DEDIBOX-NEWS.COM

Du coup, rajouter le fichier pour les ports passif du serveur et ouvrir ces ports dans mon firewall...
Des que j'ai la foi, je m'y attaque

Tes règles de firewall me semblent foireuses.

Pour commencer, une règle du genre: INPUT, port destination 5000-5030, state:NEW, ESTABLISHED

Autre solution, vu qu'en INPUT tu as une règle "générique":
1790 3470K ACCEPT     all  --  any    any     anywhere             anywhere            state RELATED,ESTABLISHED

tu devrais pouvoir te contenter de faire un "modprobe ip_conntrack_ftp" qui va analyser le trafic des connexions de controle FTP à la recherche des commandes "PASV...<leport>" et qui va ouvrir les ports à la volée en conséquence.

Il suffit de comprendre les deux modes de fonctionnement du FTP pour que les règles iptables deviennent plus claires.

S = Serveur / ip 1.2.3.4
C = Client / ip 5.6.7.8

Actif:

C établit la connexion de contrôle vers S:21

C veut un listing de répertoire ou un fichier. Ces informations seront échangées par une connexion éphémère pour les données (une fois établie, les données sont envoyées par le serveur puis la connexion est fermée). Il s'agit donc de "négocier" la suite des opérations. En actif, c'est le serveur qui va se connecter vers le client. Le client annonce alors le port sur lequel il écoute et envoie via la connexion de controle:
PORT 5,6,7,8,250,100

5,6,7,8 correspond à l'IP.
250,100 correspond au port: 250*256+100 = 64100
Bref, le client a dit "Renvoie moi les données sur 5.6.7.8:64100".

Ensuite, le client demande les données et envoie par exemple:
LIST
Le serveur va se connecter sur l'IP et le port spécifiés précédemment et envoyer le listing du répertoire. C'est le même process à chaque listing/transfert de fichier.

Passif:

C établit la connexion de contrôle vers S:21
C veut un listing de répertoire ou un fichier. En passif, c'est le client qui va ouvrir une nouvelle connexion vers le sereur. Le serveur doit donc fournir le port sur lequel le client doit se connecter.
Dans un premier temps, C annonce qu'il veut travailler en passif et demande le port:
PASV
Le serveur se bind à un port et le fournit au client:
227 Entering Passive Mode (1,2,3,4,234,144)
Même principe que plus haut: 1.2.3.4 c'est l'IP et 234,144 c'est le port (c'est à dire 60048).
Bref, maintenant que le client sait où il doit se connecter, il demande les données qu'il veut:
LIST
Puis se connecte à l'IP/port fournis juste au-dessus pour avoir les données.

On voit donc qu'en ftp passif, le client établit la connexion ftp de controle sur le port 21 (classique) puis des connexions successives pour les données, sur les "ports passifs".

Pour iptables, tu as alors 2 approches pour le passif:
- autoriser toutes les connexions entrantes à destination des port passifs (en se foutant de l'état, de manière statique), genre:

iptables -A INPUT --protocol tcp --destination 1.2.3.4 --destination-port 21 -j ACCEPT
iptables -A INPUT --protocol tcp --destination 1.2.3.4 --destination-port 60000:60100 -j ACCEPT

- utiliser le module ip_conntrack_ftp qui va faire de l'analyse à la volée du trafic sur le port 21 et ouvre les ports à la volée:

modprobe ip_conntrack_ftp
iptables -A INPUT --protocol tcp --destination 1.2.3.4 --destination-port 21 -j ACCEPT
iptables -A INPUT --destination 1.2.3.4 -m state --state ESTABLISHED,RELATED -j ACCEPT

C'est là la magie du RELATED. Grace au module ip_conntrack_ftp qui va analyser à la volée les commandes du style "227 Entering Passive Mode (1,2,3,4,234,144)", tu vas pouvoir dire que tel ou tel paquet est "RELATED" à une autre connexion et que du coup, la dernière règle ci-dessus va laisser passer les paquets.

Merci beaucoup en effet !!!

Pour ma part, j'ai mis ça :

modprobe ip_conntrack_ftp
iptables -A INPUT --protocol tcp --destination-port 21 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

C'est bon ? Bon ça marche en tout cas... mais j'ai viré les "--destination xxx.xxx.xxx.xxx".

Quelle est la différence entre

--protocol tcp --destination-port 21

et

-p tcp --dport 21

?

Vi, c'est pareil. C'est juste que dans les scripts, j'ai pris l'habitude de mettre les noms d'option longs, plus explicites.

thread très interessant !

j'essaye de faire pareil, mais avec un autre port que le 21...
en ouvrant tous les ports pas de pb, ça marche
mais avec le module ip_conntrack_ftp (en mettant la ligne "standart") ça ne fonctionne pas...


j'ai bien dans mon script de firewall :

/sbin/modprobe ip_nat_ftp
/sbin/modprobe ip_conntrack_ftp

j'y ai rajouté "ports!,3000" à la fin (/sbin/modprobe ip_nat_ftp ports!,3000) j'ai trouvé ça dans une doc mais ça ne change rien...

qu'est ce que je dois mettre à la place pour qu'il tente l'oreille sur le port 3000, qui est le port de connection de mon ftp ?

merci à tous !