routing via nat iptables + ftp command problem

[crAsh0r]

Hallo zusammen,
folgendes...
ich habe ein server mit debian woody mit 2.6.8 er kernel am laufen, der server dient mir unter anderm auch als router.
da ich kein fertiges fw script verwenden wollte das ich dann eh nicht verstehe hab ich mit dem iptables: nat tutorial angefangen.

mein routing script sieht daher momentan noch kanz primitiv aus

Code: Alles auswählen

EXTDEV=ppp0 # External device pointing to the internet
INTDEV=eth0 # Internal device pointing to the local net
INTLAN=192.168.0.0/24
IPTABLES=/sbin/iptables

echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/ip_dynaddr

$IPTABLES -t nat -A POSTROUTING -o $EXTDEV -s $INTLAN -j MASQUERADE

das routing klapt nun so weit erstmal, jetzt habe ich aber das problem das wenn ich von irgend einem client auf ein externen ftp server connecten will das ftp port command irgendwie nicht funktioniert.
ich connecte von dem cliient aus mit irgend einem beliebigen ftp progi auf beliebiegen externen ftp,
login geht ohne probs
wenn ich dann versuch verzeichniss zu listen kommt folgendes

ftp> ls
500 Illegal PORT command.
425 Can't build data connection: Connection refused

sonst http, irc usw. ist auf den clients kein prob.

kann mir einer sagen wo das problem liegt?

eine weitere frage ist, wie bekomm ich nun die ports des router dicht? also nach aussen darf jeder alles, aber die dienste die auf dem server laufen sollen dich automatisch alles nach aussen geforwarded werden, nur die die ich gezielt auswähle.

danke im vorraus!!

[diedl2003]

Hi,

damit ftp läuft versuchs mal mit einem

Code: Alles auswählen

modprobe ip_nat_ftp

Mit dem filtern musst du dich einfach beschäftigen,denke ich. Bei netfilter.org gibts doch sehr viel und gute doku. Im Netz findet man auch unmengen von Beispielscripts. Hier gibts z.B. einen Script Generator http://www.harry.homelinux.org/modules. ... _Generator
Das kann man dann mit der Doku schön vergleichen was genau gemacht wird.
Viel Erfolg

[crAsh0r]

thx, hat geklapt
noch ne frage, kannst du mir auch sagen warum ich dafür nen extra modul brauch? was ist bei ftp anderst das das normale SNAT nicht aussreicht?

[thorben]

moin,
du brauchst das modul weil ftp ein ranziges protokoll ist

ftp baut zwei verbindungen auf, um das vernünftig zu NATen brauchst das modul.

gruß
thorben

[crAsh0r]

okay thx

[Leonidas]

Ich brauche das modul nicht, bei mir geht FTP mit PASV auch so.