配置vsftpd被动模式出错

73年生人

系统是Debian，
我在/etc/vsftpd.conf中加入下面几句，vsftpd就不能启动了。

pasv_enable=YES
pasv_min_port=60000
pasv _max_port=60045
setproctitle_enable=YES

把这几句删除之后，vsftpd才能正常启动。

chenyx

服务启动不了,先检查下系统日志里面有没有提示

73年生人

chenyx 发表于 2013-07-17 12:07
服务启动不了,先检查下系统日志里面有没有提示

刚刚发现，在vsftpd.conf里面把上面几句删掉，然后把connect_from_port_20=YES这句屏蔽掉，在iptables中没有打开20端口，居然可能访问ftp
用netstat查看，我有两个客户端连接上了ftp服务器，但传输端口不连续：
～# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh state NEW,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere             tcp dpts:60000:60045
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ftp
ACCEPT     all  --  anywhere             anywhere             state NEW,RELATED,ESTABLISHED

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination        


～# netstat -an
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State      
tcp        0      0 0.0.0.0:111             0.0.0.0:*               LISTEN     
tcp        0      0 0.0.0.0:21              0.0.0.0:*               LISTEN     
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN     
tcp        0      0 0.0.0.0:55383           0.0.0.0:*               LISTEN     
tcp        0      0 127.0.0.1:5432          0.0.0.0:*               LISTEN     
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN     
tcp        0      0 127.0.0.1:6010          0.0.0.0:*               LISTEN     
tcp        0      0 192.168.197.254:21      192.168.197.6:1928      ESTABLISHED
tcp        0      0 192.168.197.254:34887   192.168.197.6:5010      ESTABLISHED
tcp        0      0 192.168.197.254:21      192.168.197.6:1946      ESTABLISHED
tcp        0      0 192.168.197.254:41084   192.168.197.6:5006      TIME_WAIT  
tcp        0      0 192.168.197.254:34385   192.168.197.6:5008      TIME_WAIT  
tcp        0      0 192.168.197.254:60712   192.168.197.6:5004      TIME_WAIT  
tcp        0      0 192.168.197.254:22      192.168.197.5:55820     ESTABLISHED
tcp        0      0 192.168.197.254:34284   192.168.197.6:5005      TIME_WAIT  
tcp        0      0 192.168.197.254:57905   192.168.197.6:5013      TIME_WAIT  
tcp        0      0 192.168.197.254:59569   192.168.197.6:5007      TIME_WAIT  

chenyx

默认pasv_min/max_port的值是0,也就是可以使用任何的端口

73年生人

chenyx 发表于 2013-07-17 12:21
默认pasv_min/max_port的值是0,也就是可以使用任何的端口

问题是我没有开放41084，34385这些端口啊

并且我这样写：
iptables -A INPUT -p tcp --dport 60000:60050 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
就连不上去：
~$ ftp 192.168.197.254
Connected to 192.168.197.254.
220 (vsFTPd 2.3.5)
Name (192.168.197.254:ch): ipt
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
200 PORT command successful. Consider using PASV.
425 Failed to establish connection.
ftp>


还有，在vsftpd中加入pasv_min/max_port后，vsftpd就启动不了，查日志，也没有提示

chenyx

ACCEPT 愀氀氀--愀渀礀眀栀攀爀攀     anywhere     state NEW,RELATED,ESTABLISHED

问题在于你的这个语句里面的NEW.你去掉,应该是连不上的.

73年生人

chenyx 发表于 2013-07-17 14:59
问题在于你的这个语句里面的NEW.你去掉,应该是连不上的.

NEW一直在啊，没有去掉

我现在在vsftpd.conf里把pasv_max_port写在pasv_min_port前面，vsftpd启动正常了，但ftp还是连不上去。

vsftpd.conf里

注释掉：
#connect_from_port_20=YES

加上：
pasv_enable=YES
pasv_max_port=60050
pasv_min_port=60000


# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh state NEW,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ftp
ACCEPT     tcp  --  anywhere             anywhere             tcp dpts:60000:60050 state NEW,RELATED,ESTABLISHED

~$ ftp 192.168.197.254
Connected to 192.168.197.254.
220 (vsFTPd 2.3.5)
Name (192.168.197.254:ch): ipt
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
200 PORT command successful. Consider using PASV.

chenyx

你看看ip_conntrack_ftp模块加载正常不?加载下看看

73年生人

我发现这样写就能正常连接ftp

root@IPt:/etc# iptables -A INPUT -p tcp --dport 60000:60050 -j ACCEPT
root@IPt:/etc# iptables -A INPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
root@IPt:/etc# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh state NEW,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ftp
ACCEPT     tcp  --  anywhere             anywhere             tcp dpts:60000:60050
ACCEPT     all  --  anywhere             anywhere             state NEW,RELATED,ESTABLISHED

73年生人

chenyx 发表于 2013-07-17 15:22
你看看ip_conntrack_ftp模块加载正常不?加载下看看

root@IPt:/etc# lsmod
Module                  Size  Used by
nf_nat_ftp             12460  0
nf_conntrack_ftp       12605  1 nf_nat_ftp


我发现这样写就能正常连接ftp

root@IPt:/etc# iptables -A INPUT -p tcp --dport 60000:60050 -j ACCEPT
root@IPt:/etc# iptables -A INPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
root@IPt:/etc# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh state NEW,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ftp
ACCEPT     tcp  --  anywhere             anywhere             tcp dpts:60000:60050
ACCEPT     all  --  anywhere             anywhere             state NEW,RELATED,ESTABLISHED


这是什么原因？