iptables::Невозможно присоединить пассивный сокет

[Voral]

Продолжаю настраивать iptables.

При выполнении aptitude update выдается следующее:

Ош ftp://ftp.debian-multimedia.org squeeze Release.gpg
Невозможно присоединить пассивный сокет

как я понимаю проблема с пассивным режимом фтп.
Все пакеты которые миновали все правила, и к которым принимаются дефолтные значения, пишуться в лог. Взял от туда строки по ip выданным "host ftp.debian-multimedia.org"

[30546.708620] IN=ppp0 OUT= MAC= SRC=91.121.86.213 DST=XX.XX.XX.XX LEN=60 TOS=0x00 PREC=0x00 TTL=57 ID=43626 DF PROTO=TCP SPT=36500 DPT=113 WINDOW=5840 RES=0x00 SYN URGP=0
[30549.708090] IN=ppp0 OUT= MAC= SRC=91.121.86.213 DST=XX.XX.XX.XX LEN=60 TOS=0x00 PREC=0x00 TTL=57 ID=43627 DF PROTO=TCP SPT=36500 DPT=113 WINDOW=5840 RES=0x00 SYN URGP=0
[30555.728093] IN=ppp0 OUT= MAC= SRC=91.121.86.213 DST=XX.XX.XX.XX LEN=60 TOS=0x00 PREC=0x00 TTL=57 ID=43628 DF PROTO=TCP SPT=36500 DPT=113 WINDOW=5840 RES=0x00 SYN URGP=0
[30557.488286] IN= OUT=ppp0 SRC=XX.XX.XX.XX DST=91.121.86.213 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=18522 DF PROTO=TCP SPT=41727 DPT=33176 WINDOW=5792 RES=0x00 SYN URGP=0
[30560.488055] IN= OUT=ppp0 SRC=XX.XX.XX.XX DST=91.121.86.213 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=18523 DF PROTO=TCP SPT=41727 DPT=33176 WINDOW=5792 RES=0x00 SYN URGP=0
[30566.488056] IN= OUT=ppp0 SRC=XX.XX.XX.XX DST=91.121.86.213 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=18524 DF PROTO=TCP SPT=41727 DPT=33176 WINDOW=5792 RES=0x00 SYN URGP=0
[30578.952313] IN= OUT=ppp0 SRC=XX.XX.XX.XX DST=91.121.86.213 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=26805 DF PROTO=TCP SPT=34947 DPT=34459 WINDOW=5792 RES=0x00 SYN URGP=0
[30581.952047] IN= OUT=ppp0 SRC=XX.XX.XX.XX DST=91.121.86.213 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=26806 DF PROTO=TCP SPT=34947 DPT=34459 WINDOW=5792 RES=0x00 SYN URGP=0
[30587.952054] IN= OUT=ppp0 SRC=XX.XX.XX.XX DST=91.121.86.213 LEN=60 TOS=0x00 PREC=0x00 TTL=64 ID=26807 DF PROTO=TCP SPT=34947 DPT=34459 WINDOW=5792 RES=0x00 SYN URGP=0

Т.е режутся (политика по умолчанию drop) как исходящие так и входящие пакеты на этот/от этого ip.

Как я понимаю. Для этого соединения важны следующие правила:

/sbin/modprobe ip_nat_ftp
/sbin/modprobe ip_conntrack_ftp
sysctl net.netfilter.nf_conntrack_acct=1

OPENPORTS="20,21"
INET_IFACE="ppp0"
UNPRIPORTS="1024:65535"

$IPT -P INPUT DROP
$IPT -P OUTPUT DROP

$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A OUTPUT -p tcp -m tcp -m multiport -o $INET_IFACE --destination-ports $OPENPORTS --sport $UNPRIPORTS -j ACCEPT

что не так?
Зачем он просится на 113 порт?

[Voral]

Зачем он просится на 113 порт?

Непонял... Где то написано, что это нужно для irc, где то что это для auth-запросов...... Где правда?

[Jampire]

Непонял... Где то написано, что это нужно для irc, где то что это для auth-запросов...... Где правда?

Код: Выделить всё

cat /etc/services | grep 113
auth            113/tcp         authentication tap ident # Authentication Service
auth            113/udp

[Voral]

Добавил

Код: Выделить всё

$IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport 113 --sport $UNPRIPORTS -j ACCEPT
$IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport $UNPRIPORTS --sport 113 -j ACCEPT ! --syn
$IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport 113 -j DROP

Теперь разрешать выходить на порты 34947 и 41727?

Не понимаю. Ведь при пассивном режиме мы стучимся на 21 порт. Нам возвращается порт для соединения. И мы должны связать свой 20 порт с присланным. Или я не прав?

[Alex2ndr]

Добавил

Код: Выделить всё

$IPT -A OUTPUT -p tcp -m tcp -o $INET_IFACE --dport 113 --sport $UNPRIPORTS -j ACCEPT
$IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport $UNPRIPORTS --sport 113 -j ACCEPT ! --syn
$IPT -A INPUT -p tcp -m tcp -i $INET_IFACE --dport 113 -j DROP

Теперь разрешать выходить на порты 34947 и 41727?

Не понимаю. Ведь при пассивном режиме мы стучимся на 21 порт. Нам возвращается порт для соединения. И мы должны связать свой 20 порт с присланным. Или я не прав?

Вы все верно насчёт FTP говорите - только порт по которому потом идет связь заранее неизвестен. Чтобы решить такого плана проблемы и придуманы -m state --state RELATED. Практическое решение этой проблемы - разрешите ESTABLISHED,RELATED на OUTPUT -

Код: Выделить всё

$IPT -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT