Estatísticas de tráfego com o iptables para FTP passivo?

Question

Estatísticas básicas de tráfego com o iptables são fáceis. Um cria uma regra sem alvo, por exemplo

iptables -I INPUT -p tcp --dport 80

Então, por exemplo depois de enviar alguns dados via http, pode-se ler os contadores com

iptables -L INPUT -n -v

É possível rastrear o tráfego de entrada e saída de FTP usando essas regras iptables?

Eu tentei as regras usuais para permitir o tráfego FTP, para ser usado com o módulo do kernel ip_conntrack_ftp:

iptables -I INPUT -m state --state NEW,ESTABLISHED,RELATED -p tcp --dport 21

Mas, aparentemente, o iptables aqui conta apenas as conexões de controle.

    

Answer 1

Você só pode rastrear se o cliente estiver usando o modo ativo, onde o servidor se conectará à porta do cliente 20 tcp para entregar os dados.

Se o cliente usa o modo passivo, o que a maioria faz, o servidor envia o comando PASV para o cliente informando ao IP e à porta para se conectar no servidor. Como a porta é aleatória, você não conseguirá distinguir o tráfego e obter estatísticas.

Outra maneira é usar um módulo como OpenDPI com OpenDPI-netfilter ou L7-Filter para inspecionar o tráfego layer7 e decodificar os comandos PORT / PASV.

Ou, se você controlar o servidor ftp, poderá configurar as portas de dados para um alcance limitado e rastreá-las.