iptables和vsftpd

Question

小弟我刚接触iptables，vsftpd和iptables在同一台机器，想利用iptables，只允许client访问ftp[localimg=400,162]1[/localimg]
首先iptables如下设置
iptables -P INPUT -j DROP，默认丢弃，目的是只允许访问ftp，其他服务拒绝
[root@localhost ~]# iptables -L -nv
Chain INPUT (policy DROP 25 packets, 1561 bytes)
pkts bytes target     prot opt in     out     source               destination         
  843 58160 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22
    0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW,RELATED,ESTABLISHED
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpts:20:21

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 607 packets, 47268 bytes)
pkts bytes target     prot opt in     out     source               destination
这样不但ftp能访问，http所有服务都可以正常访问，不是我想要的结果

[root@localhost ~]# iptables -L -nv
Chain INPUT (policy DROP 14 packets, 1043 bytes)
pkts bytes target     prot opt in     out     source               destination         
  615 42852 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22
   10   471 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpts:20:21 state NEW,RELATED,ESTABLISHED
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpts:20:21
这样ftp不能正常访问，请高手帮帮忙，
使client只能访问ftp，其他服务不允许，默认策略为DROP。

Answer 1

iptables -P INPUT DROP

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -p tcp --dport 20:21 -j ACCEPT

iptables -A INPUT -p tcp --dport 30000 -j ACCEPT

看了这为仁兄的帖子，命令行可以，但是图像界面下就是不行啊！！！

Answer 2

[root@localhost ~]# iptables -L -nv
Chain INPUT (policy DROP 25 packets, 1561 bytes)
pkts bytes target     prot opt in     out     source               destination         
  843 58160 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22
    0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW,RELATED,ESTABLISHED
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpts:20:21

在这个基础上加个iptables -P INPUT DROP
80就不可以访问了 。

Answer 3

843 58160 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:22
    0     0 ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           state NEW,RELATED,ESTABLISHED
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpts:20:21

不明白LZ楼主设置这个干什么，请查阅iptables手册。去掉这个状态字控制。

Answer 4

不是不行，只是不支持被动模式罢了。

Answer 5

iptables -F
iptables -X
iptables -P INPUT DROP
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 21 -j ACCEPT

应该就可以了吧。