| View previous topic :: View next topic |
| Author |
Message |
creuvard
Apprentice
Joined: 14 May 2004
Posts: 211
Location: Bordeaux
|
 Posted: Wed Feb 22, 2006 8:21 pm Post subject: [firewall] Iptables && Server ftp -mode passif- |
 |
|
Bonjoir a tous.
Voila Je me suis fait un petit routeur.
La bécanne sur laquelle est le routeur/firewall (iptables) héberge un serveur ftp ( Vsftpd )
Voici un peu a quoi ressemble mon "chez moi":
| Code: |
o_____________o
(Internet )<-=====->-| ROUTEUR BOX |
|192.168.1.254|
|192.168.1.255|
|255.255.255.0|
o_____________o
|"| |"|
|"| (============================o
|"| |"|
|"| |"|
o_______(Interface eth0)_________o |"|
| Routeur/Firewall/Servers Perso | |"|
| eth0=> 192.168.1.1 | o____________________________o
| 192.168.1.255 | | Routeur Wifi de la FreeBox |
| 255.255.255.0 | o____________________________o
| | | | | |
| ----------------------- | (Pc1) (Pc2) (Pc3) (Pcn)
| |
| eth1 => 10.0.0.1 | (ip wifi => 192.168.1.x )
| 10.255.255.255 | ( 192.168.1.255)
| 255.0.0.0 | ( 255.255.255.0)
o______ (Interface eth1)_________o
|"|
o----------------------------o
| | |
(Pc 1) (Pc 2) (Pc n)
{Ip derrière Routeur perso }
{ Adr ip: 10.0.0.x }
{ Bcast : 10.255.255.255 }
{ Masque: 255.0.0.0 }
|
Voici un morceau de mon script iptables. Le début et la partie qui concerne le serveur ftp.
| Code: |
#!/bin/bash
LAN="eth1"
WAN="eth0"
IP_du_LAN=10.0.0.0
iptables -X # On supprime les chaines non standards
iptables --table filter --flush
iptables --table filter --delete-chain
iptables --table nat --flush
iptables --table nat --delete-chain
iptables --table mangle --flush
iptables --table mangle --delete-chain
#Partage de la connection
#iptables -t nat -A POSTROUTING -o $WAN -j SNAT --to-source 192.168.1.64
iptables -t nat -A POSTROUTING -o $WAN -j MASQUERADE
#iptables -I INPUT 1 -i $LAN -j ACCEPT
#########################################
#-Politique par default on détruit tout-#
#########################################
iptables --table filter --policy INPUT DROP
iptables --table filter --policy OUTPUT DROP
iptables --table filter --policy FORWARD DROP
#on autorise le reseau local
#RFC1918 => http://www.rfc-editor.org/rfc/rfc1918.txt
iptables --append INPUT --source $IP_du_LAN/8 --jump ACCEPT
iptables --append OUTPUT --destination $IP_du_LAN/8 --jump ACCEPT
iptables -A INPUT -p UDP --dport bootps -i ! $LAN -j REJECT
iptables -A INPUT -p UDP --dport domain -i ! $LAN -j REJECT
#Autorisation de la Freebox
iptables --append INPUT --source 192.168.1.254 --jump ACCEPT
iptables --append OUTPUT --destination 192.168.1.254 --jump ACCEPT
###################################################
#-Mise en place de lo (réseau virtuel localhost)--#
###################################################
#iptables --table filter --append INPUT --in-interface lo --source 192.168.1.254 --destination $IP_du_LAN/8 --jump ACCEPT
#iptables --table filter --append INPUT --in-interface lo --source 192.168.1.254 --destination 127.0.0.0/8 --jump ACCEPT
#iptables --table filter --append INPUT --in-interface lo --source $IP_du_LAN/8 --destination 192.168.1.254 --jump ACCEPT
#iptables --table filter --append INPUT --in-interface lo --source $IP_du_LAN/8 --destination 127.0.0.0/8 --jump ACCEPT
#iptables --table filter --append OUTPUT --out-interface lo --source $IP_du_LAN/8 --destination 192.168.1.254 --jump ACCEPT
#iptables --table filter --append OUTPUT --out-interface lo --source 192.168.1.254 --destination $IP_du_LAN/8 --jump ACCEPT
#iptables --table filter --append OUTPUT --out-interface lo --source 127.0.0.0/8 --destination 192.168.1.254 --jump ACCEPT
#iptables --table filter --append OUTPUT --out-interface lo --source 127.0.0.0/8 --destination $IP_du_LAN/8 --jump ACCEPT
iptables -t filter -A INPUT -i lo -j ACCEPT
iptables -t filter -A OUTPUT -o lo -j ACCEPT
...
