Permitir FTP através de iptables

Question

Eu tenho tido dificuldade em permitir o ftp através do iptables. Agora meu ftp se parece com isso.

Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere             tcp ctstate NEW,RELATED,ESTABLISHED multiport dports http,https,ftp,ftp-data
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED

Chain FORWARD (policy DROP)
target     prot opt source               destination          

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Não vejo nada de errado com isso, mas não funciona quando tento me conectar a ele. (Meu servidor ftp está ativo, então isso não é um problema.)

    

Answer 1

Não está totalmente claro para mim se essas regras iptables estão no seu cliente ou no seu servidor. Sua declaração " não funciona quando tento me conectar a ela" não é de todo útil. Atualize sua pergunta para esclarecer esses problemas.

Se estas regras estiverem no seu servidor você não pode se conectar a ele de outro lugar porque você não definiu nenhuma regra que permita isso.

Se isso estiver no seu cliente , o motivo é que ele está falhando porque você não permitiu a conexão de dados relacionada de entrada. Lembre-se que é de tcp / 21 no servidor para uma porta alta arbitrária no seu cliente. Sua regra iptables INPUT está esperando uma sessão de entrada relacionada para tcp / 21.

Estas regras do devops-blog.net devem funcionar para uma saída cliente:

-A INPUT -p tcp --sport 21 -m state --state ESTABLISHED -j ACCEPT
-A INPUT -p tcp --sport 20 -m state --state ESTABLISHED,RELATED -j ACCEPT
-A INPUT -p tcp --sport 1024: --dport 1024: -m state --state ESTABLISHED -j ACCEPT

-A OUTPUT -p tcp --dport 21 -m state --state NEW,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp --dport 20 -m state --state ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp --sport 1024: --dport 1024: -m state --state ESTABLISHED,RELATED,NEW -j ACCEPT