ipfw, ftp ?

SvinkaVJeansah

Как пустить пользователей, сидящих за натом и stateful ipfw, в инет на ftp?

evgen5555

65534 allow from users with ipfw and nat to ftp on any

SvinkaVJeansah

Шутник, блин

hoha32

Научить их пользоваться passive ftp. В IE - не работает.

sergey_m

natd умеет хачить ftp таким образом, что работает и активное и пассивное.
То есть в варианте
ipfw add 1 divert natd all from any to any via ${OIF}
ipfw add 2 pass all from any to any
всё работает.
Если у тебя есть какая-то фильтрация, то возможно что-то работать не будет. Как это исправить - твоя задача.

hoha32

ipfw add 2 pass all from any to any

Фишка в том, чтоб заставить его работать без этой строчки.

sergey_m

Да, в этом и заключается работа системного администратора.

sergey_m

P.S. Кстати, особо изощренные любители безопасности могут обратить внимание на ключ -punch_fw программы natd.

hoha32

Вот я и говорю - passive ftp.

sergey_m

> Вот я и говорю - passive ftp.
active тоже можно сделать, если есть желание.

hoha32

В моём случае желания никакого нет

Это ж надо все порты >1000 на in открывать вроде? По крайней мере, я не знаю как IE указать один конкретный порт для входящих ftp-соединений.

pupsik77

Научить их пользоваться passive ftp. В IE - не работает

в IE прекрасно работает passive mode.
если его включить.

hoha32

Да вот то-то и оно, что включал, и никакой внятной реакции от него не добился. ReGet, однако ж, с поставленной задачей справился.

pupsik77

ммм может дело не в ИЕ?
многожды раз проверено...
вчера правда выяснилась интересная вещь, чтобы заработал пассивный режим необходимо не только поставить галочку но и перезапустить ИЕ

hoha32

мдя, перезапустить - это идея

SvinkaVJeansah

-punch_fw, как написано в мане, создает динамическое правило, чтобы пропустить трафик нужного соединения, но что-то после нескольких попыток не удалось найти ни одного похожего на правду правила

sergey_m

В моём случае желания никакого нет
Это ж надо все порты >1000 на in открывать вроде? По крайней мере, я не знаю как IE указать один конкретный порт для входящих ftp-соединений.

Нет, открывать нужно два больших диапазона, один для старых серверов, один для новых. Можно ограничить тем, что source port должен быть 20. А можно всё таки сделать natd -punch_fw.

SvinkaVJeansah

А можно всё таки сделать natd -punch_fw.

Сделал я punch_fw, но никаких положительных изменний не произошло. Ман обещает

 -punch_fw basenumber:count

                 This option directs natd to ``punch holes'' in an

                 ipfirewall(4) based firewall for FTP/IRC DCC connections.

                 This is done dynamically by installing temporary firewall

                 rules which allow a particular connection (and only that con-

                 nection) to go through the firewall.  The rules are removed

                 once the corresponding connection terminates.



                 A maximum of count rules starting from the rule number

                 basenumber will be used for punching firewall holes.  The

                 range will be cleared for all rules on startup.

временные правила, но как я ни старался - ни одного правила не засек. Плюс в мане не оговорено, какие правила втыкает natd - для активного или пассивного фтп, или же он отслеживает данную ситуацию?

Оставить комментарий