..
.
#FTP coté Serveur {Ftp perso}
#Doc ftp
#Liste RFC
#Securing FTP with TLS ftp://ftp.rfc-editor.org/in-notes/rfc4217.txt
#FILE TRANSFER PROTOCOL ftp://ftp.rfc-editor.org/in-notes/rfc959.txt
# Firewall-Friendly FTP ftp://ftp.rfc-editor.org/in-notes/rfc1579.txt
#
#ports de l'interfaces de commandes
iptables -A INPUT -p tcp -i $WAN --dport 21 -j ACCEPT
iptables -A OUTPUT -p tcp -o $WAN --sport 21 -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp -i $WAN --dport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p tcp -o $WAN --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp -i $WAN --sport 1024:65000 --dport 1024:65000 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p tcp -o $WAN --sport 1024:65000 --dport 1024:65000 -m state --state RELATED,ESTABLISHED -j ACCEPT
|
Mon souci : Lorsqu'une personne veux se connecter chez moi elle n'y parvient pas.
Voici les logs de vsftpd.log avec le script comme il est au dessus.
| Code: |
Wed Feb 22 19:33:22 2006 , "PWD"
Wed Feb 22 19:33:22 2006 , "257 "/""
Wed Feb 22 19:33:22 2006 , "TYPE A"
Wed Feb 22 19:33:22 2006 ", "200 Switching to ASCII mode."
Wed Feb 22 19:33:22 2006 ", "PROT C"
Wed Feb 22 19:33:22 2006 ", "200 PROT now Clear."
Wed Feb 22 19:33:22 2006 ", "PASV"
Wed Feb 22 19:33:22 2006 ", "227 Entering Passive Mode (xxx,xxx,xxx,xxx,117,255)"
Wed Feb 22 19:33:43 2006 ", "PASV"
Wed Feb 22 19:33:43 2006 ", "227 Entering Passive Mode (xxx,xxx,xxx,xxx,119,8)"
Wed Feb 22 19:34:20 2006 ", "QUIT"
Wed Feb 22 19:34:20 2006 ", "221 Goodbye."
|
Voici la réponse qu'il voit eux avec FileZilla
| Code: |
Réponse : 500 Illegal PORT command.
Erreur : N'a pas pu récupérer la liste du répertoire
|
Par contre ca passe lorsque je change le script en modifiant les lignes relatif au mode passif. (ce qui semblerai prouver que ca vient pas de la config de Vsftpd)
| Code: |
iptables -A INPUT -p tcp -i $WAN --sport 1024:65000 --dport 1024:65000 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p tcp -o $WAN --sport 1024:65000 --dport 1024:65000 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
|
Ca fait plusieurs jours que j'ai la tête dedans et je sais plus trés bien ou cherché. 
