免费注册 查看新帖 |

Chinaunix

  平台 论坛 博客 文库
12下一页
最近访问板块 发新帖
查看: 1878 | 回复: 11
打印 上一主题 下一主题

如何设置iptables,允许从内而外的连接 [复制链接]

论坛徽章:
0
跳转到指定楼层
1 [收藏(0)] [报告]
发表于 2006-02-21 19:22 |只看该作者 |倒序浏览
大哥大姐如何设置iptables,允许从内而外的连接啊
我的iptables老是把我写的自动执行教本down掉,这个脚本是在本机执行去索引ftp服务器目录的
大家看如何容许这个的向外链接的程序啊

论坛徽章:
0
2 [报告]
发表于 2006-02-21 19:46 |只看该作者

论坛徽章:
0
3 [报告]
发表于 2006-02-21 19:53 |只看该作者
刚看过,iptables我也懂点,但是这个还是不会写啊

论坛徽章:
0
4 [报告]
发表于 2006-02-21 20:23 |只看该作者
ding !

论坛徽章:
0
5 [报告]
发表于 2006-02-21 21:07 |只看该作者
# 打開 channel 21

  1. iptables -A OUTPUT -o eth0 -p tcp -s <IP> --sport 1024:65535 -d any/0 --dport 21 -j ACCEPT
  2. iptables -A INPUT -i eth0 -p tcp ! --syn -s any/0 --sport 21 -d <IP> --dport 1024:65535 -j ACCEPT
复制代码

# 打開 channel 20

  1. iptables -A INPUT -i eth0 -p tcp -s any/0 --sport 20 -d <IP> --dport 1024:65535 -j ACCEPT
  2. iptables -A OUTPUT -o eth0 -p tcp ! --syn -s <IP> --sport 1024:65535 -d any/0 --dport 20 -j ACCEPT
复制代码

#打開 passive mode FTP

  1. iptables -A OUTPUT -o eth0 -p tcp -s <IP> --sport 1024:65535 -d any/0 --dport 1024:65535 -j ACCEPT
  2. iptables -A INPUT -i eth0 -p tcp ! --syn -s any/0 --sport 1024:65535 -d <IP> --dport 1024:65535 -j ACCEPT
复制代码

先試著,大概是這個

论坛徽章:
0
6 [报告]
发表于 2006-02-21 23:45 |只看该作者
其實 iptables 有 ip_conntrack_ftp module,搭配 iptables 傳入 -m state --state RELATED 設定為 ACCEPT 就可以了,不是呼 ?

==

论坛徽章:
0
7 [报告]
发表于 2006-02-22 00:58 |只看该作者
原帖由 kenduest 于 2006-2-21 23:45 发表
其實 iptables 有 ip_conntrack_ftp module,搭配 iptables 傳入 -m state --state RELATED 設定為 ACCEPT 就可以了,不是呼 ?

==

正解,不过除了 RELATED 以外还要把 ESTABLISHED 也一起包括,否则无法通过从 Linux 出去后回流的数据包

论坛徽章:
0
8 [报告]
发表于 2006-02-24 18:56 |只看该作者
真是奇怪,我做了上面的设置还是不行,
netstat -t看了一下连接状态
Proto Recv-Q Send-Q Local Address               Foreign Address             State
tcp       47      0 ftpsearch.ydqmx.net:57773   tv.ydqmx.net:ftp            ESTABLISHED
tcp        0      0 ftpsearch.ydqmx.net:53352   202.195.48.68:ftp           ESTABLISHED
tcp        0      0 ftpsearch.ydqmx.net:40543   ftp.ydqmx.net:ftp           ESTABLISHED
应该是确定连接了啊,我想数据是回不来造成的啊,程序显示:
connect: Connection refused

我原来的iptables是这样写的:
-A output -o eth0 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
#也是不行的,这句话的意思难道不是让对外的tcp包通过,然后对于建立连接的包容许通过?
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp --icmp-type any -j ACCEPT
-A INPUT -p 50 -j ACCEPT
-A INPUT -p 51 -j ACCEPT
-A INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT
-A INPUT -p udp -m udp --dport 631 -j ACCEPT

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 22 -j ACCEPT
-A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited

论坛徽章:
0
9 [报告]
发表于 2006-02-24 19:19 |只看该作者
刚已经modprobe ip_conntrack_ftp过了
使用
iptables -A OUTPUT -o eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
并且service iptables restart
我的程序原来在fedora 2上面用的很好,iptables不需要做其他设置
现在转移到 fedora 4上面就不行了,真郁闷,我的selinux已经disable了

论坛徽章:
0
10 [报告]
发表于 2006-02-25 16:46 |只看该作者
好冷啊
您需要登录后才可以回帖 登录 | 注册

本版积分规则 发表回复

  

北京盛拓优讯信息技术有限公司. 版权所有 京ICP备16024965号-6 北京市公安局海淀分局网监中心备案编号:11010802020122 niuxiaotong@pcpop.com 17352615567
未成年举报专区
中国互联网协会会员  联系我们:huangweiwei@itpub.net
感谢所有关心和支持过ChinaUnix的朋友们 转载本站内容请注明原作者名及出处

清除 Cookies - ChinaUnix - Archiver - WAP - TOP