack_ftp
ip_conntrack
ip_conntrack
ip_nat_ftp
pero en el caso de gentoo se llaman distintos:
firewall ~ # lsmod | grep nf | cut -d " " -f 1
nf_conntrack_tftp
nf_conntrack_ftp
nf_nat
nf_conntrack_ipv4
nf_conntrack
depués de haber cargado estos módulos el FTP ha funcionado perfectamente en el firewall. Estos módulos estan en el
gentoo-sources en
Networking->Networking Options->Network packet filtering framework (Netfilter) --> Core Netfilter Configuration
Espero sea de utilidad para alguien mas que a mi.
Saludos a todos.
Comentarios Recientes