Voici mon script iptables en entier
plus
ma config Vsftpd => (on ne sais jamais)
Voici la réponse a un lsmod
| Code: |
athlon-xp routeur # lsmod
Module Size Used by
ip_nat_ftp 2569 -
ip_conntrack_ftp 6005 -
fuse 32197 -
|
Si vous voulez des infos en plus dites me le 
Voila |
|
| Back to top |
|
 |
truc
Advocate
Joined: 25 Jul 2005
Posts: 3199
|
| Posted: Wed Feb 22, 2006 8:55 pm Post subject: |
|
|
je ne connais pas trop iptable et tout le tralala, mais ton serveur ftp est sur un reseau nat-é (en NAT quoi..) et du coup, tu ne pourras pas (à ma connaissance) faire fonctionner ton serveur ftp en mode Passif(si il est "derrière un NAT"), de par le fonctionnement même du nat, (qui est "dynamique" chez toi), bref, en passif, c'est le client qui dit et qui ouvre le port donné, le problème, c'est qu'en nat dynamique, pour que le port soit ouvert il faut que la requète vienne de l'interieur de ton réseau.
BTW c'est pas très beau chez toi...
Et sinon, je ne comprends pas juste une chose, ta freebox ne sert que de routeur wifi? pas du tout de fonction modem? c'est possible ça? je croyais que le DSLAM regardait l'@ mac du modem branché, et que si ça n'était pas l'@ mac de la freebox ça ne marchait pas  mais du coup tu n'as pas les chaine TV de la freebox? (tu me diras je ne les regardes pas non plus  ) |
|
| Back to top |
|
|
creuvard
Apprentice
Joined: 14 May 2004
Posts: 211
Location: Bordeaux
|
| Posted: Wed Feb 22, 2006 10:24 pm Post subject: |
|
|
Merci de ta réponse rapide.
| truc wrote: |
ton serveur ftp est sur un reseau nat-é (en NAT quoi..) et du coup, tu ne pourras pas (à ma connaissance) faire fonctionner ton serveur ftp en mode Passif
|
Étant donnée que je ne modifie que les ports supérieurs a 1023 sur mon script iptables pour que cela marche je suis tout de même en mode passif non ?
| truc wrote: |
bref, en passif, c'est le client qui dit et qui ouvre le port donné
|
C'est pas ce qu'il me semblait avoir compris.
Perso il me semblait que :
En mode passif
1) Le client s'alloue 2 ports TCP et utilise le premier pour contacter le serveur sur le port 21.
2) Le serveur alloue un port (entre 30000 et 30999 pour moi) pour le transfert de data et le communique au client
3) Le client se connecte alors sur sur le port indiqué par le serveur.
| truc wrote: |
le problème, c'est qu'en nat dynamique, pour que le port soit ouvert il faut que la requète vienne de l'interieur de ton réseau.
|
C'est pour cela que au départ j'ai mis un suivi de connection iptables: RELATED
RELATED[u]: Le paquet amorce une nouvelle connexion qui est relative a une connexion déja existante. ( J'ai faux ?)
| truc wrote: |
BTW c'est pas très beau chez toi.
|
Comment ca ? (j'ai pas compris la blaque la je suis passé a coté lol )
| truc wrote: |
Et sinon, je ne comprends pas juste une chose, ta freebox ne sert que de routeur wifi? pas du tout de fonction modem? c'est possible ça? je croyais que le DSLAM regardait l'@ mac du modem branché, et que si ça n'était pas l'@ mac de la freebox ça ne marchait pas mais du coup tu n'as pas les chaine TV de la freebox? (tu me diras je ne les regardes pas non plus )
|
Ma FreeBox sert de routeur WIfi et de routeur ethernet. Sauf que au bout du cable ethernet qui sort de la FB j'y ai mis le Routeur/Firewall.
Je suis obligé de faire comme cela pour pouvoir garder le wifi sur plusieurs Portables.
