FTP iptables

Support Debian
#1

Bonsoir,

Je rencontre des problèmes de listage FTP.

Je me connecte bien au serveur ftp, mon authentification se passe bien.

Le problème est que je ne peux pas lister les répertoires via la commande “ls” ou “dir” ??!!??

Voici mon iptables :

[code]echo “start”
#modprobe ip_conntrack_ftp

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

iptables -N SCANS
iptables -A SCANS -p tcp --tcp-flags FIN,URG,PSH FIN,URG,PSH -j DROP
iptables -A SCANS -p tcp --tcp-flags ALL ALL -j DROP
iptables -A SCANS -p tcp --tcp-flags ALL NONE -j DROP
iptables -A SCANS -p tcp --tcp-flags SYN,RST SYN,RST -j DROP

iptables -A INPUT -j SCANS

iptables -N KEEP_STATE
iptables -A KEEP_STATE -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A KEEP_STATE -m state --state INVALID -j DROP

iptables -A INPUT -j KEEP_STATE
iptables -A OUTPUT -j KEEP_STATE

iptables -A INPUT -m state --state NEW -p icmp -j ACCEPT

iptables -A INPUT -m state --state NEW -p tcp --dport 20:21 -j ACCEPT
iptables -A INPUT -m state --state NEW -p tcp --dport 2222 -j ACCEPT
iptables -A INPUT -m state --state NEW -p tcp --dport 3306 -j ACCEPT
iptables -A INPUT -m state --state NEW -p udp --dport 3306 -j ACCEPT
iptables -A INPUT -m state --state NEW -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -m state --state NEW -p udp --dport 53 -j ACCEPT

iptables -A OUTPUT -m state --state NEW -p icmp -j ACCEPT
iptables -A OUTPUT -m state --state NEW -p tcp --dport 21 -j ACCEPT
iptables -A OUTPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT
iptables -A OUTPUT -m state --state NEW -p tcp --dport 53 -j ACCEPT
iptables -A OUTPUT -m state --state NEW -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -m state --state NEW -p tcp --dport 123 -j ACCEPT
iptables -A OUTPUT -m state --state NEW -p udp --dport 123 -j ACCEPT

echo “actif”
[/code]

Une idée ? Merci…

#2

Problème classique. Il faut charger le module de suivi de connexion, ouais la commande qui est commentée justement. Tu peux en profiter pour virer le port 20 qui ne sert à rien puisqu’un paquet FTP avec le port destination 20 n’est jamais dans l’état NEW mais dans l’état ESTABLISHED.

#3

Bonjour,

En activant modprobe ip_conntrack_ftp et avec la règle
iptables -A INPUT -m state --state NEW -p tcp --dport 21 -j ACCEPT

Cela ne change rien :confused:

#4

Peut-être rien à voir mais j’ai eu un soucis similaire que je ne rencontrais qu’en mode passif et qui manifestement était lié au routeur.

#5

A priori je ne pense pas que cela provienne du routeur.

Si je désactive le firewall cela fonctionne :astonished: