论坛徽章:: 0

电梯直达

1楼 [收藏(0)] [报告]

发表于 2009-05-26 16:04 |只看该作者 |倒序浏览

iptables问题！
#!/bin/bash

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT DROP
iptables -A INPUT -p tcp --dport 20 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 20 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 20 -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
iptables -A OUTPUT -p icmp -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 21 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 21 -j ACCEPT

为iptables添加了以上规则，为什么不能登陆FTP？只拒绝input 或者output其中之一，都不行，两个同时允许就可以登陆！

[ 本帖最后由 yangws025 于 2009-5-26 16:12 编辑 ]

文库|博客

Godbach

版主

论坛徽章:: 36

2楼 [报告]

发表于 2009-05-26 23:33 |只看该作者

第一，你这个规则是配置在FTP server上还是client上？

第二，FTP server本身是有Passvie和Active两种数据传输方式，你得确定你使用的FTP server使用的是那种方式。

实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？

ChaseChu

白手起家

论坛徽章:: 0

3楼 [报告]

发表于 2009-06-09 16:05 |只看该作者

如果是 server 的话！！

ftp 不是简单的通信协议，就如上Godbach说的 FTP 有被动和主动两种模式
关键就在于建立追踪记录这儿

ip_conntrack 没能力把ftp 通讯信道归类为related
所以你得借助conntrack_ftp模块帮忙！！

实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？

Godbach

版主

论坛徽章:: 36

4楼 [报告]

发表于 2009-06-09 22:57 |只看该作者

原帖由 ChaseChu 于 2009-6-9 16:05 发表
如果是 server 的话！！

ftp 不是简单的通信协议，就如上Godbach说的 FTP 有被动和主动两种模式
关键就在于建立追踪记录这儿

ip_conntrack 没能力把ftp 通讯信道归类为related
所以你得借助conntrac ...

用那个state匹配中RELATED和ESTABLISHED状态应该就可以了。