FTP igennem IPTABLES

Hvilke program bruger du til FTP server ???

Nu er jeg ikke så stiv til squid opsætningen endnu, men selve IPTables skal du gøre følgende

Åbne for port 21 trafik fra LAN til WAN (internetI
$IPTABLES -A forwardfromlantowan -p tcp --source $LAN_NET --dport 21 -j ACCEPT

Herefter loader du disse moduler. hvorefter den Statefulle inspection vil håndtere resten

#-----------------------------------------------------------------------------
# LOADING ADDITIONAL MODULES
#-----------------------------------------------------------------------------

echo -n "Loading helper-modules        :"

/sbin/modprobe iptable_nat
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ip_conntrack_ftp

echo "Done"


Jeg kan ikke på stående fod sige dig om der skal sættes noget op i squid. Som jeg husker det, er squid ikke en ftp proxy, hvorfor trafikkeh skulle håndteres af IPTables reglsæt, men jeg kan huske forkert

Du er godt klar over at squid også godt kan håntere ftp ikke?
Jeg har brugt min squid som både ftp og http proxy i flere år.

gozar>nej Squid er ikke min stærke side

bufferzone:
Det var nu også ment til den oprindelige spørger.

Denne kan vel ikke være rett ??:
$IPTABLES -A forwardfromlantowan -p tcp --source $LAN_NET --dport 21 -j ACCEPT

Dette kan vel leses omtrnet slik: Sett inn i kjeden "forwardfromlantowan" som godkjenner alle pakker med protokoll tcp og opprinnelse fra lokalnett og adressert port 21.

Både "forwardfromlantowan" og "$LAN_NET" må vel sånn sett i denne sammenheng kunne betraktes som "vaiabler" som gjelder bare for en spesifikk firewall på en bestemt PC. Vanligvis så vil vel disse "variablene" ikke finnes slik at denne setningen ikke kan fungere.

Disse tillegsmodulene skulle på den annen side gjøre en god nytte:
/sbin/modprobe iptable_nat
/sbin/modprobe ip_nat_ftp
/sbin/modprobe ip_conntrack_ftp

Ellers så må man også tenke på returtrafikken slik at man for eksempel har en statefull inspection funksjon som tar vare på denne.

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

gozar -> Hvordan får man egentlig web klienten til å kjøre via Squid (når man ikke benytter transparant proxy konfigurering). Hvis man for eksempel setter MS Explorer til å kjøre via proxy som http klient, da vil den vel kanskje også, der ved, kjøre via proxy som ftp klient ?? Hva med andre ftp klienter kan de også stilles inn slik ? (Vanlig vis så pleier det jo å gå helt fint å la ftp kjøre via netfilter/iptables, men Squid kunne vel kanskje også være et alternativ.)

"Men så snart data skal tilbage, så går det galt. Det er i det sekund den skifter til passive mode, at den dør."

Dette håndteres av kombinasjonen ftp connection tracking
/sbin/modprobe ip_conntrack_ftp

og statefull inspection:
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

Du kan med fordel legge ut hele scriptet for man kan jo egentlig ikke endre på en detalj uten å samtidig se på det hele.

Langbein:
Er ikke helt sikker med ms explore. Mener man skal ind i lan instillinger og sætte http proxy til ipadresse:port og ligesådan med ftp. I firefox er det edit >> preferences >> General >> Connection settings. Du kan se konfigurationen her http://gozar.dynu.com/images/firefox.jpeg
Og i linux sætter man simpelhend bare http_proxy og ftp_proxy. eks.
export http_proxy=http://ipadresse:port

Med hensyn til ftp clienter så skal de vist understytte http@user. smartftp virker iverfald.

Jeg beklager. Jeg har taget fejl. squid understytter ikke ftp. Dvs. squid understytter ftp på server siden, men ikke på klient siden. Hold lige tungen lige i munden her. squid kan godt establere forbindelse til ftp og hente ned fra ftp og sende det vidre til klienten. Men squid snakker ikke ftp på client siden. squid snakker kun http på client siden. Det vil sige at ftp clienten skal sende en http forespørgesel til til squid, squid establere så en ftp forbindelse til ftpserveren og henter indholds listen ned, og sendet til ftp clienten via http. ftp clienten skal understytte http proxy for at virke sammen med squid. Hvis det har nogen intresse ser forspørslen sådan her ud:
GET ftp://ftp.kernel.org HTTP/1.0 (og så enter 2 gange)

Jeg må indrømme jeg har givet op og droppet projektet.
Det er lidt svær. Er ked af vi ikke fandt en løsning, også af hensyn til senere spørgere.