请教，iptables阻止ftp访问的问题

zhyp

服务器是RHEL4.8的，用系统自动安装的vsftp做了个FTP服务器，但服务器的iptables启用时，客户端无法访问FTP，但把iptables禁用后就一切正常了，请哪位知道的朋友帮忙一下，这种问题该怎样解决
我iptables的配置是
# Firewall configuration written by system-config-securitylevel
# Manual customization of this file is not recommended.
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:RH-Firewall-1-INPUT - [0:0]
-A INPUT -j RH-Firewall-1-INPUT
-A FORWARD -j RH-Firewall-1-INPUT
-A RH-Firewall-1-INPUT -i lo -j ACCEPT
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 21 -j ACCEPT
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT
~

[ 本帖最后由 zhyp 于 2010-1-15 18:07 编辑 ]

zhyp

问题补充：
同样的设置，我在RHEL5.4上设置时是没有任何问题的，就是在4.8上过不去，请哪位知道的朋友能给解答一下

yumanifold

21端口也要开啊

zhyp

呵呵，21端口开了

zhyp

问题有新的进展：
初步发现是少加载了一个模块ip_conntrack_ftp，我用命令“modprobe ip_conntrack_ftp”把它加载上以后再重启一下vsftpd就可以了，但现在的问题是一旦重启iptables，就又不能用了，还需要再重新进行加载
我现在想知道的是还有没有更好的解决办法，或者是怎样才能让这个模块常驻系统里，即使重启iptables也不会有影响
谢谢！

yumanifold

简单一点，开始就直接/sbin/depmod -a

lz看看效果如何

[ 本帖最后由 yumanifold 于 2010-1-15 21:42 编辑 ]

chenyx

rhel5是在iptables服务脚本里面加载的,楼主编辑下看看

nagaregawa

在/etc/sysconfig/iptables-config里添加ip_conntract_ftp模块

zhyp

/sbin/depmod -a也不行，和单独加载一个模块的现象一样

zhyp

在iptables脚本里添加是可以的
我在/etc/rc.d/init.d/iptables添加了两条命令，让它每次启动iptables时自动加载模块和重启vsftp
modprobe ip_conntrack_ftp
service vsftpd restart