Mon petit shéma laisse peu être a désiré je m'en excuse 
Voila |
|
| Back to top |
|
|
truc
Advocate
Joined: 25 Jul 2005
Posts: 3199
|
| Posted: Wed Feb 22, 2006 11:00 pm Post subject: |
|
|
| creuvard wrote: | Merci de ta réponse rapide.
| truc wrote: |
ton serveur ftp est sur un reseau nat-é (en NAT quoi..) et du coup, tu ne pourras pas (à ma connaissance) faire fonctionner ton serveur ftp en mode Passif
|
Étant donnée que je ne modifie que les ports supérieurs a 1023 sur mon script iptables pour que cela marche je suis tout de même en mode passif non ?
|
Comme je te disais, tout ce que tu as fait m'échappe encore un peu, je ne comprends pas encore toutes les règles que tu utilises etc.. Je voulais juste te faire remarqué le truc avec un serveur ftp passif sur un reseau en NAT.
| creuvard wrote: |
| truc wrote: |
bref, en passif, c'est le client qui dit et qui ouvre le port donné
|
C'est pas ce qu'il me semblait avoir compris.
Perso il me semblait que :
En mode passif
1) Le client s'alloue 2 ports TCP et utilise le premier pour contacter le serveur sur le port 21.
2) Le serveur alloue un port (entre 30000 et 30999 pour moi) pour le transfert de data et le communique au client
3) Le client se connecte alors sur sur le port indiqué par le serveur.
|
ouais je me suis peut-être un peu planté, normalement c'est, le client initie connection depuis un port X vers serveur sur port 21, celui-ci lui communique alors le port Y sur lequel vont se faire les échanges data, le client ouvre alors (j'avoue je ne dit pas ça de tête j'ai refouillé un peu ici et là...) une connexion depuis un port quelconque Z vers ce port Y.
normalement ça se passe bien, mais si le ftpd est sur réseau NAT, il n'y aura pas d'ouverture avec le port Y entre le routeur de tonchez toi et ton serveur. Maintenant, comme tu me le fais remarquer, tu as, semble t'il, fait en sorte que cette connexion soit ouverte.. Je ne peux pas te dire si ça fait bien ce que tu veux ou pas.. désolé 
| creuvard wrote: |
| truc wrote: |
BTW c'est pas très beau chez toi.
|
Comment ca ? (j'ai pas compris la blaque la je suis passé a coté lol )
|
arf je parlais du plan de chez toi en fait... c'était pas très joyeux.. (enfin j'ai trop rien à dire, dans mon chez moi on est deux et, ça n'est que 20m² alors...;/ )
| creuvard wrote: |
| truc wrote: |
Et sinon, je ne comprends pas juste une chose, ta freebox ne sert que de routeur wifi? pas du tout de fonction modem? c'est possible ça? je croyais que le DSLAM regardait l'@ mac du modem branché, et que si ça n'était pas l'@ mac de la freebox ça ne marchait pas mais du coup tu n'as pas les chaine TV de la freebox? (tu me diras je ne les regardes pas non plus )
|
Ma FreeBox sert de routeur WIfi et de routeur ethernet. Sauf que au bout du cable ethernet qui sort de la FB j'y ai mis le Routeur/Firewall.
Je suis obligé de faire comme cela pour pouvoir garder le wifi sur plusieurs Portables.
Mon petit shéma laisse peu être a désiré je m'en excuse
Voila |
je ne comprennais pas non plus, tu as mis internet qui sort (et rentre..) sur ton routeur apparemment... maintenant ça va mieu  |
|
| Back to top |
|
|
creuvard
Apprentice
Joined: 14 May 2004
Posts: 211
Location: Bordeaux
|
| Posted: Thu Feb 23, 2006 9:04 pm Post subject: |
|
|
La je vient d'essayé avec une autre personne.
Et pour qu'elle puisse se connecter je n'ai besoin de modifier que les OUTPUT.
| Code: |
iptables -A INPUT -p tcp -i $WAN --sport 1024:65000 --dport 1024:65000 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p tcp -o $WAN --sport 1024:65000 --dport 1024:65000 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
|
Cette personne se connecte depuis une ligne RNIS classique.
