Como permitir o FTP no OpenVPN com o NAT?

Question

Estou usando estas regras iptables para meu servidor OpenVPN com 1 NIC (eth0)

iptables -I INPUT -i eth0 -p udp --dport 1194 -j ACCEPT
iptables -I FORWARD -i eth0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o eth0 -j ACCEPT
iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward

que, claro, é muito aberto.

Mas gostaria de poder usar o FTP através da conexão VPN.

Eu suponho que tenho que colocar

modprobe ip_conntrack
modprobe ip_conntrack_ftp

no topo do meu script iptables.

Mas como devem ser as regras reais do iptables?

    

Answer 1

Com as regras fornecidas acima, o FTP ativo e passivo deve funcionar no momento.

Se você quiser ser um pouco mais preciso ao aceitar apenas conexões de dados e controle de ftp, e supondo que o cliente esteja na interface do OpenVPN, você pode substituir as duas aceitações gerais por

iptables -A FORWARD -i tun0 -o eth0 -p tcp --dport 21 -j ACCEPT
iptables -A FORWARD -i eth0 -o tun0 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i tun0 -o eth0 -p tcp -m state --state ESTABLISHED -j ACCEPT