iptables开了20和21端口，但ftp只可连接，不能显示文件出来

sulfur

原帖由 anthonyfeng 于 2005-12-7 11:56 发表
会不会是主动FTP与被动FTP的关系

就是这个原因。

如果只开20 21的话，只能允许主动连接。
21是ftp 的命令口，20是主动传输数据口。


你可是把ftp server的pasv禁用，然后从外面找一台没有防火墙的机器访问一下试试。应该OK的。

或者，在服务器上配置pasv的端口范围（vsftpd可以的），然后iptables里面开放这些端口。

filwy

原帖由 sulfur 于 2005-12-8 03:11 发表



就是这个原因。

如果只开20 21的话，只能允许主动连接。
21是ftp 的命令口，20是主动传输数据口。


你可是把ftp server的pasv禁用，然后从外面找一台没有防火墙的机器访问一下试试。应该OK的。

...

问题是proftpd的配置里没有pasv这个选项的啊。。我也考虑到是这个问题。。

filwy

我把iptables关掉和启动时候，连接ftp时的log
Dec  8 08:36:44 file proftpd[3234]: file (211.156.236.156[211.156.236.156]) - FTP session opened.
Dec  8 08:36:44 file proftpd[3234]: file (211.156.236.156[211.156.236.156]) - PAM(ftpuser): Authentication failure.
Dec  8 08:36:44 file proftpd[3235]: file (211.156.236.156[211.156.236.156]) - FTP session opened.
Dec  8 08:36:44 file proftpd[3235]: file (211.156.236.156[211.156.236.156]) - PAM(ftpuser): Authentication failure.
Dec  8 08:41:44 file proftpd[3234]: file (211.156.236.156[211.156.236.156]) - FTP no transfer timeout, disconnected
Dec  8 08:41:44 file proftpd[3234]: file (211.156.236.156[211.156.236.156]) - FTP session closed.
Dec  8 08:41:44 file proftpd[3235]: file (211.156.236.156[211.156.236.156]) - FTP no transfer timeout, disconnected
Dec  8 08:41:44 file proftpd[3235]: file (211.156.236.156[211.156.236.156]) - FTP session closed.
Dec  8 08:49:30 file proftpd[3240]: file (211.155.21.36[211.155.21.36]) - FTP session opened.
Dec  8 08:49:41 file proftpd[3240]: file (211.155.21.36[211.155.21.36]) - PAM(ftpuser): Authentication failure.
Dec  8 08:49:58 file proftpd[3240]: file (211.155.21.36[211.155.21.36]) - FTP session closed.
Dec  8 08:50:57 file proftpd[1759]: file - ProFTPD killed (signal 15)
Dec  8 08:50:57 file proftpd[1759]: file - ProFTPD 1.2.8 standalone mode SHUTDOWN
Dec  8 08:51:09 file proftpd[3250]: file - ProFTPD 1.2.8 (stable) (built 二 12月 2 10:29:30 CST 2003) standalone mode STARTUP
Dec  8 08:51:17 file proftpd[3251]: file (211.156.236.156[211.156.236.156]) - FTP session opened.
Dec  8 08:51:17 file proftpd[3251]: file (211.156.236.156[211.156.236.156]) - PAM(ftpuser): Authentication failure.
Dec  8 08:56:17 file proftpd[3251]: file (211.156.236.156[211.156.236.156]) - FTP no transfer timeout, disconnected
Dec  8 08:56:17 file proftpd[3251]: file (211.156.236.156[211.156.236.156]) - FTP session closed.
Dec  8 09:37:35 file proftpd[3269]: file (211.156.236.156[211.156.236.156]) - FTP session opened.
Dec  8 09:37:35 file proftpd[3269]: file (211.156.236.156[211.156.236.156]) - PAM(ftpuser): Authentication failure.
Dec  8 09:42:35 file proftpd[3269]: file (211.156.236.156[211.156.236.156]) - FTP no transfer timeout, disconnected
Dec  8 09:42:35 file proftpd[3269]: file (211.156.236.156[211.156.236.156]) - FTP session closed.
Dec  8 11:32:11 file proftpd[3250]: file - ProFTPD killed (signal 15)
Dec  8 11:32:11 file proftpd[3250]: file - ProFTPD 1.2.8 standalone mode SHUTDOWN
Dec  8 11:32:25 file proftpd[3324]: file - ProFTPD 1.2.8 (stable) (built 二 12月 2 10:29:30 CST 2003) standalone mode STARTUP
Dec  8 11:32:49 file proftpd[3326]: file (211.156.236.156[211.156.236.156]) - FTP session opened.
Dec  8 11:32:50 file proftpd[3326]: file (211.156.236.156[211.156.236.156]) - PAM(ftpuser): Authentication failure.
Dec  8 11:33:24 file 12月  8 11:33:24 iptables:  succeeded
Dec  8 11:33:24 file last message repeated 2 times
Dec  8 11:34:21 file 12月  8 11:34:21 iptables:  succeeded

关掉了iptables后就可显示文件，启动iptables就不能了。。
郁闷，还是没有解决

unix-net

iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
这条命令就可以解决你的FTP 问题， 你只开了20 21 是没用的，要是连被动的ftp服务器，边上21后，服务器端是随机端口和你的连接的，,ESTABLISHED,RELATED -j ACCEPT 可以解决此问题

枫影谁用了

原帖由 platinum 于 2005-12-7 15:29 发表
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp

没用的
的确，这个模块在vsftp下有用！其它不行
假如一台nat出去的网络，服务器本身可以连ftp,但是内网的用户却不行！

platinum

原帖由 枫影谁用了 于 2005-12-9 08:17 发表


没用的
的确，这个模块在vsftp下有用！其它不行
假如一台nat出去的网络，服务器本身可以连ftp,但是内网的用户却不行！

有什么区别嘛？

枫影谁用了

原帖由 platinum 于 2005-12-9 10:28 发表

有什么区别嘛？

如果你愿意试！我可以给你ftp服务器！
你可以试看可否联接成功。
当然我的ftp不是vsftp。

bingosek

原帖由 枫影谁用了 于 2005-12-9 13:28 发表



如果你愿意试！我可以给你ftp服务器！
你可以试看可否联接成功。
当然我的ftp不是vsftp。

从网络原理的角度看，无论用什么ftp服务器端，都是通过ftp协议进行通信的
iptables的模块也不会考虑你使用什么ftp服务器端的，只是对ftp协议操作而已
所以，应该是没有什么不同。可能是有别的原因吧

尚风

使用的是企业版吗?
如果是把文件夹的权限开最大,企业版安全做的太好了.我的都是这样

枫影谁用了

原帖由 bingosek 于 2005-12-9 13:54 发表

从网络原理的角度看，无论用什么ftp服务器端，都是通过ftp协议进行通信的
iptables的模块也不会考虑你使用什么ftp服务器端的，只是对ftp协议操作而已
所以，应该是没有什么不同。可能是有别的原因吧

嗯！是的！
理论是一样。但实际却不是这样的！