iptables 紧急求救 ftp

harddream

我有一台inux机器上面有3个网卡ip分别为eth0 192.168.1.1和 eth1 192.168.2.1 还有eth2 202.179.155.57.现在eth0连接192.168.1.0/24这个网段机器,eth1连接一个地址为192.168.2.222的win2000服务器.eth2连接的是外网.
现在iptables是这样写的
modprobe ip_tables
modprobe ip_nat_ftp
/sbin/iptables -F
/sbin/iptables -X
/sbin/iptables -t nat -F
/sbin/iptables -t nat -X

/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -P FORWARD ACCEPT
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 21 -d 202.179.155.57 -j DNAT --to 192.168.2.222:21
如果这样写,从外网eth2访问ftp没问题,可以的,从内网eth0访问ftp也没问题,但是这样写的话.192.168.2.222和192.168.1.0/24好象就在在一个网段里了,从192.168.1.0/24里能无限制的直接访问192.168.2.222.我不想这样,因为内网eth0如果感染病毒的话,会传播过来.
我现在想192.168.2.222和192.168.1.0/24分开,不在一个网段,不能无限制的访问,只能通过几个特定的端口访问,于是我这样写
modprobe ip_tables
modprobe ip_nat_ftp
/sbin/iptables -F
/sbin/iptables -X
/sbin/iptables -t nat -F
/sbin/iptables -t nat -X

/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -P OUTPUT ACCEPT
/sbin/iptables -P FORWARD ACCEPT

/sbin/iptables -A FORWARD -p tcp -m multiport --dport 20,21 -d 192.168.2.222 -s 192.168.1.0/24 -i eth0 -j ACCEPT

/sbin/iptables -A FORWARD -d 192.168.2.222 -s 192.168.1.0/24 -i eth0 -j DROP
/sbin/iptables -t nat -A PREROUTING -p tcp --dport 21 -d 202.179.155.57 -j DNAT --to 192.168.2.222:21
这样写后外网能正常访问ftp,eth0 192.168.1.0/24和eth1 192.168.2.222也分开了不能ping通,不能共享,分成了两个网段.但是内网就不能正常访问192.168.2.222的ftp了.可以登陆但不能获得数据找不到文件夹, 显示的具体错误是 "获得文件夹错请检查是否有权限",可是在dos命令下可以访问.
请高手帮下忙,该怎么解决,谢谢,急急急急急急急急急急急急急急急急急急急急急急急急急急急急急急!!!!!!!!!!!!!!

網中人

試試：
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp

iptables -I FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

網中人

還有，置頂好文要多看：
http://linux.chinaunix.net/bbs/thread-812400-1-1.html

harddream

首先谢谢你,我的问题在你的帮助下已经解决,我想问下你, -m state 是什么意识 ?还有--state ESTABLISHED,RELATED是什么意识.为什么要用这个? iptables -I FORWARD,iptables -A FORWARD有什么区别,这两个我都实验了,为什么都行?可有什么具体的区别,谢谢.
  还有为什么要加载那个modprobe ip_conntrack_ftp这个是做什么的,谢谢

網中人

我上面有給你一個 link，先看看？？  ^_^

harddream

老大看了,但是看不明白,你就和我说一下吧,谢谢

platinum

原帖由 harddream 于 2007-1-29 14:06 发表于 6楼  
老大看了,但是看不明白,你就和我说一下吧,谢谢

哪里不明白？