iptables后，vsftpd不能用了

yylking

原帖由 "OldRabbit2000" 发表：
在没有加iptalbes前，FTP正常。

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptalbes -P OUTPUT ACCEPT

iptalbes -A INPUT -p tcp --dport 20 -j ACCEPT
iptalbes -A INPUT -p tcp --dport 21 -j AC..........

楼主，首先请改变你里边的错别字母，如果确定你的ＦＴＰ是主动模式，再加如下两句，试试
iptables -A OUTPUT -p tcp --sport 20 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 20 -j ACCEPT

OldRabbit2000

不，默认output是通过的。

shitian8848

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptalbes -P OUTPUT ACCEPT

iptalbes -A INPUT -p tcp --dport 20 -j ACCEPT
iptalbes -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp -m RELATED,ESTABLISHED -j ACCPET

try it.

OldRabbit2000

依然不行，看来此题无解。

靖康

在这里搜索iptables的文章，意外看到这个老帖子，很明显就是iptables的设置没有考虑到ftp被动模式的情况。通过windows命令行访问ftp是通过主动模式，也就是使用21和20端口；而通过ie则是使用被动模式，传输数据时是由客户端发起s连接的，而并非连接到服务器的20端口。
ftp主动模式用21，20这两个端口，直接在input链中ACCEPT就可以了
至于被动模式
添加这两条就可以了
iptables -A INPUT -p tcp -m state --state RELATED ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -m state --state NEW RELATED ESTABLISHED -j ACCEPT

platinum

看来大家都没有对 TCP/20 有深刻的理解，都以为主动模式下数据除了从 TCP/21 进去，还从 TCP/20 进去

主动模式下，客户连接 TCP/21，服务器通过 TCP/20 连接客户
被动模式下，客户连接 TCP/21，客户再通过其他端口连接服务器的随机端口

卡住的原因，是因为服务器在被动模式下没有打开临时端口让 client 连过来，因此需要几个条件

1、client 没有防火墙时，用主动模式连接即可
2、server 没有防火墙时，用被动模式即可
3、双方都有防火墙时，vsftpd 设置被动模式高端口范围，server 打开那段范围，client 用被动模式连接即可
4、加载 ip_conntrack_ftp 模块，使 server 支持 connection tracking，支持临时打洞，client 用被动模式即可
5、server 使用 ip_conntrack_ftp、client 使用 ip_conntrack_ftp 和 ip_nat_ftp，支持临时打洞和临时 NAT 穿越打洞，双方使用主动或被动模式均可