Donc je comprend plus trop. (Voir plus rien en fait)
Des/d'autres avis sur la questoins ?
Il ne me reste plus que ce problème a réglé avant de pouvoir dire j'ai été capable de faire quelque chose de correcte avec iptables. ( Et j'aimerai bien pouvoir le dire un jour)
N'y a t'il vraiment pas de moyen de faire tourner un ftp en mode passif sur du NAT ????
Voila |
|
| Back to top |
|
|
truc
Advocate
Joined: 25 Jul 2005
Posts: 3199
|
| Posted: Thu Feb 23, 2006 10:24 pm Post subject: |
|
|
premièrement faudrai savoir pourquoi tu veux faire du passif... tu as une raison particulière?
Bon le passif, c'est pratique quand le serveur n'est pas nat-é, ainsi, il est possible pour un client, qui lui est sur une réseau NAT, de faire du FTP, (n'oublie pas qu'en NAT, il faut que la requète d'ouverture d'un port vienne de l'interieur).
Malheureusement, dès lors que ton serveur lui également est sur un NAT, ça pose problème. le routeur nat de ton serveur ne saura pas vers ou rediriger les ports.
Heureusement, la vie est bien faite, ou plutôt se fait bien, la pluspart des routeurs font maintenant, proxyftp, ce qui fait que le ftp actif est désormais possible pour les clients NAT-é..
De même, je n'ai pas essayé, mais normalement, d'après ce que tu dis même si c'est en passif ton serveur prendra toujours un port data entre 30000 et 30999, donc tu peux, (si on ne se pose pas la question de la sécurité d'une telle configuration...) rediriger cette plage de port vers ton serveur, ainsi le passif devrait fonctionner.
Bon j'éspère ne pas avoir dit trop de bétises.. |
|
| Back to top |
|
|
-KuRGaN-
Veteran
Joined: 05 Dec 2004
Posts: 1142
Location: Besançon (25) [FRANCE]
|
| Posted: Fri Feb 24, 2006 10:35 am Post subject: |
|
|
[OFF]
Bon ça parle pas mal de firewalling en ce moment sur le forum donc je voulais faire un petit peu de pub pour une distro à la IPCOP qui par contre ne fait que du firewalling et ne fourni pas de service web ou dns.
C'est petite distro s'apelle Monowall et tourne sur une FreeBSD.
Je la trouve pas mal pour les personnes qui débutent dans le firewalling ou qui n'ont pas envie de se faire ch*** avec la syntaxe iptables.
[/OFF]
Désolé pour la pub !!
[EDIT] Oups le lien est bon maintenant, thx boozo
_________________
Knight Gent00 Industries RiDeR !!!!
Last edited by -KuRGaN- on Sat Feb 25, 2006 7:45 pm; edited 2 times in total |
|
| Back to top |
|
|
creuvard
Apprentice
Joined: 14 May 2004
Posts: 211
Location: Bordeaux
|
| Posted: Fri Feb 24, 2006 10:39 am Post subject: |
|
|
| -KuRGaN- wrote: |
Désolé pour la pub !! |
Mais de rien.
Je connais cette distrib mais mon but est avant tout de comprendre comment marche un firewall.
D'ou mon entêtement à finaliser au mieux mon script  |
|
| Back to top |
|
|
boozo
Advocate
Joined: 01 Jul 2004
Posts: 3193
|
|
| Back to top |
|
|
creuvard
Apprentice
Joined: 14 May 2004
Posts: 211
Location: Bordeaux
|
| Posted: Sun Feb 26, 2006 5:36 pm Post subject: |
|
|
| truc wrote: | premièrement faudrai savoir pourquoi tu veux faire du passif... tu as une raison particulière?
|
Il me semble que le mode passif est plus sécurisé du fait que le port alloué au transfert de data est alléatoire et fermé le reste du temps. |
|
| Back to top |
|
|
truc
Advocate
Joined: 25 Jul 2005
Posts: 3199
|
| Posted: Sun Feb 26, 2006 6:02 pm Post subject: |
|
|
Es tu d'accord avec le fait que de tout façons si tu ne réserves pas cette plage de port au niveau de tes routeurs, ça ne peut pas marcher. A mon avis ce qu'il faut que tu fasses, c'est une redirection de toute cette plage de port vers ton serveur, et après c'est à ton parefeu de cacher l'existence d'un tel serveur si nécessaire.
