如何通过IPTABLES 只允许FTP被动模式 通过

Question

如何通过IPTABLES 控制FTP被动模式     
  ftp被动模式需要打开  1024 以上端口   但是 我只希望ftp才能通过这些端口  其他的非ftp应用不允许通过   
iptables规则应该怎么写啊    1

Answer 1

那可以给其他非FTP的应用指定使用的端口范围。

Answer 2

原帖由 wdl111 於 2008-7-18 11:14 發表
如何通過IPTABLES 控制FTP被動模式     
  ftp被動模式需要打開  1024 以上端口   但是 我只希望ftp才能通過這些端口  其他的非ftp應用不允許通過   
iptables規則應該怎麼寫啊    1

建議你看一下網絡版 iptables faq 一文。

Linux iptables firewall 設定常見 FAQ 整理

http://linux.chinaunix.net/bbs/thread-812400-1-1.html

--

Answer 3

原帖由 jerrywjl 于 2008-7-18 11:58 发表
那可以给其他非FTP的应用指定使用的端口范围。

老大  怎么写  iptables  能定义某种service吗

Answer 4

我想到了个办法   ftp  RELATED状态一定要有ip_conntrack_ftp 这个模块  才能认出  那我是不是 可以把 只要能跟踪出RELATED状态的 非ftp模块全部 卸载掉  请大家指教

Answer 5

ip_conntrack_ftp 这个模块必须的

Answer 6

直接把20端口给封了

Answer 7

修改/etc/sysconfig/iptables-config

找到:
IPTABLES_MODULES="ip_conntrack_netbios_ns"

修改为 :
IPTABLES_MODULES="ip_conntrack_netbios_ns ip_nat_ftp ip_conntrack ip_conntrack_ftp"

然后重启iptables进程，这样就可以允许被动模式。

Answer 8

你说的是针对你的FTP服务器的情况吧?

ip_conntrack_ftp会自动生成相关规则, 不会有安全性的问题的, 就是说FIREWALL知道什么时候对哪个客户可以打开什么口,而不是允许随意被访问1024以上的端口的.
不知道你是处于什么目的而考虑呢?