Comme ça les ports sont "ouverts" mais ton parefeu se charge de proteger et cacher tout ça. Sans faire la redirection, je ne pense pas que ça soit possible (car ton serveur va donné un port date au client, ce dernier doit donc réenvoyer sur ce port, or au niveau de tonrouteur nat, il ne faut donc pas que ce port soit utilisé, de plus, à supposer qu'il ne le soit pas, il faut que le routeur nat le redirige sur ce même numéro de port directement sur le serveur.)
Donc voila, qu'en penses tu? |
|
| Back to top |
|
|
animemint
n00b
Joined: 27 Feb 2006
Posts: 16
|
| Posted: Mon Feb 27, 2006 2:48 pm Post subject: |
|
|
Salut,
je ne suis pas un expert de l'iptables ou en réseau mais ton script m'as l'air super compliqué...
Pour le ftp, as-tu le module ip_conntrack_ftp compilé et activé? Après tu as seulement besoin de t'avoir une règle qui redirige et accepte les nouvelles connections vers ton server FTP; puis une règle "ESTABLISHED,RELATED" autorise l'accès où nouveaux ports utilisés pour les transfert grâce au module ip_conntrack_ftp.
Ca devrait suffire dans ton cas je crois (pas trop compris le schéma...), siinon regarde aussi du côté de ip_nat_ftp (utilisé quand le serveur FTP est NATé).
Un peu hors-sujet, ça ne serait pas plus simple de faire des règles "ESTABLISHED,RELATED" générales sur INPUT, OUPUT et FORWARD pour ensuite seulement avoir à travailler sur les "NEW" ? |
|
| Back to top |
|
|
creuvard
Apprentice
Joined: 14 May 2004
Posts: 211
Location: Bordeaux
|
| Posted: Mon Feb 27, 2006 3:52 pm Post subject: |
|
|
| animemint wrote: | Salut,
je ne suis pas un expert de l'iptables ou en réseau mais ton script m'as l'air super compliqué...
Pour le ftp, as-tu le module ip_conntrack_ftp compilé et activé? Après tu as seulement besoin de t'avoir une règle qui redirige et accepte les nouvelles connections vers ton server FTP; puis une règle "ESTABLISHED,RELATED" autorise l'accès où nouveaux ports utilisés pour les transfert grâce au module ip_conntrack_ftp.
|
Pour ce qui est des modules ils sont tous la . CF mon premier post.
Pour la redirection de port mon serveur est hébergé sur la même machine que le routeur. Donc les régles en INPUT et OUTPUT doivent suffir non ?
| Code: |
iptables -A INPUT -p tcp -i $WAN --sport 1024:65000 --dport 30000:30999 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p tcp -o $WAN --sport 30000:30999 --dport 1024:65000 -m state --state RELATED,ESTABLISHED -j ACCEPT
|
|
|
| Back to top |
|
|
animemint
n00b
Joined: 27 Feb 2006
Posts: 16
|
| Posted: Tue Feb 28, 2006 4:45 am Post subject: |
|
|
Je n'ai plus de serveur ftp installé sur mon routeur et je n'utilise plus la règle -P OUTPUT DROP mais ACCEPT pour le moment. Donc je ne peux pas tester mais normalement quelque chose du genre devrait marcher:
| Code: | # Utiliser conntrack, conntrack_ftp...
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# Accepter les réquêtes FTP
iptables -A INPUT -p tcp -i $WAN -m state --state NEW,ESTABLISHED --dport 21 -j ACCEPT
iptables -A OUTPUT -p tcp -o $WAN -m state --state ESTABLISHED --sport 21 -j ACCEPT |
Par contre si tu n'aimes pas le fonctionnement de conntrack et que tu veux te prendre la tête du es obligé de faire ce que tu as fait:
| Code: | # Donc au lieu de:
#iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
#iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 20 -m helper --helper ftp -m state --state RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 1024: -m helper --helper ftp -m state --state RELATED -j ACCEPT
iptables -A OUTPUT -p tcp --dport 1024: -m helper --helper ftp -m state --state RELATED -j ACCEPT |
Je ne peux pas tester pour le moment mais je pense qu'il faut voir dans cette direction... |
|
| Back to top |
|
|
creuvard
Apprentice
Joined: 14 May 2004
Posts: 211
Location: Bordeaux
|
| Posted: Wed Mar 01, 2006 4:06 pm Post subject: |
|
|
J'ai déja essayé les deux styles (conntrack et helper) et je me retrouve confronté au même problème.
J'ai aussi essayé avec un OUTPUT a ACCEPT mais cela ne change rien.
La seule chose qui autorise la connection a mon ftp c'est l'ajout de NEW sur la ligne.
iptables -A INPUT -p tcp -i $WAN --sport 1024:65000 --dport 30000:30999 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
Ce qui n'est pas acceptable. |
|
| Back to top |
|
|
creuvard
Apprentice
Joined: 14 May 2004
Posts: 211
Location: Bordeaux
|
| Posted: Wed Mar 08, 2006 11:37 am Post subject: |
|
|
Je viens de tester mon script sur une autre bécanne et il tourne comme un charme. Cela ne vient donc pas du script.
Le problème est que maintenant je ne sais pas ou regarder (Il n'y a rien dans les logs d'interressant)
J'utilise un hardened-sources 2.6.14-r5. Si quelqu'un a une idée .. |
|
| Back to top |
|
|
man in the hill
Veteran
Joined: 15 Dec 2005
Posts: 1552
Location: Madinina
|
| Posted: Wed Mar 08, 2006 11:51 am Post subject: |
|
|
Salut Doudou ,
Est-ce que tu as pu accéder à un serveur vsftp ?
As -tu essayé un autre serveur ftp comme proftp par ex ?
@ +
_________________
Get Up and Go ! |
|
| Back to top |
|
|
creuvard
Apprentice
Joined: 14 May 2004
Posts: 211
Location: Bordeaux
|
| Posted: Wed Mar 08, 2006 2:01 pm Post subject: |
|
|
Non je n'ai pas essayé.
Mais lorsque j'ai fait mon test sur une autre bécanne je l'ai tester avec le même scripts et la même configuration pour vsftpd. Donc je ne pense pas que ce soit le VSFTPD qui soit en cause non plus. |
|
| Back to top |
|
|
man in the hill
Veteran
Joined: 15 Dec 2005
Posts: 1552
Location: Madinina
|
| Posted: Wed Mar 08, 2006 2:44 pm Post subject: |
|
|
Salut ,
Si tu as testés la même config iptables et vsftp  ...J'utilise le même noyau que toi :
| Code: | faya@amnesiac ~ $ uname -r
2.6.14-hardened-r5
|
Les deux seules à mettre en cause à mon avis c'est iptables et vsftp , je ne vois pas autres choses qui t'empêcheraient d'avoir une connecxion déjà établie avec ton serveur vsftp....
J'espère qu'il y aura qqu'un avec une soluce...
@ +
_________________
Get Up and Go ! |
|
| Back to top |
|
|
|
|
You cannot post new topics in this forum
You cannot reply to topics in this forum
You cannot edit your posts in this forum
You cannot delete your posts in this forum
You cannot vote in polls in this forum
|
|
French
